Đăng nhập bằng Microsoft (Entra ID)

Cho nhân viên đăng nhập LMS bằng chính tài khoản công ty trên Microsoft Entra ID (tên cũ là Azure AD), tài khoản họ vẫn dùng cho Outlook, Teams. Nhân viên không phải nhớ thêm một mật khẩu nữa, và người nghỉ việc bị khoá tài khoản công ty thì cũng không đăng nhập LMS bằng Microsoft được nữa.

Mỗi tổ chức tự đăng ký một ứng dụng trên Entra của mình rồi dán thông tin vào LMS. Không có ứng dụng dùng chung giữa các tổ chức.

Một dòng tóm tắt

Trên Entra: tạo App registration loại "chỉ thư mục này", thêm Redirect URI kiểu Web, tạo Client secret. Trong LMS: /admin > Cài đặt > Tích hợp > Đăng nhập bằng Microsoft, dán Directory (tenant) ID, Application (client) ID, Client secret, rồi Lưu. Nút Đăng nhập bằng Microsoft hiện dưới form đăng nhập của mọi cổng.

Ai dùng

• Quản trị viên (admin) cấu hình. Quyền cần có là configure_microsoft_sso; mặc định chỉ vai trò admin giữ quyền này. Vai trò Nhân sự / đào tạo (hr_admin) không thấy khối cấu hình.
• Quản trị viên Microsoft của công ty (người có quyền tạo App registration trên Entra) làm phần chuẩn bị trên Entra. Nếu bạn không có quyền đó, gửi trang này cho bộ phận IT.
• Mọi người dùng của tổ chức (nhân viên, quản lý, giảng viên, quản trị) bấm nút để đăng nhập.

Tính năng thuộc module MicrosoftSso. Tổ chức tạo bằng hồ sơ Doanh nghiệp (đào tạo nội bộ) có sẵn module này (cùng với đăng nhập Google). Tổ chức khác không thấy khối Đăng nhập bằng Microsoft trong Cài đặt > Tích hợp thì liên hệ quản trị hệ thống để bật module.

Bước 1: Chuẩn bị trên Microsoft Entra admin center

Làm một lần. Nên mở sẵn khối cấu hình trong LMS ở một tab khác (xem Bước 2) để chép Redirect URI.

1. Mở Microsoft Entra admin center, vào Identity > Applications > App registrations, bấm New registration.
2. Name: đặt tên dễ nhận ra, ví dụ "LMS công ty".
3. Supported account types: chọn Accounts in this organizational directory only (chỉ tài khoản trong thư mục của công ty).
4. Redirect URI: chọn loại Web, dán đường dẫn trong ô Redirect URI của khối cấu hình trong LMS. Đường dẫn có dạng https://<địa chỉ LMS của bạn>/auth/microsoft/callback.
5. Bấm Register.
6. Ở trang Overview của ứng dụng vừa tạo, chép hai giá trị:
   • Application (client) ID
   • Directory (tenant) ID
7. Vào Certificates & secrets > Client secrets > New client secret. Đặt mô tả và thời hạn, bấm Add.
8. Chép ngay giá trị ở cột Value. Entra chỉ hiện giá trị này một lần; rời trang là không xem lại được, phải tạo secret mới. Đừng chép nhầm cột Secret ID.
9. Ghi lại ngày hết hạn của secret vào lịch của bộ phận IT (xem Đổi secret khi hết hạn).

Quyền API mặc định của ứng dụng mới (Microsoft Graph > User.Read) là đủ, không cần thêm quyền nào. LMS chỉ đọc tên và tên đăng nhập của người dùng.

Redirect URI phải đúng địa chỉ nhân viên dùng

Ô Redirect URI trong LMS lấy theo địa chỉ bạn đang mở trang quản trị. Nếu tổ chức có tên miền riêng, hãy mở /admin bằng đúng tên miền nhân viên dùng rồi mới chép. Sai một ký tự là Microsoft từ chối đăng nhập. Nhân viên dùng hai địa chỉ khác nhau thì thêm cả hai Redirect URI trên Entra.

