Thành viên và đăng nhập

Bài này nói về việc ai được vào workspace và đăng nhập bằng cách nào. Chủ sở hữu workspace mời người khác, chọn vai trò và đặt ngày hết quyền cho thành viên tạm thời. Quản trị viên mô tả thành viên bằng thuộc tính, ví dụ phòng ban. Quản trị viên hệ thống của công ty kết nối Genie với Microsoft Entra ID (hoặc Active Directory, LDAP, SAML 2.0), tự động đưa người dùng vào workspace theo nhóm Entra, đồng bộ tài khoản qua SCIM và xử lý tài khoản của người nghỉ việc. Mỗi phần đều ghi rõ ai có quyền làm.

Mời người dùng

Chỉ Chủ sở hữu của workspace mới mời được người khác. Quản trị viên xem được danh sách thành viên nhưng không thêm hay gỡ ai được. Người xem và Người đóng góp không thấy trang Thành viên.

Để mời một người qua email:

1. Mở Cài đặt → Thành viên (trong nhóm Workspace).
2. Cạnh ô tìm kiếm, bấm nút thêm thành viên (Thêm thành viên, biểu tượng hình người).
3. Trong Mời thành viên, nhập Email của người đó và chọn Vai trò (mặc định là Người đóng góp; xem Vai trò).
4. Không bắt buộc: chọn ngày ở Hết quyền vào ngày nếu chỉ cho người đó tham gia tạm thời (xem Thành viên tạm thời).
5. Bấm Gửi lời mời, xem lại tóm tắt rồi bấm Gửi.

Bước tiếp theo tùy thuộc vào việc Genie đã gửi được email hay chưa (do quản trị viên hệ thống thiết lập; xem Email gửi đi):

• Đã thiết lập email: Genie gửi lời mời tới địa chỉ đó, kể cả khi người nhận chưa có tài khoản Genie. Email ghi tên workspace, vai trò và người mời. Ai đã có tài khoản thì mở liên kết và đăng nhập; ai chưa có thì tạo tài khoản ngay từ liên kết. Lời mời gắn với địa chỉ email: chỉ tài khoản có đúng email đó mới chấp nhận được.
• Chưa thiết lập email: bạn chỉ mời được người đã có tài khoản Genie. Họ chấp nhận lời mời trong Lời mời của tôi (biểu tượng chuông, Xem lời mời đang chờ). Với người chưa có tài khoản, hãy dùng liên kết mời.

Ví dụ: Phạm Linh (chủ sở hữu Contoso Việt Nam) mời thu.hoang@contoso.test với vai trò Người đóng góp để Hoàng Thu quản lý kho tri thức Nhân sự.

Ảnh chụp màn hình sẽ được bổ sungThành viên: lời mời đang chờ, danh sách thành viên kèm vai trò, thời hạn và thuộc tínhwebsite-docs/public/screenshots/vi/settings-members.png

Thành viên: lời mời đang chờ, danh sách thành viên kèm vai trò, thời hạn và thuộc tính

Chia sẻ liên kết mời

Liên kết mời giúp nhiều người cùng tham gia với cùng một vai trò, ví dụ khi gửi vào nhóm chat của phòng.

1. Trong Cài đặt → Thành viên, bấm nút liên kết (Tạo liên kết chia sẻ).
2. Chọn Vai trò rồi bấm Tạo liên kết.
3. Bấm Sao chép liên kết mời và gửi qua một kênh riêng tư.

Ai mở liên kết cũng vào được workspace với vai trò đó; người chưa có tài khoản sẽ đăng ký bằng email của mình trước. Liên kết dùng được 7 ngày hoặc tới khi bạn thu hồi. Liên kết hiển thị trong Lời mời đang chờ dưới tên Mời qua liên kết, kèm số người đã tham gia.

Lời mời đang chờ

Lời mời đang chờ (chỉ Chủ sở hữu thấy) liệt kê mọi lời mời chưa được chấp nhận, kèm vai trò, người mời, thời hạn và trạng thái. Lời mời hết hạn sau 7 ngày. Trên mỗi dòng, bạn có thể:

• Sao chép liên kết mời: chép lại liên kết.
• Gửi lại email mời: gửi lại lời mời với liên kết và thời hạn mới. Liên kết cũ không dùng được nữa. Chỉ hiển thị khi đã thiết lập email.
• Thu hồi: hủy lời mời hoặc liên kết mời. Người chưa tham gia sẽ không dùng được nữa.

Nếu thấy dòng Chưa có tài khoản dưới một địa chỉ, nghĩa là người đó còn phải tạo tài khoản từ email.

Vai trò

Mỗi thành viên có một vai trò trong mỗi workspace, và một người có thể giữ vai trò khác nhau ở các workspace khác nhau. Di chuột vào biểu tượng thông tin cạnh tiêu đề Thành viên để xem Quyền theo vai trò của workspace này.

