Policy e single sign-on

La voce policyCriteri dell'organizzazione stabilisce le regole che valgono per tutte le persone che aggiungi. Con vpn_keySingle sign-on i tuoi dipendenti accedono con l'account che la loro azienda già fornisce ed entrano nell'organizzazione automaticamente.

Entrambe si trovano nell'area Enterprise: businessEnterprise > policyCriteri e vpn_keySingle sign-on.

La policy dell'organizzazione#

Modifica una qualsiasi delle opzioni qui sotto, poi premi saveSalva in fondo alla pagina. Un nuovo ruolo predefinito vale per chi entra da quel momento in poi; non cambia il ruolo dei membri già presenti.

Domini email consentiti#

Solo le persone con questi domini email possono essere invitate o collegate alla tua organizzazione. Lascia vuoto per consentire qualsiasi dominio.

1. In Domini email consentiti, scrivi un dominio in Aggiungi dominio, per esempio acme.com. Scrivi solo il dominio, non un indirizzo email né un indirizzo web.
2. Premi addAggiungi (oppure Invio). Il dominio compare come chip.
3. Premi saveSalva.

Premi close su un chip per rimuovere quel dominio. Se l'elenco è vuoto, la pagina mostra "Nessuna restrizione: si può invitare qualsiasi dominio email."

Con l'elenco impostato, un invito a qualsiasi altro dominio viene rifiutato, sia nella pagina groupUtenti sia dal server, così come una richiesta di adesione inviata a un account esistente. Neppure i membri possono cambiare il proprio indirizzo di accesso con uno di un altro dominio.

Valori predefiniti#

• Ruolo predefinito per i nuovi membri: il ruolo assegnato a chiunque entri: le persone che inviti, gli account esistenti che accettano una richiesta di adesione, chi arriva tramite il single sign-on e i membri creati tramite l'API. All'inizio è Membro. Solo il proprietario può impostarlo su Amministratore. Vedi i ruoli.
• Segnala i membri come inattivi dopo (giorni): un membro che non accede da più tempo di questo viene contato come inattivo nella pagina groupUtenti, un indizio che il suo posto potrebbe andare a qualcun altro. Qualsiasi numero da 1 a 3650; all'inizio è 60.

Misure di sicurezza#

• Richiedi il trasferimento dei progetti prima che un membro chiuda il proprio account: i membri non possono in nessun caso eliminare il proprio account, solo il proprietario e gli Admin possono farlo, quindi questa opzione non cambia nulla. I membri che elimini lasciano sempre i loro progetti all'organizzazione. Vedi rimuovere una persona dall'organizzazione.

Single sign-on#

Con il single sign-on, i tuoi dipendenti accedono a Measure Map Online con l'account che la loro azienda già fornisce (Microsoft, Okta, Google e altri), tramite il provider di identità della tua azienda, usando SAML oppure OpenID Connect (OIDC). Chiunque della tua azienda acceda in questo modo entra automaticamente nella tua organizzazione.

Lo richiedi dalla pagina vpn_keySingle sign-on: mostra cosa inserire nel tuo provider di identità e cosa inviarci. Noi verifichiamo la richiesta e attiviamo il single sign-on. Possono inviare la richiesta il proprietario dell'organizzazione e i suoi Admin.

Come funziona#

1. Ci invii qui sotto i dati del tuo identity provider, con i domini email usati dal tuo team.
2. Li controlliamo e attiviamo il single sign-on. Ricevi un'email e questa pagina mostra il link di accesso.
3. Il tuo team accede con il proprio account aziendale. I nuovi arrivati entrano nella tua organizzazione e compaiono in Utenti, dove imposti il loro ruolo.

Cosa ti serve prima di iniziare#

• L'accesso da amministratore al tuo provider di identità, come il Microsoft Entra admin center, la Okta Admin Console o la Google Admin console, oppure una persona del tuo team IT che ce l'abbia. Lì aggiungi Measure Map Online come applicazione.
• Tutti i domini email che usa il tuo team, per esempio acme.com e acme.co.uk. Solo chi ha un indirizzo su questi domini può entrare con il single sign-on.
• Un referente tecnico: nome e indirizzo email della persona a cui possiamo chiedere informazioni sulla connessione.
• Tre dati del tuo provider di identità, che copi una volta aggiunto lì Measure Map Online (passaggio 1 qui sotto):
  • con SAML: URL di single sign-on (URL di accesso), ID entità dell'identity provider (issuer) e Certificato di firma;
  • con OpenID Connect: URL dell'issuer, ID client e Segreto client.

