Questa guida descrive l'attuale comportamento del single sign-on (SSO) a livello di organizzazione di Ento. Ento utilizza OpenID Connect (OIDC), con opzioni di configurazione per Google Workspace e Microsoft Entra ID.
L'SSO conferma l'identità dell'utente. Ento continua a controllare a quali organizzazioni e siti l'utente può accedere e quale ruolo ha.
Prerequisiti e configurazione
L'organizzazione Ento deve già esistere prima che l'SSO possa essere configurato. L'SSO non crea un'organizzazione né ne individua una dal dominio email di un utente.
La configurazione richiede:
- Un amministratore dell'organizzazione Ento per configurare l'SSO in Impostazioni > Single sign-on.
- Una persona con accesso sufficiente presso il provider di identità per registrare Ento come applicazione OIDC e fornire l'ID client e il client secret.
- L'URI di reindirizzamento Ento mostrato nella pagina di configurazione deve essere registrato esattamente presso il provider di identità.
- Per Microsoft Entra ID, l'ID tenant Microsoft.
Ento attualmente offre la configurazione per un provider di identità per organizzazione: Google Workspace o Microsoft Entra ID. L'amministratore di Ento può abilitare l'SSO dopo aver inserito la configurazione richiesta.
Ento si affida al provider di identità configurato e utilizza la rivendicazione email restituita per abbinare l'utente Ento. Non utilizza il dominio email per selezionare o creare un'organizzazione.
Esempio di schermata di configurazione da un'anteprima locale. I dettagli del client e gli URL sono illustrativi.
Utenti esistenti
Un membro dell'organizzazione già accettato collega l'SSO al proprio account Ento corrente. Può avviare questa operazione da Impostazioni > Il tuo accesso o dalla propria riga in Impostazioni > Membri del team.
L'utente accede prima a Ento, seleziona Collega, quindi si autentica con il provider di identità dell'organizzazione. Ento collega l'identità solo quando:
- L'utente ha già accesso all'organizzazione.
- L'email restituita dal provider di identità è già registrata per quell'utente Ento e corrisponde esattamente all'email Ento dell'utente, ignorando maiuscole e minuscole.
- L'identità non è già connessa a un altro utente Ento.
Dopo la connessione, il link SSO dell'organizzazione può autenticare l'utente. Un utente che avvia l'SSO senza un invito o una connessione esistente viene rifiutato e gli viene detto di accedere a Ento e connettere l'SSO da Il tuo accesso.
Un membro accettato può connettere l'identità SSO dell'organizzazione da Il tuo accesso.
Nuovi utenti e inviti
L'SSO non richiede un tipo di invito separato. Un amministratore dell'organizzazione utilizza il normale invito Membri del team e sceglie il ruolo Ento dell'utente e l'ambito site come di consueto.
L'invito normale dei Team Members assegna comunque il ruolo Ento e l'ambito site.
Quando l'SSO è abilitato per l'organizzazione, l'email di invito normale si collega automaticamente al flusso SSO dell'organizzazione. L'utente invitato:
- Apre il link di invito.
- Seleziona Accedi con SSO.
- Si autentica con il provider di identità utilizzando l'indirizzo email invitato.
- Viene connesso all'utente Ento associato all'invito.
- Ha l'appartenenza in sospeso e l'accesso assegnato attivato.
L'URL SSO dell'invito e dell'organizzazione conducono alla pagina di accesso SSO dell'organizzazione.
Questo flusso iniziale non richiede all'utente di creare una password Ento. Il link di invito SSO firmato è valido per sette giorni. Se non è valido, scaduto, già accettato o non corrisponde più a un provider abilitato, Ento chiede all'utente di richiedere un nuovo invito.
Il percorso di invito SSO attuale inoltre non mostra il passaggio di accettazione dei termini del normale modulo di iscrizione. Non è chiaro dal comportamento attuale dove viene registrata l'accettazione dei termini per questi utenti.
Se l'SSO non è abilitato quando viene generata l'email di invito, l'invito utilizza invece il normale link di iscrizione Ento. Quel flusso chiede a un nuovo utente di creare una password. Reinviare l'invito dopo che l'SSO è stato abilitato genera il link SSO.
Prima che la configurazione o la connessione sia completa
- Se l'organizzazione non esiste, il suo URL SSO dell'organizzazione non è disponibile.
- Se l'SSO è mancante o disabilitato, la pagina SSO dell'organizzazione indica che l'SSO non è configurato.