Vai trò	Người có vai trò này làm được gì
Chủ sở hữu	Mọi việc Quản trị viên làm được, cộng thêm mời và xóa thành viên, đổi vai trò, đặt ngày hết quyền, quản lý khóa API của workspace (API), đổi tên và xóa workspace.
Quản trị viên	Mọi việc Người đóng góp làm được, cộng thêm sửa và xóa kho tri thức, agent của bất kỳ ai; xem Thông tin workspace và danh sách thành viên; cấu hình workspace (tắt tìm trên web và chạy mã ở Tính năng, nguồn dữ liệu, Cơ sở dữ liệu, kỹ năng, dịch vụ MCP, kênh nhắn tin, tiện ích website, máy chủ MCP, CLI, trợ lý mặc định, định tuyến); đặt thuộc tính thành viên; xem Phân tích, Sử dụng & chi phí và nhật ký kiểm toán.
Người đóng góp	Mọi việc Người xem làm được, cộng thêm tạo kho tri thức và agent, sửa hoặc xóa những thứ do mình tạo.
Người xem	Trò chuyện với Genie, đọc kho tri thức và tài liệu mình có quyền xem, và dùng các agent được mở cho mình.

Quản trị viên hệ thống không phải là vai trò trong workspace. Đó là vai trò trên toàn nền tảng dành cho bộ phận IT của công ty, do một quản trị viên hệ thống khác cấp (xem Quản trị hệ thống). Quản trị viên hệ thống đặt những gì áp dụng cho mọi workspace: mô hình, cách Genie trả lời, tìm trên web, bảo vệ dữ liệu, chạy mã và hạn mức chi phí. Họ cũng đặt truy cập theo mạng và sandbox của từng workspace. Khi tìm trên web hoặc chạy mã đang bật cho cả công ty, Quản trị viên và Chủ sở hữu của một workspace vẫn có thể tắt cho workspace của mình ở Tính năng. Xem bức tranh đầy đủ tại Tổng quan quản trị.

Để đổi vai trò của một thành viên (chỉ Chủ sở hữu):

1. Mở Cài đặt → Thành viên.
2. Ở dòng của thành viên, chọn vai trò mới trong cột Vai trò. Thay đổi có hiệu lực ngay.

Bạn không đổi được vai trò của chính mình. Workspace luôn phải còn ít nhất một Chủ sở hữu: muốn giao lại workspace, trước hết hãy nâng một thành viên khác lên Chủ sở hữu; sau đó người này có thể đổi vai trò của bạn, hoặc bạn tự rời workspace ở Thông tin workspace → Rời workspace.

Mẹo

Người được luật workspace theo SSO đưa vào workspace sẽ nhận vai trò theo nhóm Entra của họ. Hãy sửa luật hoặc nhóm của họ trong Entra ID: nếu bạn đổi vai trò thủ công ở trang Thành viên, luật sẽ đặt lại vai trò đó ở lần đăng nhập tiếp theo của họ.

Thành viên tạm thời: ngày hết quyền

Bạn có thể cấp quyền vào workspace đến một ngày nhất định, ví dụ cho kiểm toán viên bên ngoài trong hai tuần. Chỉ Chủ sở hữu đặt được ngày hết quyền, và không thể đặt ngày hết quyền cho Chủ sở hữu.

• Khi mời: chọn ngày ở Hết quyền vào ngày trong Mời thành viên. Ngày này sẽ áp dụng cho tư cách thành viên tạo từ lời mời.
• Với thành viên hiện có: ở cột Thời hạn trong danh sách thành viên, chọn Đặt ngày hết quyền, Đổi ngày hết quyền hoặc Bỏ ngày hết quyền.

Thành viên giữ quyền đến hết ngày đã chọn. Ngay khi hết hạn, họ không mở được workspace nữa. Sau đó, một tác vụ chạy hằng ngày sẽ gỡ tư cách thành viên và gửi email cho người đã đặt ngày (khi đã thiết lập email). Cột Thời hạn hiển thị Không thời hạn hoặc thời gian còn lại (ví dụ Còn 5 ngày), và bộ lọc Sắp hết quyền liệt kê những thành viên hết quyền trong 30 ngày tới.

Lưu ý thêm:

• Liên kết mời không mang được ngày hết quyền. Hãy mời người đó qua email.
• Không thể chấp nhận lời mời có ngày hết quyền đã qua.
• Thêm lại một người đã hết quyền sẽ tạo tư cách thành viên mới. Hãy đặt ngày hết quyền mới nếu người đó vẫn chỉ tham gia tạm thời.
• Chia sẻ kho tri thức, quyền dùng agent và quyền xem tài liệu cũng có thể có ngày hết hạn; xem Phân quyền tài liệu.

Thuộc tính thành viên

Thuộc tính dùng để mô tả thành viên: phòng ban, chi nhánh, khu vực…, ví dụ department = HR và branch = Đà Nẵng. Thuộc tính được dùng ở ba nơi:

• Phân quyền tài liệu: mục Thuộc tính như department = HR chỉ cho những thành viên khớp điều kiện xem một tài liệu, thư mục hoặc thẻ; mục Nhóm khớp với thuộc tính groups của thành viên. Xem Phân quyền tài liệu.
• Cơ sở dữ liệu: bộ lọc dòng chỉ cho mỗi người xem đúng các dòng của mình, ví dụ đơn hàng của chi nhánh mình. Xem Cơ sở dữ liệu và Power BI.
• Agent dùng hồ sơ người hỏi: agent biết ai đang hỏi, nên trả lời câu "phụ cấp của tôi" đúng cho người đó. Xem Agent và trợ lý mặc định.

