Retningslinjer og single sign-on

Organisasjonens policyRetningslinjer setter regler som gjelder alle du tar med inn. vpn_keySingle sign-on lar de ansatte logge på med kontoen bedriften allerede har gitt dem, og bli med i organisasjonen automatisk.

Begge ligger i Enterprise-området: businessEnterprise > policyRetningslinjer og vpn_keySingle sign-on.

Organisasjonens retningslinjer#

Endre alternativene nedenfor, og trykk deretter saveLagre nederst på siden. En ny standardrolle gjelder for dem som blir med fra da av; den endrer ikke rollen til eksisterende medlemmer.

Tillatte e-postdomener#

Bare personer med disse e-postdomenene kan inviteres eller kobles til organisasjonen din. La feltet stå tomt for å tillate alle domener.

1. Under Tillatte e-postdomener skriver du et domene i Legg til domene, for eksempel acme.com. Skriv bare domenet, ikke en e-postadresse eller en nettadresse.
2. Trykk addLegg til (eller Enter). Domenet vises som en brikke.
3. Trykk saveLagre.

Trykk close på en brikke for å fjerne domenet. Når listen er tom, står det «Ingen begrensning – alle e-postdomener kan inviteres.» på siden.

Når listen er satt, avvises invitasjoner til alle andre domener, både på siden groupBrukere og av serveren, og det samme gjelder en forespørsel om å bli med som sendes til en eksisterende konto. Medlemmer kan heller ikke endre sin egen påloggingsadresse til et annet domene.

Standardverdier#

• Standardrolle for nye medlemmer: rollen alle som blir med, får: personer du inviterer, eksisterende kontoer som godtar en forespørsel om å bli med, personer som kommer inn via single sign-on og medlemmer opprettet gjennom API-et. Den starter som Medlem. Bare eieren kan gjøre den til Administrator. Se roller.
• Marker medlemmer som inaktive etter (dager): et medlem som ikke har logget på på lenger tid enn dette, regnes som inaktivt på siden groupBrukere, som et hint om at plassen kan gå til noen andre. Et tall fra 1 til 3650; det starter på 60.

Sikkerhetstiltak#

• Krev overføring av prosjekter før et medlem lukker kontoen sin: medlemmer kan uansett ikke slette sin egen konto, bare eieren og administratorene kan, så dette alternativet endrer ingenting. Medlemmer du sletter, lar alltid prosjektene sine bli igjen hos organisasjonen. Se fjern noen fra organisasjonen.

Single sign-on#

Med single sign-on logger de ansatte på Measure Map Online med kontoen bedriften allerede gir dem (Microsoft, Okta, Google og andre), gjennom bedriftens identitetsleverandør, med SAML eller OpenID Connect (OIDC). Alle fra bedriften som logger på på denne måten, blir med i organisasjonen automatisk.

Du ber om det på siden vpn_keySingle sign-on: den viser hva du skal skrive inn hos identitetsleverandøren og hva du skal sende oss. Vi kontrollerer forespørselen og slår på single sign-on. Organisasjonens eier og administratorer kan sende forespørselen.

Slik fungerer det#

1. Du sender oss identitetsleverandørens detaljer nedenfor, sammen med e-postdomenene teamet ditt bruker.
2. Vi sjekker dem og slår på single sign-on. Du får en e-post, og denne siden viser påloggingslenken.
3. Teamet ditt logger på med firmakontoen sin. Nye personer blir med i organisasjonen din og vises under Brukere, der du angir rollen deres.

Dette trenger du før du begynner#

• Administratortilgang til identitetsleverandøren, for eksempel Microsoft Entra admin center, Okta Admin Console eller Google Admin-konsollen, eller noen på IT-teamet ditt som har den. Der legger du til Measure Map Online som et program.
• Alle e-postdomenene teamet bruker, for eksempel acme.com og acme.co.uk. Bare personer med en adresse på disse domenene kan bli med via single sign-on.
• En teknisk kontaktperson: navnet og e-postadressen til personen vi kan spørre om tilkoblingen.
• Tre opplysninger fra identitetsleverandøren, som du kopierer når Measure Map Online er lagt til der (trinn 1 nedenfor):
  • med SAML: Single sign-on-URL (påloggings-URL), Identitetsleverandørens entity ID (utsteder) og Signeringssertifikat;
  • med OpenID Connect: Utsteder-URL, Klient-ID og Klienthemmelighet.

Trinn 1: legg til Measure Map Online hos identitetsleverandøren#

1. Åpne businessEnterprise > vpn_keySingle sign-on.