Bước 2: Cấu hình trong LMS

/admin > Cài đặt > Tích hợp > khối Đăng nhập bằng Microsoft > phần Ứng dụng trên Microsoft Entra.

Bật ô Bật đăng nhập Microsoft thì các ô còn lại mới hiện ra.

Ô	Điền gì
Bật đăng nhập Microsoft	Bật để nút hiện trên trang đăng nhập. Tắt thì nút biến mất ở mọi cổng.
Redirect URI	Chỉ để đọc. Chép dán vào Redirect URI (loại Web) của ứng dụng trên Entra ở Bước 1.
Directory (tenant) ID	Ô bắt buộc, điền sẵn organizations. Thay bằng Directory (tenant) ID ở trang Overview của ứng dụng, hoặc tên miền đã xác minh của công ty (ví dụ congty.vn). Xem khuyến nghị bên dưới.
Application (client) ID	Application (client) ID ở trang Overview.
Client secret	Giá trị (Value) của client secret, không phải Secret ID. Được mã hoá khi lưu.
Tự động tạo tài khoản	Bật: người lần đầu đăng nhập Microsoft mà chưa có tài khoản sẽ được tạo tài khoản mới. Tắt: chỉ người đã có tài khoản mới vào được.
Domain email được phép	Để trống là chấp nhận mọi email. Thêm tên miền (ví dụ congty.vn) để chỉ email thuộc tên miền đó được đăng nhập. Gõ tên miền rồi nhấn Enter, dấu phẩy hoặc dấu cách để thêm.

Bấm Lưu. Mở trang đăng nhập trong một cửa sổ ẩn danh để kiểm tra nút đã hiện và đăng nhập thử bằng một tài khoản công ty.

Nút chưa hiện?

Nút chỉ hiện khi đủ các điều kiện: đã bật, có Application (client) ID, có Client secret, và Directory (tenant) ID không phải common hay consumers. Ô Directory (tenant) ID là ô bắt buộc nên không lưu được khi để trống; nếu vì lý do nào đó giá trị đã lưu bị trống, LMS hiểu là organizations chứ không ẩn nút.

Giá trị không được dùng cho Directory (tenant) ID

common và consumers bị từ chối ngay khi lưu, kèm lời báo. Hai giá trị này cho tài khoản Microsoft cá nhân (Outlook.com, Hotmail) đi qua, nghĩa là bất kỳ ai có một tài khoản Microsoft miễn phí cũng qua được bước Microsoft.

Giá trị organizations được chấp nhận: nó cho mọi tổ chức dùng Microsoft Entra đăng nhập, không riêng công ty bạn. Chỉ dùng khi bạn thật sự cần nhiều tổ chức (ví dụ công ty mẹ và các công ty con có thư mục riêng), và luôn đi kèm Domain email được phép.

Khuyến nghị cho doanh nghiệp

• Điền Directory (tenant) ID của công ty thay cho giá trị organizations điền sẵn. Khi đó chỉ người trong thư mục của công ty mới qua được bước Microsoft; các lớp chặn trong LMS chỉ còn là lớp dự phòng.
• Đặt Domain email được phép là tên miền công ty (ví dụ congty.vn). Có nhiều tên miền (công ty con, tên miền cũ) thì thêm đủ.
• Cân nhắc tắt Tự động tạo tài khoản nếu HR đã nhập nhân viên từ Excel. Tắt thì chỉ những người đã có trong danh sách mới đăng nhập được; người ngoài danh sách (thực tập sinh chưa nhập, tài khoản dịch vụ, người của phòng ban không dùng LMS) không tự sinh tài khoản và không chiếm chỗ. Để bật thì người mới vào công ty đăng nhập được ngay mà không phải chờ HR nhập.
• Để ý trần tài khoản. Nếu gói có giới hạn số tài khoản, mỗi người lần đầu đăng nhập mà được tạo mới sẽ chiếm một chỗ. Xem Tài khoản: tự đăng ký và trần người dùng.
• Tự đăng ký bằng form là cài đặt riêng (Cài đặt > Chung > Tài khoản), không liên quan ô Tự động tạo tài khoản ở đây. Muốn đóng hẳn đường tự vào thì xem cả hai.