Thuộc tính đến từ hai nguồn:

Nguồn	Cách đưa vào	Dùng cho
Đặt ở trang Thành viên	Quản trị viên hoặc Chủ sở hữu nhập tay, riêng cho từng workspace	Phân quyền tài liệu, bộ lọc dòng của Cơ sở dữ liệu, agent
Gửi về khi đăng nhập	Microsoft Entra ID (khi đăng nhập hoặc qua SCIM), Active Directory hoặc SAML, theo ánh xạ do quản trị viên hệ thống đặt (xem Thuộc tính hồ sơ từ SSO)	Phân quyền tài liệu và agent, không dùng cho bộ lọc dòng của Cơ sở dữ liệu

Khi cả hai nguồn có cùng một khóa, giá trị đặt ở trang Thành viên được ưu tiên.

Để đặt thuộc tính cho một thành viên (Quản trị viên và Chủ sở hữu):

1. Mở Cài đặt → Thành viên.
2. Ở cột Thuộc tính của thành viên, bấm Thêm thuộc tính (hoặc Sửa thuộc tính nếu đã có).
3. Trong hộp Thuộc tính của thành viên đó, nhập Khóa (ví dụ department) và Giá trị (cách nhau bằng dấu phẩy, ví dụ HR). Bấm Thêm thuộc tính để thêm dòng.
4. Bấm Lưu.

Khóa chỉ gồm chữ thường, chữ số và dấu gạch dưới, và phải bắt đầu bằng chữ cái. Mỗi thành viên có tối đa 32 khóa, mỗi khóa tối đa 50 giá trị, mỗi giá trị tối đa 200 ký tự. Gỡ hết các dòng để xóa toàn bộ thuộc tính.

Thuộc tính lấy từ đăng nhập hiển thị dưới dạng thẻ như SSO · 2 ở cột Thuộc tính. Di chuột vào thẻ để xem giá trị. Bạn không sửa được chúng ở đây: hãy sửa trong Entra ID hoặc trong thư mục.

Gỡ hoặc khóa người dùng

Có hai thao tác khác nhau, ở hai cấp:

Thao tác	Ai làm	Kết quả
Gỡ khỏi một workspace	Chủ sở hữu workspace	Người đó mất quyền vào workspace này ngay. Tài khoản và các workspace khác của họ không bị ảnh hưởng.
Khóa tài khoản	Quản trị viên hệ thống	Người đó không đăng nhập được ở bất kỳ đâu. Mọi phiên đăng nhập kết thúc ngay. Tư cách thành viên vẫn giữ nguyên, nên khi mở khóa, mọi thứ trở lại như cũ.

Gỡ một thành viên khỏi workspace

1. Mở Cài đặt → Thành viên.
2. Ở dòng của thành viên, bấm Xóa (biểu tượng gỡ người dùng) rồi xác nhận.

Người đó mất quyền truy cập ngay. Những gì họ đã tạo vẫn ở lại trong workspace và Quản trị viên vẫn sửa được. Thao tác gỡ được ghi vào Nhật ký kiểm toán ở trang Thành viên. Mỗi thành viên cũng có thể tự rời workspace: Người xem và Người đóng góp từ menu tài khoản (tên của họ ở cuối thanh bên) → Rời workspace này, còn Quản trị viên và Chủ sở hữu ở Thông tin workspace → Rời workspace, trừ khi họ là Chủ sở hữu cuối cùng.

Khóa tài khoản

Hãy khóa tài khoản ngay ngày nhân viên nghỉ việc để họ không đăng nhập được nữa. Chỉ quản trị viên hệ thống làm được việc này:

1. Mở Cài đặt → Người dùng (trong nhóm Quản trị hệ thống).
2. Tìm người đó theo tên hoặc email.
3. Mở menu ⋯ ở cuối dòng của người đó, bấm Khoá rồi xác nhận.

Mọi phiên đăng nhập và token của tài khoản ngừng hoạt động ngay. Bấm Mở khoá trong cùng menu để người đó đăng nhập lại được; các phiên cũ không được khôi phục. Bạn không khóa được tài khoản của chính mình, và phải gỡ quyền quản trị hệ thống trước khi khóa một quản trị viên hệ thống.

Tài khoản cũng có thể bị khóa từ bên ngoài Genie:

• Khi dùng đồng bộ SCIM, nếu bạn khóa hoặc bỏ gán người đó trong Microsoft Entra ID, tài khoản Genie sẽ bị khóa ngay khi Entra ID gửi thay đổi.
• Khi bật đồng bộ với Active Directory, tài khoản bị khóa hoặc bị xóa trong Active Directory sẽ bị khóa trong Genie ở lần đồng bộ tiếp theo.

Nếu nhập sai mật khẩu nhiều lần, Genie cũng tạm chặn đăng nhập bằng mật khẩu cho email đó trong vài phút. Trang đăng nhập cho biết cần chờ bao lâu.

Chuyển giao dữ liệu của người nghỉ việc

Khi một người đã nghỉ hẳn, quản trị viên hệ thống xóa tài khoản và giao những gì họ tạo cho một người kế nhiệm. Trước đó, chỉ cần khóa tài khoản: khi tài khoản đang bị khóa, không dữ liệu nào bị mất.

