Politik og single sign-on

Organisationens policyPolitik fastsætter regler, der gælder for alle, du henter ind. Med vpn_keySingle sign-on kan dine medarbejdere logge ind med den konto, deres virksomhed allerede giver dem, og blive medlem af organisationen automatisk.

Begge dele findes i Enterprise-området: businessEnterprise > policyPolitik og vpn_keySingle sign-on.

Organisationens politik#

Ændr en af indstillingerne nedenfor, og tryk derefter på saveGem nederst på siden. En ny standardrolle gælder for dem, der tilmelder sig fra nu af; den ændrer ikke rollen for eksisterende medlemmer.

Tilladte e-maildomæner#

Kun personer med disse e-maildomæner kan inviteres eller knyttes til din organisation. Lad feltet stå tomt for at tillade ethvert domæne.

1. Skriv et domæne i Tilføj domæne under Tilladte e-maildomæner, for eksempel acme.com. Skriv kun domænet, ikke en e-mailadresse eller en webadresse.
2. Tryk på addTilføj (eller på Enter). Domænet vises som en chip.
3. Tryk på saveGem.

Tryk på close på en chip for at fjerne domænet. Når listen er tom, står der på siden "Ingen begrænsning – ethvert e-maildomæne kan inviteres."

Når listen er sat op, afvises en invitation til et hvilket som helst andet domæne, både på siden groupBrugere og af serveren, og det samme gælder en anmodning om at blive medlem, der sendes til en eksisterende konto. Medlemmer kan heller ikke ændre deres egen loginadresse til et andet domæne.

Standardindstillinger#

• Standardrolle for nye medlemmer: den rolle, som alle nye medlemmer får: personer, du inviterer, eksisterende konti, der accepterer en anmodning om at blive medlem, personer, der kommer ind via single sign-on, og medlemmer oprettet via API'et. Den starter som Medlem. Kun ejeren kan gøre den til Administrator. Se roller.
• Marker medlemmer som inaktive efter (dage): et medlem, der ikke har logget ind i længere tid end dette, regnes som inaktivt på siden groupBrugere, et tegn på, at pladsen kunne gå til en anden. Et vilkårligt tal fra 1 til 3650; det starter på 60.

Sikkerhedsforanstaltninger#

• Kræv overførsel af projekter, før et medlem lukker sin konto: medlemmer kan under ingen omstændigheder slette deres egen konto, det kan kun ejeren og administratorer, så denne indstilling ændrer ingenting. Medlemmer, du sletter, efterlader altid deres projekter hos organisationen. Se fjern en person fra organisationen.

Single sign-on#

Med single sign-on logger dine medarbejdere ind på Measure Map Online med den konto, deres virksomhed allerede giver dem (Microsoft, Okta, Google og andre), via din virksomheds identitetsudbyder med SAML eller OpenID Connect (OIDC). Alle fra din virksomhed, der logger ind på den måde, bliver automatisk medlem af din organisation.

Du anmoder om det på siden vpn_keySingle sign-on: den viser, hvad du skal indtaste hos din identitetsudbyder, og hvad du skal sende til os. Vi kontrollerer anmodningen og slår single sign-on til. Organisationens ejer og dens administratorer kan sende anmodningen.

Sådan fungerer det#

1. Du sender os din identitetsudbyders oplysninger nedenfor sammen med de e-maildomæner, dit team bruger.
2. Vi tjekker dem og slår single sign-on til. Du får en e-mail, og denne side viser loginlinket.
3. Dit team logger ind med deres firmakonto. Nye personer bliver en del af din organisation og vises under Brugere, hvor du angiver deres rolle.

Det skal du bruge, før du går i gang#

• Administratoradgang til din identitetsudbyder, for eksempel Microsoft Entra admin center, Okta Admin Console eller Google Admin-konsollen, eller en person i din it-afdeling, der har den. Du tilføjer Measure Map Online dér som et program.
• Alle de e-maildomæner, dit team bruger, for eksempel acme.com og acme.co.uk. Kun personer med en adresse på disse domæner kan blive medlem via single sign-on.
• En teknisk kontaktperson: navn og e-mailadresse på den person, vi kan spørge om forbindelsen.
• Tre oplysninger fra din identitetsudbyder, som du kopierer, når Measure Map Online er tilføjet dér (trin 1 nedenfor):
  • med SAML: Single sign-on-URL (login-URL), Identitetsudbyderens entity ID (issuer) og Signeringscertifikat;
  • med OpenID Connect: Issuer-URL, Klient-ID og Klienthemmelighed.

Trin 1: tilføj Measure Map Online hos din identitetsudbyder#

1. Åbn businessEnterprise > vpn_keySingle sign-on.

