Docs›Account›كيف أُعِدّ تسجيل الدخول الموحّد عبر SAML؟
كيف أُعِدّ تسجيل الدخول الموحّد عبر SAML؟
تم التحديث أكتوبر 2026·2 min
اربط Medal بـ Google Workspace أو Microsoft Entra ID أو Okta عبر SAML، ليسجّل فريقك الدخول بحساب العمل ويفتح Medal من مشغّل التطبيقات. تجده في الإعدادات ← الأمان، ويستغرق الإعداد نحو 20 دقيقة، إضافة إلى الوقت الذي يحتاجه موفّر الهوية لنشر التطبيق.
الإعدادات ← الأمان مع تفعيل SAML. القيم الظاهرة من بيئة الاختبار لدينا؛ انسخ قيمك من صفحة الأمان الخاصة بك.
On this page
قبل أن تبدأ
تحتاج إلى كل ما يلي. إن نقص شيء، تخبرك صفحة الأمان بما ينقص بدل عرض الإعداد.
خطة Enterprise مع تفعيل تسجيل الدخول المؤسسي. تفعّله Medal لنشاطك التجاري عند طلبك؛ وقبل ذلك تعرض الصفحة «تسجيل الدخول المؤسسي غير مفعّل».
دور المالك أو المسؤول في نشاطك التجاري على Medal. يرى الأعضاء والضيوف رسالة تفيد بأن المالكين والمسؤولين وحدهم يديرون تسجيل الدخول المؤسسي.
نطاق البريد الإلكتروني لشركتك موثّق بسجل DNS من نوع TXT، من صفحة الفريق ضمن «من يمكنه الانضمام». النطاق الموثّق بالبريد الإلكتروني فقط لا يكفي.
صلاحية المسؤول لدى موفّر الهوية: وحدة تحكم Google Admin أو Microsoft Entra admin center أو Okta Admin Console.
من سيسجّلون الدخول أعضاء بالفعل في نشاطك التجاري على Medal. ادعُهم من صفحة الفريق أو اربط مزامنة الدليل. لا تنشئ Medal حسابات عند تسجيل الدخول بعد.
اختر موفّر الهوية
في صفحة الأمان، ابحث عن SAML الخاص بنطاقك واضغط «إعداد SAML». اختر Google Workspace أو Microsoft Entra ID أو Okta أو «مزوّد SAML آخر». يحدّد اختيارك القيم الافتراضية للخيارين أدناه.
أضف تطبيق SAML مخصصًا في Google
في وحدة تحكم Google Admin، افتح Apps ← Web and mobile apps ← Add app ← Add custom SAML app. سمِّ التطبيق Medal Social وارفع شعار Medal؛ هذه هي الأيقونة التي يراها الأشخاص في مشغّل التطبيقات.
ارفع البيانات الوصفية من Google إلى Medal
في صفحة Google Identity Provider details، انقر Download metadata. في Medal، أبقِ «رفع البيانات الوصفية» محددًا، واختر الملف واضغط «قراءة البيانات الوصفية». تحقّق من معرّف الكيان وعنوان تسجيل الدخول والشهادة، ثم اضغط «حفظ كمسودة».
أعطِ Google تفاصيل Medal
بعد حفظ المسودة تظهر القيم التي تنسخها، ولكل منها زر نسخ. عُد إلى Google، وانقر Continue واملأ Service provider details هكذا:
موفّر في حالة مسودة: كل ما تنسخه إلى موفّر الهوية جاهز قبل التفعيل. القيم الظاهرة من بيئة الاختبار لدينا؛ انسخ قيمك من صفحة الأمان الخاصة بك.
ACS URL: رابط ACS من Medal، ويبدو مثل https://sso.medalsocial.com/saml/sso-yourcompany-com-1a2b3c4d5e6f/acs.
Entity ID: معرّف الكيان من Medal، وهو العنوان نفسه دون /acs.
Start URL: اتركه فارغًا؛ Medal تتجاهله.
