Política i inici de sessió únic

La policyPolítica de l'organització estableix regles que s'apliquen a tothom qui hi incorpores. L'vpn_keyInici de sessió únic permet que els teus empleats iniciïn la sessió amb el compte que l'empresa ja els dona, i que s'uneixin automàticament a l'organització.

Tots dos són a l'àrea Enterprise: businessEnterprise > policyPolítica i vpn_keyInici de sessió únic.

La política de l'organització#

Canvia qualsevol de les opcions següents i, després, prem saveDesa a la part inferior de la pàgina. Un rol per defecte nou s'aplica a les persones que s'hi uneixin a partir d'aquell moment; no canvia el rol dels membres actuals.

Dominis de correu permesos#

Només es pot convidar o vincular a la teva organització les persones amb aquests dominis de correu. Deixa-ho buit per permetre qualsevol domini.

1. A Dominis de correu permesos, escriu un domini a Afegeix un domini, per exemple acme.com. Escriu només el domini, no una adreça de correu ni una adreça web.
2. Prem addAfegeix (o Enter). El domini apareix com a xip.
3. Prem saveDesa.

Prem close en un xip per treure aquest domini. Si la llista no té cap domini, la pàgina diu "Sense restriccions: es pot convidar qualsevol domini de correu."

Amb la llista definida, es rebutja qualsevol invitació a un altre domini, tant a la pàgina groupUsuaris com al servidor, i també una sol·licitud d'unió enviada a un compte existent. Els membres tampoc no poden canviar la seva pròpia adreça d'inici de sessió a un altre domini.

Valors per defecte#

• Rol per defecte dels membres nous: el rol que rep tothom qui s'hi uneix: les persones que convides, els comptes existents que accepten una sol·licitud d'unió, les persones que arriben amb l'inici de sessió únic i els membres creats amb l'API. Per defecte és Membre. Només el propietari pot posar-hi Administrador. Consulta els rols.
• Marca els membres com a inactius després de (dies): un membre que no ha iniciat la sessió des de fa més temps que això es compta com a inactiu a la pàgina groupUsuaris, una pista que la seva plaça podria passar a una altra persona. Qualsevol nombre d'1 a 3650; per defecte és 60.

Salvaguardes#

• Exigeix transferir els projectes abans que un membre tanqui el seu compte: els membres no poden eliminar el seu propi compte en cap cas, només ho poden fer el propietari i els administradors, de manera que aquesta opció no canvia res. Els membres que elimines deixen sempre els seus projectes a l'organització. Consulta treure algú de l'organització.

Inici de sessió únic#

Amb l'inici de sessió únic, els teus empleats inicien la sessió a Measure Map Online amb el compte que l'empresa ja els dona (Microsoft, Okta, Google i altres), mitjançant el proveïdor d'identitat de l'empresa, amb SAML o OpenID Connect (OIDC). Qualsevol persona de la teva empresa que hi iniciï la sessió s'uneix automàticament a la teva organització.

El demanes a la pàgina vpn_keyInici de sessió únic: hi trobaràs què has d'introduir al teu proveïdor d'identitat i què ens has d'enviar. Comprovem la sol·licitud i activem l'inici de sessió únic. El propietari de l'organització i els seus administradors poden enviar la sol·licitud.

Com funciona#

1. Ens envies a sota les dades del teu proveïdor d'identitat, amb els dominis de correu que fa servir el teu equip.
2. Les revisem i activem l'inici de sessió únic. Reps un correu, i aquesta pàgina mostra l'enllaç d'inici de sessió.
3. El teu equip inicia la sessió amb el seu compte d'empresa. Les persones noves s'uneixen a la teva organització i apareixen a Usuaris, on en defineixes el rol.

Què necessites abans de començar#

• Accés d'administrador al teu proveïdor d'identitat, com el centre d'administració de Microsoft Entra, la consola d'administració d'Okta o la consola d'administració de Google, o algú de l'equip de TI que en tingui. Hi afegiràs Measure Map Online com a aplicació.
• Tots els dominis de correu que fa servir el teu equip, per exemple acme.com i acme.co.uk. Només les persones amb una adreça d'aquests dominis poden unir-se amb l'inici de sessió únic.
• Un contacte tècnic: el nom i l'adreça de correu de la persona a qui podem preguntar sobre la connexió.
• Tres dades del teu proveïdor d'identitat, que copies un cop Measure Map Online hi està afegit (pas 1 més avall):
  • amb SAML: el URL d'inici de sessió únic (URL d'inici de sessió), l'Entity ID del proveïdor d'identitat (issuer) i el Certificat de signatura;
  • amb OpenID Connect: l'URL de l'emissor, l'Client ID i el Client secret.