2. Under Protokol vælger du SAML 2.0, som siden anbefaler, eller OpenID Connect, hvis din it-afdeling foretrækker det.

3. Under Identitetsudbyder vælger du din: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud eller En anden udbyder.

4. Under Indtast disse værdier hos din identitetsudbyder viser siden vores side af forbindelsen. Kopiér hver værdi fra siden med content_copy i stedet for at skrive den.

   Med SAML:

   • Identifikator (Entity ID): https://app.measuremaponline.com
   • Svar-URL (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Brugerens e-mailadresse
   • Attributter: email (påkrævet); for- og efternavn eller visningsnavn (valgfrit)

   Med OpenID Connect:

   • Omdirigerings-URI: https://measuremaponline.com/__/auth/handler
   • Scopes: openid email profile

5. Under dem giver siden trinnene for den udbyder, du valgte. De står også her, sammen med hvor du finder hver af de oplysninger, trin 2 beder om.

Sådan finder du det hos din identitetsudbyder#

Microsoft Entra ID, Okta og Google Workspace har hver deres trin. OneLogin, JumpCloud og andre udbydere følger de generelle trin.

Microsoft Entra ID med SAML#

1. Åbn Enterprise applications > New application > Create your own application i Microsoft Entra admin center. Giv det navnet "Measure Map Online", og vælg at integrere et program, du ikke finder i galleriet.
2. Åbn Single sign-on i det nye program, og vælg SAML. Under Basic SAML Configuration indtaster du Identifikator (Entity ID) og Svar-URL (ACS URL).
3. Under Attributes & Claims sætter du Unique User Identifier (Name ID) til user.mail og beholder e-mailadresse-claimen.
4. Under Users and groups tildeler du de personer eller grupper, der skal logge ind.
5. Tilbage under Single sign-on kopierer du de tre oplysninger:
   • Single sign-on-URL (login-URL): Login URL under Set up Measure Map Online.
   • Identitetsudbyderens entity ID (issuer): Microsoft Entra Identifier samme sted.
   • Signeringscertifikat: download Certificate (Base64) under SAML Certificates.

Okta med SAML#

1. Åbn Applications > Applications > Create App Integration i Okta Admin Console, vælg SAML 2.0, og giv appen navnet "Measure Map Online".
2. Indtast Svar-URL (ACS URL) som Single sign-on URL og Identifikator (Entity ID) som Audience URI (SP Entity ID). Sæt Name ID format til EmailAddress og Application username til Email.
3. Under Attribute Statements tilføjer du email med værdien user.email (og firstName og lastName, hvis du vil).
4. På fanen Assignments tildeler du de personer eller grupper, der skal logge ind.
5. På fanen Sign On åbner du View SAML setup instructions og kopierer:
   • Single sign-on-URL (login-URL): Identity Provider Single Sign-On URL.
   • Identitetsudbyderens entity ID (issuer): Identity Provider Issuer.
   • Signeringscertifikat: X.509 Certificate.

Google Workspace med SAML#

1. Åbn Apps > Web and mobile apps > Add app > Add custom SAML app i Google Admin-konsollen, og giv appen navnet "Measure Map Online".
2. På siden Google Identity Provider details kopierer du de tre oplysninger og fortsætter derefter:
   • Single sign-on-URL (login-URL): SSO URL.
   • Identitetsudbyderens entity ID (issuer): Entity ID.
   • Signeringscertifikat: download certifikatet.
3. På næste side indtaster du Svar-URL (ACS URL) som ACS URL og Identifikator (Entity ID) som Entity ID. Sæt Name ID format til EMAIL og Name ID til Basic Information > Primary email.
4. Under User access slår du appen til for de organisationsenheder eller grupper, der skal logge ind.

OneLogin, JumpCloud og andre udbydere med SAML#

1. Opret et SAML 2.0-program med navnet "Measure Map Online".
2. Indtast Identifikator (Entity ID) og Svar-URL (ACS URL), send brugerens e-mailadresse som Name ID, og tildel de personer, der skal logge ind.
3. Kopiér de tre oplysninger, som regel fra programmets SAML- eller metadataside:
   • Single sign-on-URL (login-URL): identitetsudbyderens single sign-on-URL.
   • Identitetsudbyderens entity ID (issuer): dens entity ID, også kaldet issuer.
   • Signeringscertifikat: dens signeringscertifikat.