1. Mở Cài đặt → Người dùng.
2. Mở menu ⋯ ở cuối dòng của người đó và bấm Xoá….
3. Xem tài khoản đang giữ những gì: kho tri thức và agent đã tạo, tổ chức đang sở hữu, các workspace đang tham gia và các workspace mà người đó là Chủ sở hữu duy nhất.
4. Ở Người kế nhiệm, chọn một người dùng đang hoạt động, ví dụ quản lý trực tiếp của người đó.
5. Gõ email của người đó vào ô xác nhận rồi bấm Xoá và chuyển giao.

Người kế nhiệm sẽ:

• tiếp quản các kho tri thức, agent và tổ chức người đó đã tạo;
• trở thành Chủ sở hữu của mọi workspace mà người đó là Chủ sở hữu duy nhất;
• tham gia với vai trò Người đóng góp vào các workspace chứa những kho tri thức và agent đó, nếu chưa là thành viên.

Tư cách thành viên, biến bí mật sandbox cá nhân và các phiên đăng nhập của người đó kết thúc. Hội thoại của họ vẫn giữ nguyên. Nếu cần xóa cả hội thoại (khi có yêu cầu xóa dữ liệu cá nhân), hãy dùng Xoá hội thoại… trong cùng menu trước; xem Quyền riêng tư và lưu giữ dữ liệu. Thao tác xóa không hoàn tác được. Địa chỉ email đó được giải phóng, sau này có thể mời lại.

Bạn không xóa được tài khoản của chính mình hay của một quản trị viên hệ thống (hãy thu hồi quyền đó trước). Chủ sở hữu workspace không tự chuyển giao dữ liệu được: hãy nhờ quản trị viên hệ thống.

Nhập người dùng từ tệp CSV

Để tạo nhiều tài khoản cùng lúc, quản trị viên hệ thống nhập tệp CSV.

1. Mở Cài đặt → Người dùng và bấm Nhập CSV.

2. Bấm Tải file mẫu để lấy tệp có sẵn đúng các cột, rồi điền dữ liệu (có thể mở bằng Excel):

   Cột	Nội dung
   email	Bắt buộc.
   display_name	Họ tên đầy đủ.
   workspace	ID hoặc đúng tên workspace, ví dụ Contoso Việt Nam.
   role	viewer, contributor hoặc admin. Để trống thì mặc định là viewer. Không nhập được vai trò Chủ sở hữu.

3. Bấm Chọn file (hoặc dán nội dung CSV vào ô).

4. Đánh dấu Tài khoản chỉ đăng nhập SSO (dùng tài khoản công ty; không có mật khẩu) khi mọi người đều đăng nhập bằng Microsoft Entra ID.

5. Bấm Kiểm tra. Genie kiểm tra từng dòng (chưa ghi gì vào hệ thống) và hiển thị kết quả: tài khoản mới, tài khoản đã có, dòng không hợp lệ.

6. Sửa các dòng lỗi rồi bấm Nhập.

7. Nếu không chọn tài khoản chỉ SSO, Genie tạo mật khẩu cho mỗi tài khoản mới. Bấm Tải mật khẩu và gửi an toàn cho từng người trước khi đóng hộp thoại: mật khẩu chỉ hiển thị lúc này.

Mỗi tệp tối đa 1000 dòng. Tài khoản đã có chỉ được thêm vào workspace. Tài khoản mới không có workspace cá nhân.

Đăng nhập bằng Microsoft Entra ID

Khi bật đăng nhập Entra ID, trang đăng nhập Genie có nút Đăng nhập bằng Microsoft. Mọi người đăng nhập bằng tài khoản Microsoft 365 của mình, áp dụng MFA và Conditional Access của công ty. Quản trị viên hệ thống thiết lập một lần, ở hai nơi: Microsoft Entra admin center và Genie.

Đăng ký Genie trong Microsoft Entra ID

Trước tiên mở Genie: Cài đặt → Phương thức đăng nhập → OpenID Connect, chọn Microsoft Entra ID ở Nhà cung cấp định danh, rồi chép Redirect URI hiển thị dưới Đăng ký Genie ở nhà cung cấp định danh. Sau đó, trong Microsoft Entra admin center của contoso.test:

1. App registrations → New registration. Đặt tên Genie, chọn Accounts in this organizational directory only (Single tenant), thêm redirect URI của Genie cho nền tảng Web. Bấm Register.
2. Ở trang Overview, chép Application (client) ID và Directory (tenant) ID.
3. Certificates & secrets → New client secret. Chép giá trị Value (không phải Secret ID) và ghi lại ngày hết hạn. Hãy lưu secret mới vào Genie trước ngày đó, nếu không mọi người sẽ không đăng nhập được.
4. API permissions: giữ các quyền Microsoft Graph openid, profile và email (loại delegated; có thể giữ nguyên quyền User.Read mặc định). Cấp admin consent nếu thư mục của bạn yêu cầu.
5. Nếu muốn đưa người dùng vào workspace theo nhóm, hãy tạo app role ngay lúc này (xem Ánh xạ nhóm sang vai trò).
6. Không bắt buộc: Enterprise applications → Genie → Properties → Assignment required? = Yes, để chỉ người dùng và nhóm được gán mới đăng nhập được.

Genie cũng liệt kê các bước này ở mục Cách tạo app registration trong Microsoft Entra ID.