2. Under Protokoll velger du SAML 2.0, som siden anbefaler, eller OpenID Connect hvis IT-teamet foretrekker det.

3. Under Identitetsleverandør velger du din: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud eller En annen leverandør.

4. Under Skriv inn disse verdiene hos identitetsleverandøren din viser siden vår side av tilkoblingen. Kopier hver verdi fra siden med content_copy i stedet for å skrive den inn.

   Med SAML:

   • Identifikator (Entity ID): https://app.measuremaponline.com
   • Svar-URL (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Brukerens e-postadresse
   • Attributter: email (påkrevd); fornavn og etternavn, eller visningsnavn (valgfritt)

   Med OpenID Connect:

   • Omdirigerings-URI: https://measuremaponline.com/__/auth/handler
   • Scopes: openid email profile

5. Under disse gir siden trinnene for leverandøren du valgte. De står også her, med hvor du finner hver opplysning som trinn 2 ber om.

Hvor du finner det hos identitetsleverandøren#

Microsoft Entra ID, Okta og Google Workspace har egne trinn. OneLogin, JumpCloud og andre leverandører følger de generelle.

Microsoft Entra ID, med SAML#

1. I Microsoft Entra admin center åpner du Enterprise applications > New application > Create your own application. Gi det navnet «Measure Map Online» og velg å integrere et program du ikke finner i galleriet.
2. I det nye programmet åpner du Single sign-on og velger SAML. Under Basic SAML Configuration skriver du inn Identifikator (Entity ID) og Svar-URL (ACS URL).
3. Under Attributes & Claims setter du Unique User Identifier (Name ID) til user.mail, og beholder e-postadresse-claimet.
4. Under Users and groups tildeler du personene eller gruppene som skal logge på.
5. Tilbake under Single sign-on kopierer du de tre opplysningene:
   • Single sign-on-URL (påloggings-URL): Login URL, under Set up Measure Map Online.
   • Identitetsleverandørens entity ID (utsteder): Microsoft Entra Identifier, på samme sted.
   • Signeringssertifikat: last ned Certificate (Base64) under SAML Certificates.

Okta, med SAML#

1. I Okta Admin Console åpner du Applications > Applications > Create App Integration, velger SAML 2.0 og gir appen navnet «Measure Map Online».
2. Skriv inn Svar-URL (ACS URL) som Single sign-on URL og Identifikator (Entity ID) som Audience URI (SP Entity ID). Sett Name ID format til EmailAddress og Application username til Email.
3. Under Attribute Statements legger du til email med verdien user.email (og firstName og lastName hvis du vil).
4. På fanen Assignments tildeler du personene eller gruppene som skal logge på.
5. På fanen Sign On åpner du View SAML setup instructions og kopierer:
   • Single sign-on-URL (påloggings-URL): Identity Provider Single Sign-On URL.
   • Identitetsleverandørens entity ID (utsteder): Identity Provider Issuer.
   • Signeringssertifikat: X.509 Certificate.

Google Workspace, med SAML#

1. I Google Admin-konsollen åpner du Apps > Web and mobile apps > Add app > Add custom SAML app, og gir den navnet «Measure Map Online».
2. På siden Google Identity Provider details kopierer du de tre opplysningene og fortsetter:
   • Single sign-on-URL (påloggings-URL): SSO URL.
   • Identitetsleverandørens entity ID (utsteder): Entity ID.
   • Signeringssertifikat: last ned sertifikatet.
3. På neste side skriver du inn Svar-URL (ACS URL) som ACS URL og Identifikator (Entity ID) som Entity ID. Sett Name ID format til EMAIL og Name ID til Basic Information > Primary email.
4. Under User access slår du på appen for organisasjonsenhetene eller gruppene som skal logge på.

OneLogin, JumpCloud og andre leverandører, med SAML#

1. Opprett et SAML 2.0-program med navnet «Measure Map Online».
2. Skriv inn Identifikator (Entity ID) og Svar-URL (ACS URL), send brukerens e-postadresse som Name ID, og tildel personene som skal logge på.
3. Kopier de tre opplysningene, vanligvis fra programmets SAML- eller metadataside:
   • Single sign-on-URL (påloggings-URL): identitetsleverandørens single sign-on-URL.
   • Identitetsleverandørens entity ID (utsteder): dens entity ID, også kalt issuer.
   • Signeringssertifikat: dens signeringssertifikat.

Microsoft Entra ID, med OpenID Connect#

1. I Microsoft Entra admin center åpner du App registrations > New registration. Gi det navnet «Measure Map Online», velg Web som plattform og skriv inn Omdirigerings-URI.
2. Under Certificates & secrets oppretter du en client secret og kopierer verdien med en gang: den vises bare én gang.
3. Under Token configuration legger du til det valgfrie claimet email i ID-tokenet.
4. Kopier de tre opplysningene:
   • Utsteder-URL: https://login.microsoftonline.com/<tenant ID>/v2.0, med Directory (tenant) ID fra Overview-siden.
   • Klient-ID: Application (client) ID.
   • Klienthemmelighet: verdien til hemmeligheten fra trinn 2.