Signed response: فعّله.
Name ID format: EMAIL.
Name ID: Basic Information › Primary email.
Attribute mapping: لا حاجة إليه. انقر Finish.
شغّل التطبيق لفريقك
في Google، افتح User access للتطبيق وشغّله للوحدات التنظيمية أو المجموعات التي ستستخدم Medal. ابدأ بمجموعة صغيرة. تقول Google إن التغيير قد يستغرق حتى 24 ساعة، وعادةً يكون أسرع.
فعّل الموفّر
عُد إلى صفحة الأمان في Medal وشغّل مفتاح «مفعّل». يستطيع الآن من لديهم بريد على نطاقك تسجيل الدخول عبر موفّر الهوية، وتبقى طرق تسجيل الدخول الأخرى متاحة.
اختبر تسجيل الدخول بثلاث طرق
استخدم حسابًا عضوًا بالفعل في نشاطك التجاري على Medal. يجب أن ينتهي كل اختبار داخل Medal وأنت مسجّل الدخول.
في وحدة تحكم Google Admin، افتح التطبيق واستخدم Test SAML login.
افتح مشغّل تطبيقات Google (شبكة النقاط) واختر Medal Social.
في صفحة تسجيل الدخول إلى Medal، أدخل بريد العمل واضغط «تسجيل الدخول بالبريد الإلكتروني». ترسلك Medal إلى Google بدل إرسال رمز بالبريد.
باستخدام Microsoft Entra ID
اختر Microsoft Entra ID في Medal، ثم في Microsoft Entra admin center:
افتح Enterprise applications ← New application ← Create your own application، واختر الخيار غير الموجود في المعرض (non-gallery).
ضمن Single sign-on ← SAML، في Basic SAML Configuration: اضبط Identifier (Entity ID) على معرّف الكيان من Medal، وReply URL (Assertion Consumer Service URL) على رابط ACS من Medal. اترك Sign on URL وRelay State فارغين.
ضمن Attributes & Claims، اضبط Unique User Identifier (Name ID) على user.mail. القيمة الافتراضية، user principal name، كثيرًا ما تختلف عن البريد الإلكتروني.
أبقِ خيار التوقيع على Sign SAML assertion. الخيار Sign SAML response and assertion يوقّع مرتين، وMedal ترفض ذلك.
ضمن SAML Certificates، نزّل Federation Metadata XML وارفعه في Medal.
ضمن Users and groups، عيّن التطبيق لمن سيستخدم Medal.
لإظهار أيقونة Medal في My Apps، شغّل «السماح بتسجيل الدخول من مشغّل التطبيقات» في Medal؛ فهو متوقف افتراضيًا مع Entra.
اضبط Single sign-on URL على رابط ACS من Medal، وAudience URI (SP Entity ID) على معرّف الكيان من Medal. اترك Default RelayState فارغًا.
اضبط Name ID format على EmailAddress وApplication username على Email.
ضمن Show Advanced Settings، تأكّد أن واحدًا فقط من Response وAssertion Signature مضبوط على Signed. توقّع Okta عادةً الاثنين، وMedal ترفض الاستجابة الموقّعة مرتين. نقترح Response على Signed، وAssertion Signature على Unsigned، مع تشغيل «اشتراط استجابة موقّعة» في Medal.
أنهِ الإعداد، ثم افتح رابط البيانات الوصفية في تبويب Sign On واحفظ ملف XML أو انسخه، وارفعه أو الصقه في Medal.
في تبويب Assignments، عيّن التطبيق لمن سيستخدم Medal.
لإظهار أيقونة Medal في لوحة Okta، شغّل «السماح بتسجيل الدخول من مشغّل التطبيقات» في Medal؛ فهو متوقف افتراضيًا مع Okta.