Bật đăng nhập Entra ID trong Genie

1. Trong Cài đặt → Phương thức đăng nhập → OpenID Connect, với Microsoft Entra ID đang được chọn, điền:
   • Directory (tenant) ID hoặc tên miền: Directory (tenant) ID, hoặc một tên miền đã xác minh như contoso.test.
   • Application (client) ID và Client secret (giá trị Value của secret).
2. Không bắt buộc, ở Nút đăng nhập: Tên nhà cung cấp và Chữ trên nút. Để trống thì nút vẫn là Đăng nhập bằng Microsoft.
3. Ở Tài khoản:
   • Tên miền email được phép: contoso.test. Genie từ chối đăng nhập bằng email thuộc tên miền khác, kể cả tài khoản đã có.
   • Tạo tài khoản ở lần đăng nhập đầu tiên: chọn Luôn tạo để mọi nhân viên Contoso có tài khoản ngay lần đăng nhập đầu. Giá trị mặc định Theo chế độ đăng ký sẽ chặn người mới khi đăng ký công khai đang tắt.
   • Dùng tài khoản Genie có sẵn trùng email: giữ bật, để người đã có tài khoản Genie tiếp tục dùng tài khoản đó.
   • Giữ tắt Yêu cầu email đã xác minh (email_verified): Entra ID không gửi claim này.
4. Ở Kiểm tra kết nối, bấm Chạy kiểm tra. Genie kiểm tra cài đặt và client secret mà không cần ai đăng nhập. Nếu secret sai (thường là dán nhầm Secret ID thay cho Value, hoặc secret đã hết hạn), lỗi sẽ hiện ngay ở đây.
5. Bật Đăng nhập một lần OpenID Connect rồi bấm Lưu. Nút đăng nhập xuất hiện ngay trên trang đăng nhập.

Ảnh chụp màn hình sẽ được bổ sungPhương thức đăng nhập: OpenID Connect với mẫu Microsoft Entra IDwebsite-docs/public/screenshots/vi/settings-sign-in.png

Phương thức đăng nhập: OpenID Connect với mẫu Microsoft Entra ID

Client secret không bao giờ hiển thị lại. Nếu để trống ô này, Genie giữ secret đã lưu. Nếu nhà cung cấp Genie đã thiết lập sẵn đăng nhập cho bạn, trang sẽ hiển thị phần Cấu hình từ biến môi trường ở chế độ chỉ đọc; bấm Sao chép sang cài đặt để chép cấu hình đó vào biểu mẫu và tự quản lý tại đây. Bấm Xoá cài đặt để tắt phần cài đặt bạn đã lưu.

Lần đăng nhập đầu tiên và workspace

Ở lần đăng nhập đầu, Genie tạo tài khoản (nếu được phép như trên) từ hồ sơ Entra ID của người đó: họ tên và email. Tài khoản tạo theo cách này không có mật khẩu Genie: họ luôn đăng nhập bằng Microsoft, và liên kết Quên mật khẩu? không áp dụng cho họ.

Họ vào workspace nào là do luật workspace theo SSO quyết định. Nếu chưa có luật, người mới sẽ không có workspace nào cho tới khi được mời, hoặc nhận một workspace cá nhân, tùy theo Cấp phát workspace mặc định (xem Quản trị hệ thống). Khi triển khai cho cả công ty, hãy chọn Không tạo workspace và thêm một luật cho mọi người.

Đăng xuất trên máy dùng chung

Đăng xuất khỏi Genie luôn kết thúc phiên Genie, nhưng trình duyệt vẫn giữ đăng nhập Microsoft. Mặc định, lần đăng nhập Microsoft tiếp theo trên trình duyệt đó sẽ yêu cầu chọn tài khoản. Ở Đăng xuất → Khi người dùng đăng xuất khỏi Genie, bạn có thể chọn Đăng xuất luôn khỏi Microsoft để đăng xuất khỏi cả Microsoft. Khi đó, hãy thêm Địa chỉ quay lại sau khi đăng xuất hiển thị ở đây làm redirect URI trong app registration (Authentication → Web).

Một lần đăng nhập kéo dài bao lâu

Ở đầu trang Phương thức đăng nhập, mục Đăng nhập lại qua nhà cung cấp định danh sau quy định một lần đăng nhập Microsoft có hiệu lực trong bao nhiêu giờ (từ 1 đến 168, mặc định 12). Hết thời gian này, Genie chuyển người dùng sang Microsoft một lần nữa. Nếu phiên Microsoft vẫn còn, người dùng chỉ thấy trang chuyển qua, nhưng Genie vẫn kiểm tra lại luật workspace, tài khoản bị khóa, MFA và Conditional Access. Đăng nhập bằng mật khẩu không bị ảnh hưởng.

Ánh xạ nhóm sang vai trò

Ở mỗi lần đăng nhập, luật workspace theo SSO đưa người dùng vào workspace với một vai trò, dựa trên nhóm hoặc app role Entra ID của họ. Không cần ai mời.

Entra ID gửi nhóm dưới dạng object ID (một chuỗi mã dài), và không gửi danh sách nhóm của người thuộc hơn 200 nhóm. App role dễ dùng hơn vì có tên dễ đọc. Với Contoso, hãy tạo một app role cho mỗi nhóm:

1. Trong Microsoft Entra admin center, mở App registrations → Genie → App roles → Create app role. Đặt tên hiển thị, cho phép Users/Groups, và đặt Value là Contoso-HR. Làm tương tự cho Contoso-Sales và Contoso-IT.
2. Mở Enterprise applications → Genie → Users and groups → Add user/group, gán nhóm Contoso-HR vào app role Contoso-HR. Làm tương tự với các nhóm còn lại.

