Policy och single sign-on

Organisationens policyPolicy sätter regler som gäller alla du tar in. vpn_keySingle sign-on låter dina anställda logga in med det konto som företaget redan ger dem och gå med i organisationen automatiskt.

Båda finns i Enterprise-området: businessEnterprise > policyPolicy och vpn_keySingle sign-on.

Organisationens policy#

Ändra något av alternativen nedan och tryck sedan på saveSpara längst ned på sidan. En ny standardroll gäller för personer som går med därefter; den ändrar inte rollen för befintliga medlemmar.

Tillåtna e-postdomäner#

Bara personer med de här e-postdomänerna kan bjudas in eller kopplas till din organisation. Lämna tomt för att tillåta alla domäner.

1. Under Tillåtna e-postdomäner skriver du en domän i Lägg till domän, till exempel acme.com. Skriv bara domänen, inte en e-postadress eller en webbadress.
2. Tryck på addLägg till (eller Enter). Domänen visas som en chip.
3. Tryck på saveSpara.

Tryck på close på en chip för att ta bort domänen. När listan är tom står det på sidan "Ingen begränsning – alla e-postdomäner kan bjudas in."

När listan är satt avvisas en inbjudan till alla andra domäner, både på sidan groupAnvändare och av servern, och likaså en förfrågan om att gå med som skickas till ett befintligt konto. Medlemmar kan inte heller ändra sin egen inloggningsadress till en annan domän.

Standardinställningar#

• Standardroll för nya medlemmar: den roll som alla som går med får: personer du bjuder in, befintliga konton som tackar ja till en förfrågan om att gå med, personer som kommer in via single sign-on och medlemmar som skapas via API:t. Den börjar som Medlem. Bara ägaren kan göra den till Administratör. Se roller.
• Markera medlemmar som inaktiva efter (dagar): en medlem som inte har loggat in på längre tid än så räknas som inaktiv på sidan groupAnvändare, en antydan om att platsen kan gå till någon annan. Valfritt antal från 1 till 3650; det börjar på 60.

Skyddsåtgärder#

• Kräv överföring av projekt innan en medlem stänger sitt konto: medlemmar kan under inga omständigheter radera sitt eget konto, det kan bara ägaren och administratörerna, så det här alternativet ändrar ingenting. Medlemmar du raderar lämnar alltid sina projekt kvar hos organisationen. Se ta bort någon från organisationen.

Single sign-on#

Med single sign-on loggar dina anställda in på Measure Map Online med det konto som företaget redan ger dem (Microsoft, Okta, Google med flera), via företagets identitetsleverantör, med SAML eller OpenID Connect (OIDC). Alla från ditt företag som loggar in på det sättet går med i din organisation automatiskt.

Du begär det på sidan vpn_keySingle sign-on: den visar vad du ska ange hos din identitetsleverantör och vad du ska skicka till oss. Vi granskar förfrågan och aktiverar single sign-on. Organisationens ägare och dess administratörer kan skicka förfrågan.

Så fungerar det#

1. Du skickar oss din identitetsleverantörs uppgifter nedan, tillsammans med de e-postdomäner som ditt team använder.
2. Vi kontrollerar dem och slår på single sign-on. Du får ett e-postmeddelande och den här sidan visar inloggningslänken.
3. Ditt team loggar in med sitt företagskonto. Nya personer går med i din organisation och visas under Användare, där du anger deras roll.

Det här behöver du innan du börjar#

• Administratörsbehörighet hos din identitetsleverantör, till exempel Microsoft Entra admin center, Okta Admin Console eller Google Admin console, eller någon i din IT-avdelning som har det. Där lägger du till Measure Map Online som ett program.
• Alla e-postdomäner som ditt team använder, till exempel acme.com och acme.co.uk. Bara personer med en adress på dessa domäner kan gå med via single sign-on.
• En teknisk kontaktperson: namn och e-postadress till den person vi kan fråga om anslutningen.
• Tre uppgifter från din identitetsleverantör, som du kopierar när Measure Map Online har lagts till där (steg 1 nedan):
  • med SAML: Single sign-on-URL (inloggnings-URL), Identitetsleverantörens entity ID (issuer) och Signeringscertifikat;
  • med OpenID Connect: Issuer-URL, Klient-ID och Klienthemlighet.

Steg 1: lägg till Measure Map Online hos din identitetsleverantör#

1. Öppna businessEnterprise > vpn_keySingle sign-on.

2. Under Protokoll väljer du SAML 2.0, som sidan rekommenderar, eller OpenID Connect om din IT-avdelning föredrar det.

3. Under Identitetsleverantör väljer du din: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud eller En annan leverantör.