Passaggio 1: aggiungi Measure Map Online al tuo provider di identità#

1. Apri businessEnterprise > vpn_keySingle sign-on.

2. In Protocollo, scegli SAML 2.0, che la pagina consiglia, oppure OpenID Connect se il tuo team IT preferisce.

3. In Identity provider, scegli il tuo: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud oppure Un altro provider.

4. In Inserisci questi valori nel tuo identity provider, la pagina mostra la nostra parte della connessione. Copia ogni valore dalla pagina con content_copy invece di digitarlo.

   Con SAML:

   • Identificatore (Entity ID): https://app.measuremaponline.com
   • URL di risposta (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: L'indirizzo email dell'utente
   • Attributi: email (obbligatorio); nome e cognome, oppure nome visualizzato (facoltativi)

   Con OpenID Connect:

   • URI di reindirizzamento: https://measuremaponline.com/__/auth/handler
   • Ambiti: openid email profile

5. Sotto, la pagina riporta i passaggi per il provider che hai scelto. Li trovi anche qui, con l'indicazione di dove trovare ciascun dato richiesto dal passaggio 2.

Dove trovarlo nel tuo provider di identità#

Microsoft Entra ID, Okta e Google Workspace hanno passaggi propri. OneLogin, JumpCloud e gli altri provider seguono quelli generali.

Microsoft Entra ID, con SAML#

1. Nel Microsoft Entra admin center, apri Enterprise applications > New application > Create your own application. Chiamala "Measure Map Online" e scegli di integrare un'applicazione che non trovi nella galleria.
2. Nella nuova applicazione, apri Single sign-on e scegli SAML. In Basic SAML Configuration, inserisci Identificatore (Entity ID) e URL di risposta (ACS URL).
3. In Attributes & Claims, imposta il Unique User Identifier (Name ID) su user.mail e mantieni il claim dell'indirizzo email.
4. In Users and groups, assegna le persone o i gruppi che accederanno.
5. Tornato in Single sign-on, copia i tre dati:
   • URL di single sign-on (URL di accesso): il Login URL, in Set up Measure Map Online.
   • ID entità dell'identity provider (issuer): il Microsoft Entra Identifier, nello stesso punto.
   • Certificato di firma: scarica Certificate (Base64) in SAML Certificates.

Okta, con SAML#

1. Nella Okta Admin Console, apri Applications > Applications > Create App Integration, scegli SAML 2.0 e chiama l'app "Measure Map Online".
2. Inserisci URL di risposta (ACS URL) come Single sign-on URL e Identificatore (Entity ID) come Audience URI (SP Entity ID). Imposta Name ID format su EmailAddress e Application username su Email.
3. In Attribute Statements, aggiungi email con il valore user.email (e firstName e lastName se vuoi).
4. Nella scheda Assignments, assegna le persone o i gruppi che accederanno.
5. Nella scheda Sign On, apri View SAML setup instructions e copia:
   • URL di single sign-on (URL di accesso): l'Identity Provider Single Sign-On URL.
   • ID entità dell'identity provider (issuer): l'Identity Provider Issuer.
   • Certificato di firma: l'X.509 Certificate.

Google Workspace, con SAML#

1. Nella Google Admin console, apri Apps > Web and mobile apps > Add app > Add custom SAML app e chiamala "Measure Map Online".
2. Nella pagina Google Identity Provider details, copia i tre dati, poi continua:
   • URL di single sign-on (URL di accesso): l'SSO URL.
   • ID entità dell'identity provider (issuer): l'Entity ID.
   • Certificato di firma: scarica il certificato.
3. Nella pagina successiva, inserisci URL di risposta (ACS URL) come ACS URL e Identificatore (Entity ID) come Entity ID. Imposta Name ID format su EMAIL e Name ID su Basic Information > Primary email.
4. In User access, attiva l'app per le unità organizzative o i gruppi che accederanno.

OneLogin, JumpCloud e altri provider, con SAML#

1. Crea un'applicazione SAML 2.0 chiamata "Measure Map Online".
2. Inserisci Identificatore (Entity ID) e URL di risposta (ACS URL), invia l'indirizzo email dell'utente come Name ID e assegna le persone che accederanno.
3. Copia i tre dati, di solito dalla pagina SAML o dei metadati dell'applicazione:
   • URL di single sign-on (URL di accesso): l'URL di single sign-on del provider di identità.
   • ID entità dell'identity provider (issuer): il suo entity ID, detto anche issuer.
   • Certificato di firma: il suo certificato di firma.