Sau đó, trong Genie (quản trị viên hệ thống):

1. Mở Cài đặt → Cài đặt hệ thống → Tài khoản & quyền truy cập.

2. Ở Luật workspace theo SSO, bấm Sửa luật.

3. Ở Claim, chọn roles (app role Entra ID). (Chọn groups (ID nhóm Entra ID) nếu muốn so khớp theo object ID của nhóm.)

4. Bật Gỡ khỏi workspace khi người dùng rời nhóm, để người rời nhóm cũng mất quyền vào workspace tương ứng.

5. Bấm Thêm luật cho từng dòng. Mỗi luật gồm Giá trị nhóm hoặc role (hoặc * cho mọi người đăng nhập bằng SSO), Workspace, Vai trò và ô Cả nhánh:

   Giá trị nhóm hoặc role	Workspace	Vai trò	Cả nhánh
   *	Contoso Việt Nam	Người xem
   Contoso-HR	Contoso Việt Nam	Người đóng góp
   Contoso-IT	Contoso Việt Nam	Quản trị	có đánh dấu

6. Bấm Lưu luật.

Với các luật này, mọi nhân viên Contoso (kể cả Võ Nam bên kinh doanh) vào Contoso Việt Nam với vai trò Người xem, nhân viên nhân sự như Hoàng Thu là Người đóng góp, còn nhân viên IT như Lê Minh là Quản trị viên. Khi một người khớp nhiều luật cho cùng một workspace, họ nhận vai trò cao nhất. Luật không bao giờ cấp vai trò Chủ sở hữu.

Cả nhánh cấp vai trò ở workspace đã chọn và ở mọi workspace bên dưới nó, kể cả các workspace được thêm vào bên dưới sau này (từ lần đăng nhập kế tiếp của người dùng). Ở ví dụ trên, IT là Quản trị viên của mọi workspace chi nhánh nằm dưới Contoso Việt Nam. Xem Phòng ban lồng nhau.

Lưu ý thêm:

• Luật được áp dụng ở mỗi lần đăng nhập. Khi dùng đồng bộ SCIM với claim roles, luật còn được áp dụng ngay khi Entra ID gửi thay đổi.
• Luật chỉ thay đổi những tư cách thành viên do chính luật tạo ra. Thành viên được mời hoặc thêm tay giữ nguyên vai trò.
• Thẻ OpenID Connect ở Phương thức đăng nhập có lối tắt tới các luật này: Mở luật workspace SSO. Active Directory và SAML dùng cùng kiểu luật (xem Active Directory, LDAP và SAML 2.0).
• Ở trang Người dùng, tư cách thành viên do luật tạo có nhãn SSO.

Thuộc tính hồ sơ từ SSO

Genie có thể lưu các thuộc tính từ Entra ID (chức danh, phòng ban, văn phòng) vào hồ sơ mỗi người ở mỗi lần đăng nhập và mỗi lần SCIM cập nhật. Phân quyền tài liệu và các agent dùng hồ sơ người hỏi sẽ sử dụng các thuộc tính này (xem Thuộc tính thành viên).

1. Mở Cài đặt → Cài đặt hệ thống → Tài khoản & quyền truy cập.
2. Ở Thuộc tính hồ sơ từ SSO, bấm Sửa ánh xạ.
3. Với mỗi thuộc tính, nhập Claim mà Entra ID gửi (ví dụ department) và khóa Thuộc tính để lưu (ví dụ department). Dùng ánh xạ mặc định khôi phục ánh xạ jobTitle, department, officeLocation.
4. Bấm Lưu ánh xạ.

Mặc định Entra ID không đưa chức danh, phòng ban hay văn phòng vào token đăng nhập. Bạn có thể thêm chúng làm optional claim trong app registration (Token configuration), hoặc dùng đồng bộ SCIM: cách này gửi các thông tin đó ở mỗi lần cập nhật.

Đồng bộ tài khoản bằng SCIM

Với SCIM, Microsoft Entra ID tự tạo, cập nhật và khóa tài khoản Genie mà không cần chờ người dùng đăng nhập. Đây là cách cắt quyền truy cập ngay khi nhân viên nghỉ việc.

1. Trong Genie, mở Cài đặt → Khóa API nền tảng → Tạo khóa API nền tảng. Đặt tên, ví dụ Entra ID provisioning, chỉ đánh dấu quyền Đồng bộ người dùng SCIM, rồi tạo. Sao chép khóa ngay: khóa chỉ hiển thị một lần.
2. Trong Microsoft Entra admin center, mở Enterprise applications → Genie → Provisioning và chọn chế độ provisioning tự động.
3. Nhập Tenant URL: địa chỉ Genie của bạn nối thêm /scim/v2, ví dụ https://genie.contoso.test/scim/v2. Dán khóa vào ô Secret Token. Kiểm tra kết nối rồi lưu.
4. Genie chỉ đồng bộ người dùng: hãy tắt đồng bộ nhóm trong phần ánh xạ (mappings).
5. Gán các nhóm cần đồng bộ (Contoso-HR, Contoso-Sales, Contoso-IT) ở Users and groups, rồi bật provisioning.