Microsoft Entra ID med OpenID Connect#

1. Åbn App registrations > New registration i Microsoft Entra admin center. Giv det navnet "Measure Map Online", vælg Web som platform, og indtast Omdirigerings-URI.
2. Under Certificates & secrets opretter du en client secret og kopierer straks dens værdi: den vises kun én gang.
3. Under Token configuration tilføjer du den valgfri claim email til ID token.
4. Kopiér de tre oplysninger:
   • Issuer-URL: https://login.microsoftonline.com/<tenant ID>/v2.0, med Directory (tenant) ID fra siden Overview.
   • Klient-ID: Application (client) ID.
   • Klienthemmelighed: secretens værdi fra trin 2.

Andre udbydere med OpenID Connect#

1. Opret et OpenID Connect-webprogram med navnet "Measure Map Online" og Omdirigerings-URI.
2. Tillad scopes openid, email og profile, og tildel de personer, der skal logge ind.
3. Kopiér de tre oplysninger: Issuer-URL, Klient-ID og Klienthemmelighed.

Trin 2: send os oplysningerne#

Under Send os oplysningerne udfylder du:

• Med SAML: Single sign-on-URL (login-URL), Identitetsudbyderens entity ID (issuer) og Signeringscertifikat. Indsæt certifikatets tekst (Base64 eller PEM, med dets BEGIN- og END-linjer), eller tryk på upload_fileVælg fil og vælg den .cer-, .crt- eller .pem-fil, du downloadede.
• Med OpenID Connect: Issuer-URL, Klient-ID og Klienthemmelighed.
• E-maildomæner: skriv et domæne, for eksempel acme.com, og tryk på addTilføj (eller på Enter). Tilføj alle de domæner, dit team bruger: kun personer med en adresse på disse domæner kan blive medlem via single sign-on.
• Teknisk kontaktperson og Kontakt-e-mail: hvem vi kontakter om anmodningen. Alt andet skriver du i Alt, vi bør vide (valgfrit).

Tryk på sendSend anmodning. Oplysningerne kontrolleres, mens du sender dem, og hvis de ikke accepteres, siger formularen med det samme, hvad der skal rettes:

• "Signeringscertifikatet kunne ikke læses. Indsæt hele certifikatet, inklusive linjerne BEGIN og END, eller vælg filen."
• "Oplysningerne blev ikke accepteret. Tjek single sign-on-URL'en, entity ID'et og certifikatet (eller issuer, klient-ID og hemmelighed), og prøv igen."

Mens vi kontrollerer det#

Når anmodningen er sendt, står der øverst på siden schedule Venter på os sammen med de oplysninger, du sendte, og nummeret på den supportsag, vi oprettede til den. Vi kontrollerer anmodningen, først og fremmest at e-maildomænerne tilhører din organisation, og slår single sign-on til. Ejeren får en e-mail, og siden viser check_circle Aktiveret med loginlinket.

Mens den venter, kan du:

• Trykke på editRediger anmodning for at rette den og derefter på sendOpdater anmodning. Lad Signeringscertifikat eller Klienthemmelighed stå tom for at beholde den, du sendte før.
• Trykke på undoTræk anmodning tilbage for at annullere den. Du kan til enhver tid sende en ny.

Hvis vi skal have noget ændret, står der error Kræver en ændring med vores note om, hvad der skal ændres. Ret formularen, og tryk på sendOpdater anmodning.

Når det er slået til#

Siden viser din identitetsudbyder, de godkendte e-maildomæner og Loginlink, for eksempel https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Tryk på content_copy for at kopiere det, og del det med dit team: det åbner loginsiden klar til din virksomheds udbyder. Det samme link med ?saml= i stedet for ?sso= virker også.

• Hvem bliver medlem: personer, der logger ind via det, bliver automatisk medlem af din organisation første gang, hvis deres adresse hører til et af de godkendte domæner. De får organisationens standardrolle, ligesom inviterede personer, og hver især bruger en plads. Hvis der ikke er en ledig plads, kan personen ikke blive medlem, og ejeren får en e-mail om det (højst én gang om dagen).
• Ændringer: for at skifte udbyder eller slå single sign-on fra skal du trykke på support_agentKontakt os. Det åbner supportformularen, allerede påbegyndt for dig. Ejeren får en e-mail, hver gang single sign-on slås til eller fra, så en uventet ændring ikke går ubemærket hen.
• Certifikat: med SAML viser siden, indtil hvornår din identitetsudbyders signeringscertifikat er gyldigt, og advarer dig fra en måned, før det udløber. Når det er udløbet, kan ingen logge ind med single sign-on: opret et nyt certifikat hos din identitetsudbyder, og send det til os med support_agentKontakt os.
• Problemer: hvis udbyderen holder op med at virke, står der error Virker ikke, og dit team kan ikke logge ind med den. Send anmodningsformularen under beskeden igen, som i trin 1 og trin 2, så genopretter vi forbindelsen, når vi har kontrolleret den. Du kan også trykke på support_agentKontakt os.