Người dùng bấm ở đâu

Nút Đăng nhập bằng Microsoft hiện dưới form đăng nhập, sau dòng "hoặc đăng nhập bằng", trên trang đăng nhập của mọi cổng:

Cổng	Trang đăng nhập
Học viên / nhân viên (Learnspace)	/login
Quản trị	/admin/login
Giảng viên	/trainer/login
Quản lý trực tiếp (đào tạo doanh nghiệp)	/manager/login
Giáo viên (K12)	/teacher/login

Sau khi đăng nhập ở Microsoft, người dùng được đưa về đúng cổng đã bấm nút: bấm ở /manager/login thì về trang Quản lý, bấm ở /login thì về Learnspace. Nếu tổ chức cũng bật đăng nhập bằng Google, hai nút hiện cạnh nhau.

Người dùng vẫn đăng nhập bằng email và mật khẩu được như trước nếu họ có mật khẩu. Bật Microsoft không khoá đường mật khẩu. Muốn buộc nhân viên thuộc tên miền công ty chỉ vào bằng Microsoft (đóng đường mật khẩu và quên mật khẩu), xem Bắt buộc đăng nhập bằng SSO theo domain.

Lần đầu đăng nhập: tài khoản được khớp thế nào

Microsoft trả về tên đăng nhập công ty của người dùng (dạng ten@congty.vn, trên Entra gọi là User principal name). LMS dùng địa chỉ này làm email và xử lý theo thứ tự:

1. Đã từng đăng nhập Microsoft: vào thẳng tài khoản đã gắn.
2. Chưa từng, nhưng đã có tài khoản cùng email: LMS gắn Microsoft vào tài khoản đó rồi đăng nhập. Áp dụng cho tài khoản HR đã nhập từ Excel, tài khoản tạo tay, người từng đăng ký bằng mật khẩu, và người đã đăng nhập bằng Google cùng email. Mọi dữ liệu học tập, hồ sơ nhân viên, nghĩa vụ đào tạo vẫn nằm nguyên trên tài khoản đó.
3. Chưa có tài khoản nào: nếu Tự động tạo tài khoản bật và tổ chức còn chỗ, LMS tạo tài khoản mới với họ tên lấy từ Microsoft và vai trò mặc định của tổ chức. Nếu ô này tắt, người dùng nhận lời báo không tìm thấy tài khoản.

Trước bước 1, LMS kiểm Domain email được phép (nếu có đặt). Email ngoài danh sách bị chặn ngay, kể cả khi đã có tài khoản.

Email trong LMS phải trùng tên đăng nhập Microsoft

Bước 2 chỉ khớp khi email trong LMS trùng tên đăng nhập Microsoft của người đó (không phân biệt hoa thường). Ở một số công ty, tên đăng nhập Microsoft khác địa chỉ thư thường dùng (ví dụ đăng nhập nv0123@congty.vn nhưng thư là an.nguyen@congty.vn). Khi đó hãy nhập nhân viên bằng tên đăng nhập Microsoft, hoặc sửa email của tài khoản trong LMS cho trùng.

Câu hỏi thường gặp

Gỡ liên kết Microsoft khỏi một người dùng thế nào? Mở người đó trong Người dùng và bấm Gỡ liên kết SSO. Chi tiết và lưu ý (đăng nhập lại bằng cùng email sẽ tự gắn lại) ở Tài khoản.