Pas 1: afegeix Measure Map Online al teu proveïdor d'identitat#

1. Obre businessEnterprise > vpn_keyInici de sessió únic.

2. A Protocol, tria SAML 2.0, que és el que recomana la pàgina, o OpenID Connect si l'equip de TI ho prefereix.

3. A Proveïdor d'identitat, tria el teu: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud o Un altre proveïdor.

4. A Introdueix aquests valors al teu proveïdor d'identitat, la pàgina mostra la nostra part de la connexió. Copia cada valor de la pàgina amb content_copy en lloc d'escriure'l.

   Amb SAML:

   • Identificador (Entity ID): https://app.measuremaponline.com
   • URL de resposta (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: L'adreça de correu de l'usuari
   • Atributs: email (obligatori); nom i cognoms, o nom visible (opcional)

   Amb OpenID Connect:

   • URI de redirecció: https://measuremaponline.com/__/auth/handler
   • Àmbits: openid email profile

5. A sota, la pàgina dona els passos del proveïdor que has triat. També són aquí, amb on trobar cada dada que demana el pas 2.

On trobar-ho al teu proveïdor d'identitat#

Microsoft Entra ID, Okta i Google Workspace tenen els seus propis passos. OneLogin, JumpCloud i altres proveïdors segueixen els generals.

Microsoft Entra ID, amb SAML#

1. Al centre d'administració de Microsoft Entra, obre Enterprise applications

   New application > Create your own application. Posa-li el nom "Measure Map Online" i tria integrar una aplicació que no trobes a la galeria.

2. A la nova aplicació, obre Single sign-on i tria SAML. A Basic SAML Configuration, introdueix l'Identificador (Entity ID) i l'URL de resposta (ACS URL).
3. A Attributes & Claims, defineix el Unique User Identifier (Name ID) com a user.mail i conserva la declaració de l'adreça de correu.
4. A Users and groups, assigna les persones o els grups que iniciaran la sessió.
5. De tornada a Single sign-on, copia les tres dades:
   • URL d'inici de sessió únic (URL d'inici de sessió): el Login URL, a Set up Measure Map Online.
   • Entity ID del proveïdor d'identitat (issuer): el Microsoft Entra Identifier, al mateix lloc.
   • Certificat de signatura: baixa el Certificate (Base64) a SAML Certificates.

Okta, amb SAML#

1. A l'Okta Admin Console, obre Applications > Applications > Create App Integration, tria SAML 2.0 i posa a l'aplicació el nom "Measure Map Online".
2. Introdueix l'URL de resposta (ACS URL) com a Single sign-on URL i l'Identificador (Entity ID) com a Audience URI (SP Entity ID). Defineix Name ID format com a EmailAddress i Application username com a Email.
3. A Attribute Statements, afegeix email amb el valor user.email (i firstName i lastName si vols).
4. A la pestanya Assignments, assigna les persones o els grups que iniciaran la sessió.
5. A la pestanya Sign On, obre View SAML setup instructions i copia:
   • URL d'inici de sessió únic (URL d'inici de sessió): l'Identity Provider Single Sign-On URL.
   • Entity ID del proveïdor d'identitat (issuer): l'Identity Provider Issuer.
   • Certificat de signatura: el X.509 Certificate.

Google Workspace, amb SAML#

1. A la Google Admin console, obre Apps > Web and mobile apps > Add app > Add custom SAML app i posa-li el nom "Measure Map Online".
2. A la pàgina Google Identity Provider details, copia les tres dades i continua:
   • URL d'inici de sessió únic (URL d'inici de sessió): el SSO URL.
   • Entity ID del proveïdor d'identitat (issuer): l'Entity ID.
   • Certificat de signatura: baixa el certificat.
3. A la pàgina següent, introdueix l'URL de resposta (ACS URL) com a ACS URL i l'Identificador (Entity ID) com a Entity ID. Defineix Name ID format com a EMAIL i Name ID com a Basic Information > Primary email.
4. A User access, activa l'aplicació per a les unitats organitzatives o els grups que iniciaran la sessió.

OneLogin, JumpCloud i altres proveïdors, amb SAML#

1. Crea una aplicació SAML 2.0 amb el nom "Measure Map Online".
2. Introdueix l'Identificador (Entity ID) i l'URL de resposta (ACS URL), envia l'adreça de correu de l'usuari com a Name ID i assigna les persones que iniciaran la sessió.
3. Copia les tres dades, normalment de la pàgina SAML o de metadades de l'aplicació:
   • URL d'inici de sessió únic (URL d'inici de sessió): l'URL d'inici de sessió únic del proveïdor d'identitat.
   • Entity ID del proveïdor d'identitat (issuer): el seu entity ID, també anomenat issuer.
   • Certificat de signatura: el seu certificat de signatura.

Microsoft Entra ID, amb OpenID Connect#

1. Al centre d'administració de Microsoft Entra, obre App registrations > New registration. Posa-li el nom "Measure Map Online", tria Web com a plataforma i introdueix l'URI de redirecció.
2. A Certificates & secrets, crea un client secret i copia'n el valor de seguida: només es mostra una vegada.
3. A Token configuration, afegeix la declaració opcional email al token d'ID.
4. Copia les tres dades:
   • URL de l'emissor: https://login.microsoftonline.com/<tenant ID>/v2.0, amb el Directory (tenant) ID de la pàgina Overview.
   • Client ID: l'Application (client) ID.
   • Client secret: el valor del secret del pas 2.