4. Under Ange de här värdena hos din identitetsleverantör visar sidan vår sida av anslutningen. Kopiera varje värde från sidan med content_copy i stället för att skriva av det.

   Med SAML:

   • Identifierare (Entity ID): https://app.measuremaponline.com
   • Svars-URL (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Användarens e-postadress
   • Attribut: email (obligatoriskt); för- och efternamn eller visningsnamn (valfritt)

   Med OpenID Connect:

   • Omdirigerings-URI: https://measuremaponline.com/__/auth/handler
   • Scopes: openid email profile

5. Under dem ger sidan stegen för den leverantör du valde. De finns också här, med var du hittar varje uppgift som steg 2 frågar efter.

Var du hittar det hos din identitetsleverantör#

Microsoft Entra ID, Okta och Google Workspace har egna steg. OneLogin, JumpCloud och andra leverantörer följer de allmänna.

Microsoft Entra ID, med SAML#

1. I Microsoft Entra admin center öppnar du Enterprise applications > New application > Create your own application. Döp det till "Measure Map Online" och välj att integrera ett program som du inte hittar i galleriet.
2. I det nya programmet öppnar du Single sign-on och väljer SAML. Under Basic SAML Configuration anger du Identifierare (Entity ID) och Svars-URL (ACS URL).
3. Under Attributes & Claims sätter du Unique User Identifier (Name ID) till user.mail och behåller e-postadressens claim.
4. Under Users and groups tilldelar du de personer eller grupper som ska logga in.
5. Tillbaka under Single sign-on kopierar du de tre uppgifterna:
   • Single sign-on-URL (inloggnings-URL): Login URL, under Set up Measure Map Online.
   • Identitetsleverantörens entity ID (issuer): Microsoft Entra Identifier, på samma ställe.
   • Signeringscertifikat: ladda ned Certificate (Base64) under SAML Certificates.

Okta, med SAML#

1. I Okta Admin Console öppnar du Applications > Applications > Create App Integration, väljer SAML 2.0 och döper appen till "Measure Map Online".
2. Ange Svars-URL (ACS URL) som Single sign-on URL och Identifierare (Entity ID) som Audience URI (SP Entity ID). Sätt Name ID format till EmailAddress och Application username till Email.
3. Under Attribute Statements lägger du till email med värdet user.email (och firstName och lastName om du vill).
4. På fliken Assignments tilldelar du de personer eller grupper som ska logga in.
5. På fliken Sign On öppnar du View SAML setup instructions och kopierar:
   • Single sign-on-URL (inloggnings-URL): Identity Provider Single Sign-On URL.
   • Identitetsleverantörens entity ID (issuer): Identity Provider Issuer.
   • Signeringscertifikat: X.509 Certificate.

Google Workspace, med SAML#

1. I Google Admin console öppnar du Apps > Web and mobile apps > Add app > Add custom SAML app och döper den till "Measure Map Online".
2. På sidan Google Identity Provider details kopierar du de tre uppgifterna och fortsätter sedan:
   • Single sign-on-URL (inloggnings-URL): SSO URL.
   • Identitetsleverantörens entity ID (issuer): Entity ID.
   • Signeringscertifikat: ladda ned certifikatet.
3. På nästa sida anger du Svars-URL (ACS URL) som ACS URL och Identifierare (Entity ID) som Entity ID. Sätt Name ID format till EMAIL och Name ID till Basic Information > Primary email.
4. Under User access aktiverar du appen för de organisationsenheter eller grupper som ska logga in.

OneLogin, JumpCloud och andra leverantörer, med SAML#

1. Skapa ett SAML 2.0-program som heter "Measure Map Online".
2. Ange Identifierare (Entity ID) och Svars-URL (ACS URL), skicka användarens e-postadress som Name ID och tilldela de personer som ska logga in.
3. Kopiera de tre uppgifterna, vanligtvis från programmets SAML- eller metadatasida:
   • Single sign-on-URL (inloggnings-URL): identitetsleverantörens single sign-on-URL.
   • Identitetsleverantörens entity ID (issuer): dess entity ID, även kallat issuer.
   • Signeringscertifikat: dess signeringscertifikat.

Microsoft Entra ID, med OpenID Connect#

1. I Microsoft Entra admin center öppnar du App registrations > New registration. Döp det till "Measure Map Online", välj Web som plattform och ange Omdirigerings-URI.
2. Under Certificates & secrets skapar du en client secret och kopierar dess värde direkt: det visas bara en gång.
3. Under Token configuration lägger du till den valfria claim email i ID-token.
4. Kopiera de tre uppgifterna:
   • Issuer-URL: https://login.microsoftonline.com/<tenant ID>/v2.0, med Directory (tenant) ID från sidan Overview.
   • Klient-ID: Application (client) ID.
   • Klienthemlighet: hemlighetens värde från steg 2.

