既存のIDプロバイダーによるシングルサインオン

OpenID Connectは最も簡単に接続できる方法です。Microsoft Entra ID、Google Workspace、Okta、Keycloak、Authentikのプリセットを選ぶと、SimplyPrintがスコープとクレームマッピングを自動入力します。標準に準拠したOIDCプロバイダー用の汎用オプションも選べます。表示されたリダイレクトURIをプロバイダーにコピーし、クライアントIDとシークレットを貼り付けると、セットアップウィザードが保存前にディスカバリードキュメントをリアルタイムで確認します。

内部ではPKCEを使用したOIDC認可コードフローを採用し、署名付きIDトークンをすべて検証します（RS256以上を使用し、署名なしまたはHMACのトークンは使用しません）。また、nonceを確認し、発行者と対象者をプロバイダーに固定します。プロバイダーがシングルログアウトに対応している場合、SimplyPrintからサインアウトすると、プロバイダーからもサインアウトします。

DNS TXTレコードを追加して、yourschool.eduやyourcompany.comなどのドメインの所有権を証明します。ドメインが認証されると、そのドメインの職場や学校のメールアドレスを入力した人はシングルサインオンに直接送られるため、適切なボタンを探す必要がありません。認証済みドメインでは、初回サインイン時に作成された新しいアカウントをSimplyPrintが信頼できるため、対象者が自動的に適切なアカウントに振り分けられます。

IDプロバイダーからグループや属性を送信すると、SimplyPrintが適切なSimplyPrintユーザーグループに対応付けます。これにより、ユーザーを1人ずつ設定しなくても、適切な役割と権限が付与されます。選択した属性やクレームが設定した値と一致する場合にのみサインインを許可するルールも追加できます。特定の部署、職員グループ、クラスにアクセスを制限する場合に便利です。

ディレクトリでは、1人が1つの役割だけを持つとは限りません。グループをワークグループにもマッピングすると、ユーザーには最上位のものだけでなく、一致するすべてのワークグループが付与されます。これにより、「教師」であり、かつ「ロボットグループ、レーザーの訓練を受けたグループ、部門管理者に所属している」といった状態を、1つのアサーションで正確に表現できます。SAMLとSCIMの両方でサインイン時に毎回同期され、管理者、クラス、コースが同じ人に付与した権限には影響しません。