Từ đó, mỗi thay đổi trong Entra ID có tác dụng như sau trong Genie:

Trong Entra ID	Trong Genie
Một người được gán vào ứng dụng	Tài khoản được tạo, không có mật khẩu (chỉ đăng nhập bằng Microsoft) và không có workspace cá nhân. Nếu luật dựa trên app role, người đó vào các workspace của mình ngay.
Họ tên, email, chức danh, phòng ban hoặc văn phòng thay đổi	Tài khoản và thuộc tính hồ sơ được cập nhật.
App role thay đổi	Workspace và vai trò thay đổi ngay, nếu luật workspace theo SSO đọc claim roles.
Người đó bị khóa hoặc bị bỏ gán	Tài khoản bị khóa và mọi phiên đăng nhập kết thúc ngay. Khi mở lại trong Entra ID, tài khoản Genie cũng được mở khóa.
Người đó bị xóa	Tài khoản bị khóa chứ không bị xóa. Muốn xóa và chuyển giao dữ liệu, xem Chuyển giao dữ liệu của người nghỉ việc.

Nhật ký kiểm toán hệ thống ghi lại mọi thay đổi, kèm ghi chú đó là SCIM tạo, cập nhật hay khóa. Nếu quản trị viên hệ thống giới hạn truy cập theo địa chỉ IP, hãy để trống Dải địa chỉ cho SCIM (không bắt buộc) khi dùng Entra ID; xem Mạng và chống virus.

Active Directory, LDAP và SAML 2.0

Nếu công ty vẫn dùng domain tại chỗ, hoặc dùng nhà cung cấp định danh chỉ hỗ trợ SAML, hãy dùng hai thẻ còn lại trong Cài đặt → Phương thức đăng nhập. Cả hai dùng cùng kiểu luật workspace và thuộc tính hồ sơ như Entra ID.

Active Directory hoặc thư mục LDAP khác

Trang đăng nhập có thêm thẻ Tài khoản công ty: người dùng gõ tên đăng nhập Windows và mật khẩu công ty. Genie kiểm tra mật khẩu với domain và không bao giờ lưu mật khẩu.

1. Đề nghị bộ phận IT cung cấp: địa chỉ các domain controller, chứng chỉ CA nội bộ nếu chứng chỉ của domain controller không do CA công khai cấp, một tài khoản dịch vụ chỉ đọc, nơi tìm người dùng (search base) và các nhóm tương ứng với từng workspace.
2. Mở Cài đặt → Phương thức đăng nhập → LDAP / Active Directory. Chọn Active Directory ở Loại thư mục để điền sẵn các giá trị thông dụng.
3. Nhập Máy chủ (mỗi dòng một máy), Bảo mật kết nối (nên dùng LDAPS (TLS, cổng 636)), Chứng chỉ CA (PEM), Tài khoản dịch vụ, Mật khẩu tài khoản dịch vụ và Nơi tìm người dùng (search base).
4. Ở Kiểm tra kết nối, nhập tên đăng nhập của một đồng nghiệp rồi bấm Kiểm tra. Genie hiển thị email, họ tên, nhóm, thuộc tính hồ sơ và các workspace mà luật sẽ cấp, mà không cần mật khẩu của người đó.
5. Ở Workspace và vai trò, thêm luật so khớp tên nhóm (như Contoso-HR) hoặc DN đầy đủ của nhóm với một workspace và vai trò. Nhóm lồng nhau cũng được tính. Ở Thuộc tính hồ sơ, ánh xạ các thuộc tính trong thư mục như department.
6. Không bắt buộc: đặt Đồng bộ với thư mục (từ 15 phút đến 24 giờ một lần). Khi đó, tài khoản bị khóa hoặc bị xóa trong thư mục cũng bị khóa trong Genie, còn họ tên, thuộc tính và workspace luôn được cập nhật. Nếu một lần đồng bộ sẽ khóa hơn 20% số tài khoản cùng lúc, lần đồng bộ đó không thay đổi gì cả. Bấm Đồng bộ ngay để đồng bộ tức thì.
7. Bật Đăng nhập bằng tài khoản công ty rồi bấm Lưu.

SAML 2.0

Với nhà cung cấp định danh chỉ hỗ trợ SAML (AD FS, Okta, Entra ID ở chế độ SAML), trang đăng nhập có thêm nút Tiếp tục với ….

1. Mở Cài đặt → Phương thức đăng nhập → SAML 2.0, kiểm tra Địa chỉ Genie rồi bấm Lưu một lần. Genie sẽ tạo chứng chỉ riêng.
2. Gửi cho nhà cung cấp định danh Entity ID, URL phản hồi (ACS) và URL metadata hiển thị dưới Đăng ký Genie với nhà cung cấp định danh.
3. Ở Nhà cung cấp định danh, nhập URL metadata của nhà cung cấp (https, Genie tải lại mỗi ngày), hoặc bấm Tải lên tệp XML.
4. Để trống tên các thuộc tính khi dùng Entra ID và AD FS. Giữ Dùng luật workspace ở Cài đặt hệ thống → Tài khoản & quyền truy cập để dùng chung luật ở Ánh xạ nhóm sang vai trò, hoặc đặt luật riêng cho SAML.
5. Bật Đăng nhập một lần SAML rồi bấm Lưu.