Microsoft Entra ID, con OpenID Connect#

1. Nel Microsoft Entra admin center, apri App registrations > New registration. Chiamala "Measure Map Online", scegli Web come piattaforma e inserisci URI di reindirizzamento.
2. In Certificates & secrets, crea un client secret e copia subito il suo valore: viene mostrato una sola volta.
3. In Token configuration, aggiungi il claim facoltativo email all'ID token.
4. Copia i tre dati:
   • URL dell'issuer: https://login.microsoftonline.com/<tenant ID>/v2.0, con il Directory (tenant) ID della pagina Overview.
   • ID client: l'Application (client) ID.
   • Segreto client: il valore del secret del passaggio 2.

Altri provider, con OpenID Connect#

1. Crea un'applicazione web OpenID Connect chiamata "Measure Map Online", con URI di reindirizzamento.
2. Consenti gli scope openid, email e profile e assegna le persone che accederanno.
3. Copia i tre dati: URL dell'issuer, ID client e Segreto client.

Passaggio 2: inviaci i dati#

In Inviaci i dettagli, compila:

• Con SAML: URL di single sign-on (URL di accesso), ID entità dell'identity provider (issuer) e Certificato di firma. Incolla il testo del certificato (Base64 o PEM, con le righe BEGIN e END), oppure premi upload_fileScegli file e scegli il file .cer, .crt o .pem che hai scaricato.
• Con OpenID Connect: URL dell'issuer, ID client e Segreto client.
• Domini email: scrivi un dominio, per esempio acme.com, e premi addAggiungi (oppure Invio). Aggiungi tutti i domini che usa il tuo team: solo chi ha un indirizzo su questi domini può entrare con il single sign-on.
• Referente tecnico e Email di contatto: chi contattiamo riguardo alla richiesta. Tutto il resto va in Qualsiasi cosa dobbiamo sapere (facoltativo).

Premi sendInvia richiesta. I dati vengono controllati mentre li invii e, se non sono accettati, il modulo ti dice subito cosa correggere:

• "Impossibile leggere quel certificato di firma. Incolla l'intero certificato, comprese le righe BEGIN ed END, oppure scegli il file."
• "Quei dati non sono stati accettati. Controlla l'URL di single sign-on, l'ID entità e il certificato (oppure l'issuer, l'ID client e il segreto) e riprova."

Mentre li verifichiamo#

Una volta inviata la richiesta, lo stato in cima alla pagina indica schedule In attesa di noi, con i dati che hai inviato e il numero del ticket di supporto che abbiamo aperto per la richiesta. Verifichiamo la richiesta, soprattutto che i domini email appartengano alla tua organizzazione, e attiviamo il single sign-on. Il proprietario riceve un'email e la pagina mostra check_circle Attivato con il link di accesso.

Nell'attesa puoi:

• Premere editModifica richiesta per correggerla, poi sendAggiorna richiesta. Lascia vuoto Certificato di firma o Segreto client per mantenere quello inviato prima.
• Premere undoRitira richiesta per annullarla. Puoi inviarne una nuova in qualsiasi momento.

Se dobbiamo far cambiare qualcosa, lo stato indica error Serve una modifica, con la nostra nota su cosa modificare. Correggi il modulo e premi sendAggiorna richiesta.

Quando è attivo#

La pagina mostra il tuo provider di identità, i domini email approvati e Link di accesso, per esempio https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Premi content_copy per copiarlo e condividilo con il tuo team: apre la pagina di accesso già pronta per il provider della tua azienda. Funziona anche lo stesso link con ?saml= al posto di ?sso=.

• Chi entra: chi accede tramite questo link entra automaticamente nella tua organizzazione la prima volta, se il suo indirizzo è su uno dei domini approvati. Riceve il ruolo predefinito dell'organizzazione, come le persone invitate, e ognuno occupa un posto. Se non c'è un posto libero, la persona non può entrare e il proprietario riceve un'email in proposito (al massimo una al giorno).
• Modifiche: per cambiare provider o disattivare il single sign-on, premi support_agentContattaci. Si apre il modulo di supporto, già avviato per te. Il proprietario riceve un'email ogni volta che il single sign-on viene attivato o disattivato, così una modifica inattesa non passa inosservata.
• Certificato: con SAML, la pagina mostra fino a quando è valido il certificato di firma del tuo provider di identità e ti avvisa a partire da un mese prima della scadenza. Una volta scaduto, nessuno può accedere con il single sign-on: crea un nuovo certificato nel tuo provider di identità e inviacelo con support_agentContattaci.
• Problemi: se il provider smette di funzionare, lo stato indica error Non funziona e il tuo team non può accedere con esso. Invia di nuovo il modulo di richiesta sotto l'avviso, come nel passaggio 1 e nel passaggio 2, e lo ricolleghiamo dopo averlo verificato. Puoi anche premere support_agentContattaci.