باستخدام أي موفّر SAML 2.0 آخر
اختر «مزوّد SAML آخر». أنشئ تطبيق SAML 2.0 برابط ACS ومعرّف الكيان من Medal، وأرسل بريد المستخدم بوصفه Name ID، ووقّع بـ RSA-SHA256. ثم ارفع بياناته الوصفية، أو اختر «إدخال التفاصيل» واكتب عنوان تسجيل الدخول ومعرّف الكيان والشهادة. تحتاج Medal إلى عنوان تسجيل الدخول الخاص بـ HTTP-Redirect.
الخياران وقيمهما الافتراضية
تجد المفتاحين ضمن الخيارات في بطاقة الموفّر، ويمكنك تغييرهما في أي وقت.
السماح بتسجيل الدخول من مشغّل التطبيقات: يتيح فتح Medal من شبكة تطبيقات Google أو My Apps من Microsoft أو لوحة Okta. مفعّل افتراضيًا مع Google Workspace، ومتوقف مع البقية.
اشتراط استجابة موقّعة: لا يقبل إلا الاستجابات الموقّعة بالكامل. مفعّل افتراضيًا مع Google Workspace بما يطابق خيار Signed response لدى Google، ومتوقف مع البقية لأن Entra يوقّع التأكيد (assertion) وحده افتراضيًا.
مصدر البريد الإلكتروني: Name ID، ما لم تحدّد سمة بريد إلكتروني عبر «تعديل التفاصيل».
ماذا يحدث عند النقر على الأيقونة
تتحقّق Medal من توقيع موفّر الهوية، ثم تبدأ تسجيل دخول عاديًا لذلك الشخص. يمرّ شريط العنوان بعدة تحويلات سريعة، ثم يصل الشخص إلى Medal مسجّل الدخول. تتجاهل Medal قيمتي Start URL وRelayState، لذا تفتح الأيقونة دائمًا الصفحة الرئيسية في Medal.
استبدل شهادة التوقيع
يحمل الموفّر شهادتي توقيع، لذا يمكنك الاستبدال دون انقطاع: أضف الجديدة، وانقل موفّر الهوية إليها، ثم احذف القديمة.
في Google، افتح التطبيق ← Manage certificates ← Add certificate ونزّل الشهادة الجديدة. لدى Entra وOkta خيارهما الخاص لشهادة جديدة.
في Medal، ضمن «شهادات التوقيع»، اضغط «إضافة شهادة» والصقها. لا تتأثر عمليات تسجيل الدخول التي تعمل حاليًا.
انقل موفّر الهوية إلى الشهادة الجديدة.
احذف الشهادة القديمة في Medal. تتوقف فورًا عمليات تسجيل الدخول الموقّعة بها.
ترسل Medal بريدًا إلى المالكين والمسؤولين قبل 30 يومًا ثم قبل 7 أيام من توقف تسجيل الدخول، وتظهر على الشهادة شارة انتهاء الصلاحية. لا تُقبل الشهادة المنتهية أبدًا.
تقبل Medal شهادات RSA بطول 2048 بت أو أكثر موقّعة بـ SHA-256 أو أقوى. تُرفض شهادات SHA-1 وشهادات المنحنى الإهليلجي (EC).
أزل الموفّر
اقرأ هذا أولًا: يتوقف تسجيل الدخول عبر موفّر الهوية فورًا، ويحتفظ الأشخاص بكل طرق تسجيل الدخول الأخرى. إن أعدت إعداد SAML لاحقًا، تُنشئ Medal رابط ACS ومعرّف كيان جديدين، وعليك تحديث التطبيق لدى موفّر الهوية بهما. للمتابعة، اضغط «إزالة المزوّد» وأكّد.
«حسابك غير مُهيَّأ في هذا النشاط التجاري بعد»
نص الرسالة الكامل: «تم تسجيل دخولك بنجاح، لكن حسابك غير مُهيَّأ في هذا النشاط التجاري بعد. اطلب من المسؤول دعوتك.» أكّد موفّر الهوية هوية الشخص، لكنه ليس عضوًا في نشاطك التجاري على Medal. ادعُه من صفحة الفريق أو دع مزامنة الدليل تضيفه، وسيتمكن من الدخول فورًا.