Altres proveïdors, amb OpenID Connect#

1. Crea una aplicació web OpenID Connect amb el nom "Measure Map Online", amb l'URI de redirecció.
2. Permet els àmbits openid, email i profile, i assigna les persones que iniciaran la sessió.
3. Copia les tres dades: URL de l'emissor, Client ID i Client secret.

Pas 2: envia'ns les dades#

A Envia'ns les dades, omple:

• Amb SAML: URL d'inici de sessió únic (URL d'inici de sessió), Entity ID del proveïdor d'identitat (issuer) i Certificat de signatura. Enganxa el text del certificat (Base64 o PEM, amb les línies BEGIN i END), o prem upload_fileTria un fitxer i tria el fitxer .cer, .crt o .pem que has baixat.
• Amb OpenID Connect: URL de l'emissor, Client ID i Client secret.
• Dominis de correu: escriu un domini, per exemple acme.com, i prem addAfegeix (o Enter). Afegeix tots els dominis que fa servir el teu equip: només les persones amb una adreça d'aquests dominis poden unir-se amb l'inici de sessió únic.
• Contacte tècnic i Correu de contacte: a qui contactem sobre la sol·licitud. Qualsevol altra cosa va a Qualsevol cosa que hàgim de saber (opcional).

Prem sendEnvia la sol·licitud. Les dades es comproven en enviar-les i, si no s'accepten, el formulari diu de seguida què cal corregir:

• "No s'ha pogut llegir aquest certificat de signatura. Enganxa el certificat complet, amb les línies BEGIN i END, o tria el fitxer."
• "No s'han acceptat aquestes dades. Revisa l'URL d'inici de sessió únic, l'entity ID i el certificat (o l'emissor, el client ID i el secret) i torna-ho a provar."

Mentre ho comprovem#

Un cop enviada la sol·licitud, l'estat a la part superior de la pàgina diu schedule Esperant-nos, amb les dades que has enviat i el número del tiquet de suport que hem obert. Comprovem la sol·licitud, sobretot que els dominis de correu pertanyin a la teva organització, i activem l'inici de sessió únic. El propietari rep un correu, i la pàgina mostra check_circle Activada amb l'enllaç d'inici de sessió.

Mentre espera, pots:

• Prémer editEdita la sol·licitud per corregir-la i, després, sendActualitza la sol·licitud. Deixa Certificat de signatura o Client secret buit per conservar el que vas enviar abans.
• Prémer undoRetira la sol·licitud per cancel·lar-la. En pots enviar una de nova en qualsevol moment.

Si necessitem que canviïs alguna cosa, l'estat diu error Cal un canvi, amb la nostra nota sobre què cal canviar. Corregeix el formulari i prem sendActualitza la sol·licitud.

Un cop activat#

La pàgina mostra el teu proveïdor d'identitat, els dominis de correu aprovats i l'Enllaç d'inici de sessió, per exemple https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Prem content_copy per copiar-lo i comparteix-lo amb el teu equip: obre la pàgina d'inici de sessió a punt per al proveïdor de l'empresa. També funciona el mateix enllaç amb ?saml= en lloc de ?sso=.

• Qui s'hi uneix: les persones que hi inicien la sessió s'uneixen automàticament a la teva organització la primera vegada, si la seva adreça és d'un dels dominis aprovats. Reben el rol per defecte de l'organització, igual que les persones convidades, i cadascuna ocupa una plaça. Si no hi ha cap plaça lliure, la persona no s'hi pot unir, i el propietari rep un correu (com a màxim un al dia).
• Canvis: per canviar de proveïdor o desactivar l'inici de sessió únic, prem support_agentContacta amb nosaltres. S'obre el formulari de suport, ja començat per tu. El propietari rep un correu cada vegada que l'inici de sessió únic s'activa o es desactiva, de manera que un canvi inesperat no passa desapercebut.
• Certificat: amb SAML, la pàgina mostra fins quan és vàlid el certificat de signatura del teu proveïdor d'identitat, i t'avisa des d'un mes abans que caduqui. Quan ha caducat, ningú no pot iniciar la sessió amb l'inici de sessió únic: crea un certificat nou al teu proveïdor d'identitat i envia'ns-el amb support_agentContacta amb nosaltres.
• Problemes: si el proveïdor deixa de funcionar, l'estat diu error No funciona i el teu equip no pot iniciar la sessió amb ell. Torna a enviar el formulari de sol·licitud que hi ha sota l'avís, com al pas 1 i al pas 2, i el tornem a connectar un cop l'hàgim comprovat. També pots prémer support_agentContacta amb nosaltres.