Chứng chỉ SAML của Genie có hạn 5 năm. Để thay chứng chỉ: bấm Chuẩn bị chứng chỉ mới, chờ nhà cung cấp định danh nhận metadata mới, rồi bấm Kích hoạt. Bấm Xoá để gỡ chứng chỉ cũ.

Với cả hai cách, Tạo tài khoản ở lần đăng nhập đầu tiên và Dùng tài khoản Genie có sẵn trùng email ở phần Tài khoản hoạt động như với Entra ID. Riêng ở đây, tùy chọn dùng tài khoản có sẵn trùng email mặc định tắt: chỉ bật khi bộ phận IT quản lý địa chỉ email trong thư mục, nếu không, một người có thể đăng nhập dưới danh nghĩa người khác.

Xác minh hai bước cho tài khoản dùng mật khẩu

Người đăng nhập bằng Microsoft, Active Directory hoặc SAML xác minh bước thứ hai qua nhà cung cấp định danh, nên không bao giờ thấy bước này của Genie. Tài khoản đăng nhập bằng email và mật khẩu (quản trị viên dự phòng, đối tác, nhà thầu) có thể thêm mã từ ứng dụng xác thực.

Mỗi người tự thiết lập trong hồ sơ của mình:

1. Mở Cài đặt → Hồ sơ → Xác minh hai bước và bấm Thiết lập.
2. Nhập Mật khẩu hiện tại rồi bấm Tiếp tục.
3. Quét mã QR bằng Microsoft Authenticator, Google Authenticator, 1Password hoặc ứng dụng tương tự (hoặc dùng Không quét được? Nhập khoá này), nhập mã 6 chữ số rồi bấm Bật.
4. Lưu lại các mã khôi phục, rồi bấm Tôi đã lưu các mã này. Mỗi mã dùng được cho một lần đăng nhập khi mất điện thoại. Các mã chỉ hiển thị lúc này; về sau, bấm Tạo mã khôi phục mới sẽ thay bộ mã cũ.

Từ đó, trang đăng nhập sẽ hỏi mã sau bước nhập mật khẩu. Bấm Mất điện thoại? Dùng mã khôi phục để nhập mã khôi phục thay thế.

Quản trị viên hệ thống quyết định ai bắt buộc phải dùng xác minh hai bước, trong Cài đặt → Cài đặt hệ thống → Tài khoản & quyền truy cập:

• Xác minh hai bước khi đăng nhập bằng mật khẩu: Tuỳ chọn (mỗi người tự quyết), Bắt buộc với quản trị viên (quản trị viên hệ thống, Chủ sở hữu và Quản trị viên workspace) hoặc Bắt buộc với mọi người. Người thuộc diện bắt buộc mà chưa thiết lập sẽ được yêu cầu thiết lập ngay trên trang đăng nhập, sau bước mật khẩu.
• Ghi nhớ trình duyệt sau xác minh hai bước (ngày): 0 (mặc định) là tắt. Nếu lớn hơn 0, người dùng có thể chọn "Không hỏi lại trên trình duyệt này" trong số ngày đó.

Khi ai đó mất cả điện thoại lẫn mã khôi phục, quản trị viên hệ thống mở menu ⋯ ở dòng của họ trong Cài đặt → Người dùng và bấm Đặt lại MFA. Nhãn MFA cho biết ai đã bật.

Lưu ý

• Chỉ Chủ sở hữu workspace mới được mời, gỡ thành viên, đổi vai trò và đặt ngày hết quyền. Quản trị viên xem được thành viên và đặt thuộc tính. Người xem và Người đóng góp không thấy trang Thành viên.
• Khi chưa thiết lập gửi email, bạn chỉ mời được người đã có tài khoản Genie. Hãy nhờ quản trị viên hệ thống thiết lập email (xem Email gửi đi).
• Ai có liên kết mời cũng vào được với vai trò của liên kết. Hãy thu hồi liên kết khi những người cần mời đã vào. Khi đăng ký công khai bị tắt, chỉ người đã có tài khoản mới dùng được liên kết; lời mời qua email thì luôn dùng được.
• Khi bật Tự động thêm người dùng đã đăng ký được mời (trong Cài đặt hệ thống), mời một người đã có tài khoản sẽ thêm họ vào ngay, không qua bước xác nhận.
• Thuộc tính ở trang Thành viên chỉ áp dụng cho workspace này. Cột Thuộc tính chỉ hiển thị khi Genie có tính năng Cơ sở dữ liệu; nếu không thấy, hãy liên hệ nhà cung cấp Genie.
• Gỡ một người khỏi workspace không ngăn họ đăng nhập vào các workspace khác. Muốn chặn hẳn, hãy khóa tài khoản.
• Tài khoản chỉ đăng nhập qua Entra ID, Active Directory hoặc SAML không có mật khẩu Genie. Hãy đặt lại mật khẩu trong thư mục của công ty, chứ không phải trong Genie.
• Mọi thay đổi thành viên, lời mời và thuộc tính đều được ghi vào Nhật ký kiểm toán của workspace (Quản trị viên và Chủ sở hữu xem được; xem Mức sử dụng, phân tích và nhật ký kiểm toán).

Trang liên quan

• Tổng quan quản trị
• Phân quyền tài liệu
• Cơ sở dữ liệu và Power BI
• Quyền riêng tư và lưu giữ dữ liệu
• Mạng và chống virus
• Quản trị hệ thống
• Bắt đầu