«تعذّر إكمال تسجيل الدخول الموحّد»
تعرض Medal هذه الرسالة لكل مشكلات الإعداد وتُبقي السبب خاصًا، لذا راجع هذه النقاط بالترتيب:
الموفّر مفعّل، ورابط ACS ومعرّف الكيان لدى موفّر الهوية مطابقان تمامًا لما في صفحة الأمان. يتغيران إذا أُزيل الموفّر وأُعيد إعداده.
البريد الذي يرسله موفّر الهوية على نطاقك الموثّق. لا يطابق user principal name في Entra ولا نطاق Google الثانوي.
التوقيعات صحيحة: مع تشغيل «اشتراط استجابة موقّعة» يجب تفعيل Signed response في Google، ويجب ألا يوقّع Entra أو Okta الاستجابة والتأكيد معًا.
الشهادة في Medal هي التي يوقّع بها موفّر الهوية اليوم، ولم تنتهِ صلاحيتها.
للنقر على الأيقونة، يجب تشغيل «السماح بتسجيل الدخول من مشغّل التطبيقات».
ما زالت المشكلة قائمة؟ تواصل مع دعم Medal مع وقت حدوثها وبريد الشخص.
FAQ
أسئلة عن SAML
هل يمنع تفعيل SAML تسجيل الدخول برمز البريد أو بحساب Google؟
لا. تبقى طرق تسجيل الدخول الأخرى متاحة أثناء تفعيل SAML. لا تستطيع Medal بعدُ فرض تسجيل الدخول الموحّد على نشاط تجاري.
هل عليّ إضافة الجميع إلى Medal قبل استخدام SAML؟
نعم. لا تنشئ Medal حسابات عند تسجيل الدخول بعد، لذا يجب أن يكون كل شخص عضوًا في نشاطك التجاري. ادعُهم من صفحة الفريق، أو اربط مزامنة الدليل لتبقى العضوية متوافقة مع Google Workspace أو Entra.
لماذا عليّ تفعيل Signed response في Google؟
إعداد Google Workspace يشغّل «اشتراط استجابة موقّعة»، وGoogle لا توقّع الاستجابة كاملة إلا عند تفعيل هذا الخيار. إن فضّلت تركه، أوقف «اشتراط استجابة موقّعة» ضمن الخيارات في Medal.
أزلت الموفّر ثم أضفته من جديد. لماذا توقف تسجيل الدخول؟
الموفّر المُعاد إعداده يحصل على رابط ACS ومعرّف كيان جديدين. انسخ القيم الجديدة من صفحة الأمان إلى التطبيق لدى موفّر الهوية ويعود العمل.
لماذا لا يرى فريقي أيقونة Medal؟
تأكّد أن User access للتطبيق في Google مُشغّل لوحدتهم التنظيمية أو مجموعتهم (قد يستغرق حتى 24 ساعة)، وأن الموفّر مفعّل، وأن «السماح بتسجيل الدخول من مشغّل التطبيقات» مُشغّل.
ماذا يحدث عند انتهاء صلاحية شهادة التوقيع؟
يتلقى المالكون والمسؤولون بريدًا قبل 30 يومًا و7 أيام. بعد انتهاء الشهادة تتوقف Medal عن قبولها، فيفشل تسجيل الدخول عبر SAML حتى تضيف الشهادة الجديدة. تبقى طرق الدخول الأخرى متاحة.
هل يمكننا استخدام SAML على أكثر من نطاق؟
نعم. لكل نطاق موثّق عبر DNS موفّر SAML خاص به، يُعدّ ويُفعّل منفصلًا. ولا يُستخدم النطاق لتسجيل الدخول الموحّد إلا في نشاط تجاري واحد.
هل يتوفر SAML في خطة Creator أو Business؟
لا. تسجيل الدخول الموحّد جزء من Enterprise، وتفعّله Medal لنشاطك التجاري عند طلبك.