Andra leverantörer, med OpenID Connect#

1. Skapa ett OpenID Connect-webbprogram som heter "Measure Map Online", med Omdirigerings-URI.
2. Tillåt scopes openid, email och profile och tilldela de personer som ska logga in.
3. Kopiera de tre uppgifterna: Issuer-URL, Klient-ID och Klienthemlighet.

Steg 2: skicka oss uppgifterna#

Under Skicka oss uppgifterna fyller du i:

• Med SAML: Single sign-on-URL (inloggnings-URL), Identitetsleverantörens entity ID (issuer) och Signeringscertifikat. Klistra in certifikatets text (Base64 eller PEM, med raderna BEGIN och END), eller tryck på upload_fileVälj fil och välj den .cer-, .crt- eller .pem-fil du laddade ned.
• Med OpenID Connect: Issuer-URL, Klient-ID och Klienthemlighet.
• E-postdomäner: skriv en domän, till exempel acme.com, och tryck på addLägg till (eller Enter). Lägg till varje domän som ditt team använder: bara personer med en adress på dessa domäner kan gå med via single sign-on.
• Teknisk kontaktperson och Kontakt-e-post: vem vi kontaktar om förfrågan. Allt annat skriver du i Något vi bör veta (valfritt).

Tryck på sendSkicka förfrågan. Uppgifterna kontrolleras när du skickar dem, och om de inte godtas säger formuläret direkt vad som ska rättas:

• "Det signeringscertifikatet kunde inte läsas. Klistra in hela certifikatet, inklusive raderna BEGIN och END, eller välj filen."
• "Uppgifterna godkändes inte. Kontrollera single sign-on-URL:en, entity ID och certifikatet (eller issuer, klient-ID och hemlighet) och försök igen."

Medan vi granskar den#

När förfrågan är skickad står statusen högst upp på sidan som schedule Väntar på oss, med de uppgifter du skickade och numret på det supportärende vi öppnade för den. Vi granskar förfrågan, framför allt att e-postdomänerna tillhör din organisation, och aktiverar single sign-on. Ägaren får ett e-postmeddelande, och sidan visar check_circle Aktiverad med inloggningslänken.

Medan den väntar kan du:

• Trycka på editRedigera begäran för att rätta den och sedan på sendUppdatera begäran. Lämna Signeringscertifikat eller Klienthemlighet tomt för att behålla det du skickade tidigare.
• Trycka på undoDra tillbaka begäran för att avbryta den. Du kan skicka en ny när som helst.

Om vi behöver att något ändras står statusen som error Kräver en ändring, med vår anteckning om vad som ska ändras. Rätta formuläret och tryck på sendUppdatera begäran.

När det är aktiverat#

Sidan visar din identitetsleverantör, de godkända e-postdomänerna och Inloggningslänk, till exempel https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Tryck på content_copy för att kopiera den och dela den med ditt team: den öppnar inloggningssidan färdig för företagets leverantör. Samma länk med ?saml= i stället för ?sso= fungerar också.

• Vem som går med: personer som loggar in via den går med i din organisation automatiskt första gången, om deras adress finns på någon av de godkända domänerna. De får organisationens standardroll, precis som inbjudna personer, och var och en använder en plats. Finns det ingen ledig plats kan personen inte gå med, och ägaren får ett e-postmeddelande om det (högst en gång om dagen).
• Ändringar: för att byta leverantör eller stänga av single sign-on trycker du på support_agentKontakta oss. Då öppnas supportformuläret, redan påbörjat åt dig. Ägaren får ett e-postmeddelande varje gång single sign-on slås på eller av, så att en ändring som ingen väntade sig inte går obemärkt förbi.
• Certifikat: med SAML visar sidan till när din identitetsleverantörs signeringscertifikat är giltigt och varnar dig från en månad innan det går ut. När det har gått ut kan ingen logga in med single sign-on: skapa ett nytt certifikat hos din identitetsleverantör och skicka det till oss med support_agentKontakta oss.
• Problem: om leverantören slutar fungera står statusen som error Fungerar inte och ditt team kan inte logga in med den. Skicka förfrågningsformuläret under meddelandet igen, som i steg 1 och steg 2, så återansluter vi den när vi har granskat den. Du kan också trycka på support_agentKontakta oss.