Nhân viên báo "Domain email của bạn không được phép đăng nhập bằng Microsoft trên hệ thống này". Tên đăng nhập Microsoft của họ không thuộc tên miền nào trong Domain email được phép. Hay gặp ở công ty có nhiều tên miền (công ty con, tên miền cũ): thêm tên miền đó vào danh sách. Khách mời (guest) từ tổ chức khác trong thư mục Entra của bạn có tên đăng nhập dạng ..._gmail.com#EXT#@...onmicrosoft.com nên cũng bị chặn ở đây; đó là chủ ý.

Nhân viên báo "Không tìm thấy tài khoản phù hợp và chế độ tự đăng ký đang tắt. Liên hệ quản trị viên."Tự động tạo tài khoản đang tắt và LMS không có tài khoản nào mang email trùng tên đăng nhập Microsoft của họ. Kiểm tra: người đó đã được nhập chưa, và email trong LMS có trùng đúng tên đăng nhập Microsoft không (xem mục trên). Nhập bổ sung hoặc sửa email rồi bảo họ bấm lại nút.

Nhân viên báo "Tổ chức này đã hết chỗ tài khoản nên không tạo được tài khoản mới cho bạn. Liên hệ quản trị viên." Tổ chức đã dùng hết số tài khoản của gói, nên LMS không tạo được tài khoản mới cho người chưa có. Người đã có tài khoản vẫn đăng nhập Microsoft bình thường. Xoá bớt tài khoản không dùng hoặc liên hệ quản trị nền tảng để nâng gói. Xem Khi hết chỗ.

Mọi người đều nhận "Đăng nhập Microsoft thất bại. Vui lòng thử lại." Thường do client secret sai hoặc đã hết hạn. Nếu chỉ một người gặp và thử lại được, có thể họ để trang đăng nhập Microsoft quá lâu; bấm lại nút từ đầu.

Đổi secret khi hết hạn thế nào? Client secret trên Entra có thời hạn. Hết hạn là mọi người đăng nhập Microsoft đều nhận lỗi "thất bại" ở trên. Nên đổi trước ngày hết hạn vài ngày:

1. Trên Entra, vào ứng dụng > Certificates & secrets > New client secret, chép Value mới.
2. Trong LMS, Cài đặt > Tích hợp > Đăng nhập bằng Microsoft, dán vào ô Client secret, bấm Lưu.
3. Đăng nhập thử bằng Microsoft. Chạy rồi thì quay lại Entra xoá secret cũ.

Secret cũ và mới cùng tồn tại trên Entra được, nên không có lúc nào đăng nhập bị gián đoạn.

Nhân viên có cả tài khoản Google lẫn Microsoft thì sao? Nếu cả hai cùng một email (ví dụ công ty dùng Google Workspace và Microsoft 365 trên cùng tên miền), cả hai đều gắn vào cùng một tài khoản LMS: đăng nhập bằng bên nào cũng vào đúng tài khoản đó, gắn bên này không gỡ bên kia. Nếu hai email khác nhau, LMS coi là hai người khác nhau và có thể sinh ra hai tài khoản (khi Tự động tạo tài khoản bật). Tổ chức chỉ dùng một bên thì chỉ nên bật bên đó.

Đăng nhập xong lại gặp trang báo không có quyền truy cập. Người dùng bấm nút ở cổng họ không có quyền vào, ví dụ nhân viên bấm ở /admin/login. Đăng nhập vẫn thành công; họ mở /learnspace (hoặc bấm lại ở trang /login) là vào được.

Tắt đăng nhập Microsoft thì người đã dùng nó có mất tài khoản không? Không. Tài khoản và dữ liệu giữ nguyên, chỉ nút biến mất. Người chưa từng đặt mật khẩu thì dùng Quên mật khẩu? trên trang đăng nhập để tạo mật khẩu. Nếu tên miền của họ đang nằm trong danh sách bắt buộc SSO thì phải xoá tên miền đó trước, nếu không họ không đăng nhập được bằng cách nào.

Xem thêm

• Đăng nhập bằng Google
• Tài khoản: tự đăng ký và trần người dùng
• Nhập nhân viên từ Excel