Andre leverandører, med OpenID Connect#

1. Opprett et OpenID Connect-webprogram med navnet «Measure Map Online», med Omdirigerings-URI.
2. Tillat scopene openid, email og profile, og tildel personene som skal logge på.
3. Kopier de tre opplysningene: Utsteder-URL, Klient-ID og Klienthemmelighet.

Trinn 2: send oss opplysningene#

Under Send oss detaljene fyller du inn:

• Med SAML: Single sign-on-URL (påloggings-URL), Identitetsleverandørens entity ID (utsteder) og Signeringssertifikat. Lim inn sertifikatteksten (Base64 eller PEM, med BEGIN- og END-linjene), eller trykk upload_fileVelg fil og velg .cer-, .crt- eller .pem-filen du lastet ned.
• Med OpenID Connect: Utsteder-URL, Klient-ID og Klienthemmelighet.
• E-postdomener: skriv et domene, for eksempel acme.com, og trykk addLegg til (eller Enter). Legg til alle domenene teamet bruker: bare personer med en adresse på disse domenene kan bli med via single sign-on.
• Teknisk kontakt og Kontakt-e-post: hvem vi kontakter om forespørselen. Alt annet skriver du i Noe vi bør vite (valgfritt).

Trykk sendSend forespørsel. Opplysningene kontrolleres mens du sender dem, og hvis de ikke godtas, sier skjemaet med en gang hva som må rettes:

• «Signeringssertifikatet kunne ikke leses. Lim inn hele sertifikatet, inkludert BEGIN- og END-linjene, eller velg filen.»
• «Detaljene ble ikke godtatt. Sjekk single sign-on-URL-en, entity ID-en og sertifikatet (eller utstederen, klient-ID-en og hemmeligheten), og prøv igjen.»

Mens vi kontrollerer#

Når forespørselen er sendt, står statusen øverst på siden som schedule Venter på oss, med opplysningene du sendte og nummeret på support-saken vi opprettet for den. Vi kontrollerer forespørselen, først og fremst at e-postdomenene tilhører organisasjonen din, og slår på single sign-on. Eieren får en e-post, og siden viser check_circle Aktivert med påloggingslenken.

Mens den venter, kan du:

• Trykke editRediger forespørsel for å rette den, og deretter sendOppdater forespørsel. La Signeringssertifikat eller Klienthemmelighet stå tom for å beholde den du sendte tidligere.
• Trykke undoTrekk tilbake forespørsel for å trekke den tilbake. Du kan sende en ny når som helst.

Hvis vi trenger at noe endres, står statusen som error Trenger en endring, med vårt notat om hva som må endres. Rett opp skjemaet og trykk sendOppdater forespørsel.

Når det er slått på#

Siden viser identitetsleverandøren din, de godkjente e-postdomenene og Påloggingslenke, for eksempel https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Trykk content_copy for å kopiere den, og del den med teamet: den åpner påloggingssiden klar for bedriftens leverandør. Den samme lenken med ?saml= i stedet for ?sso= fungerer også.

• Hvem som blir med: personer som logger på via den, blir med i organisasjonen automatisk første gang, hvis adressen deres er på et av de godkjente domenene. De får organisasjonens standardrolle, som inviterte personer, og hver av dem bruker en plass. Hvis det ikke er noen ledig plass, kan ikke personen bli med, og eieren får en e-post om det (høyst én gang i døgnet).
• Endringer: for å bytte leverandør eller slå av single sign-on trykker du support_agentKontakt oss. Det åpner support-skjemaet, allerede påbegynt for deg. Eieren får en e-post hver gang single sign-on slås på eller av, så en uventet endring ikke går upåaktet hen.
• Sertifikat: med SAML viser siden til når identitetsleverandørens signeringssertifikat er gyldig, og advarer deg fra en måned før det går ut. Når det har gått ut, kan ingen logge på med single sign-on: opprett et nytt sertifikat hos identitetsleverandøren og send det til oss med support_agentKontakt oss.
• Problemer: hvis leverandøren slutter å fungere, står statusen som error Fungerer ikke, og teamet kan ikke logge på med den. Send forespørselsskjemaet under meldingen på nytt, som i trinn 1 og trinn 2, så kobler vi den til igjen når vi har kontrollert den. Du kan også trykke support_agentKontakt oss.