- L'SSO non può essere contrassegnato come obbligatorio finché il provider non è abilitato e un accesso SSO riuscito non ha testato la configurazione.
- Mentre l'SSO rimane facoltativo, gli utenti esistenti possono ancora utilizzare il normale accesso Ento e quindi connettere l'SSO.
- Un utente non connesso non può utilizzare l'URL SSO dell'organizzazione come creazione di account senza invito. Deve utilizzare un invito valido o accedere a un utente Ento esistente e connettere SSO.
- Gli errori di configurazione o del provider di identità vengono visualizzati su una pagina di errore SSO. Gli errori relativi a credenziali client e URI di reindirizzamento errati hanno indicazioni specifiche.
Richiedere SSO per l'accesso tramite browser
Dopo un accesso di test riuscito, un amministratore dell'organizzazione può abilitare Richiedi SSO per questa organizzazione. Un amministratore non staff deve aver completato quell'accesso di test nella sessione del browser corrente prima di abilitare il requisito.
Quando SSO è richiesto, un utente autenticato che apre una pagina del browser Ento per quell'organizzazione viene reindirizzato alla pagina SSO dell'organizzazione a meno che la sessione corrente non si sia autenticata con il provider corrente di quell'organizzazione. Un accesso con password locale da solo non soddisfa questo controllo.
Questo requisito si applica alle pagine del browser specifiche dell'organizzazione. Non è una rimozione globale delle password Ento e non si applica alle chiavi API, ai token di accesso OAuth o a ogni pagina a livello di account. Gli utenti staff di Ento bypassano questa applicazione del browser per scopi di recupero e supporto.
La modifica di impostazioni OIDC importanti o la disabilitazione del provider cancella lo stato di test riuscito e disattiva l'SSO richiesto. La configurazione aggiornata deve essere testata nuovamente prima che l'applicazione possa essere riabilitata.
Ruoli e accesso site
I ruoli e l'accesso site rimangono gestiti in Ento. Le rivendicazioni OIDC non assegnano né modificano i ruoli Ento, l'appartenenza all'organizzazione, l'accesso site o l'accesso basato su tag.
Per un nuovo invito, l'SSO attiva il ruolo e l'ambito site che l'amministratore Ento ha assegnato quando ha invitato l'utente. Per un membro esistente, la connessione SSO lascia invariato tutto l'accesso Ento corrente.
L'identità SSO accede all'account Ento esistente dell'utente, non a un account separato limitato a una sola organizzazione. Dopo l'accesso, l'utente mantiene l'accesso a ogni organizzazione già concessa a quell'account Ento. Ogni organizzazione che richiede l'SSO richiede ancora l'autenticazione con il proprio provider configurato.
Un'identità connessa può accedere tramite il provider solo mentre l'utente Ento è attivo e ha ancora accesso a quell'organizzazione. L'eliminazione della configurazione SSO dell'organizzazione disconnette le identità SSO collegate a quel provider.
Domande e risposte
Posso creare l'utente con un invito normale?
Sì. Utilizza il normale invito Membri del team. Se l'SSO è abilitato quando viene generata l'email, Ento inserisce automaticamente il link di onboarding SSO in quell'invito.
L'utente ha bisogno di un'attivazione SSO speciale?
Non esiste un tipo di invito speciale lato amministratore. Un nuovo utente connette l'SSO completando l'invito SSO. Un membro esistente accettato accede a Ento e seleziona Connetti sotto Il tuo accesso o sulla propria riga Membri del team.
L'organizzazione deve essere creata prima?
Sì. La configurazione SSO appartiene a un'organizzazione Ento esistente e può essere gestita da un amministratore dell'organizzazione Ento.
Cosa succede se l'utente accede prima che l'SSO sia pronto?
Se l'SSO è facoltativo, l'utente può utilizzare il normale login Ento. Se apre un URL SSO dell'organizzazione prima che un provider sia abilitato, Ento indica che l'SSO non è configurato. L'SSO obbligatorio non può essere abilitato finché la configurazione non ha superato un accesso SSO riuscito.
Cosa succede se l'utente non ha connesso la propria identità?
L'accesso SSO diretto viene rifiutato a meno che l'utente non abbia un invito SSO valido o l'identità sia già connessa. Un membro esistente può prima utilizzare il normale login Ento e connettere l'identità. Se l'SSO è obbligatorio, l'apertura di una pagina dell'organizzazione dopo il login locale reindirizza il membro al flusso SSO dell'organizzazione, dove l'utente Ento autenticato può essere connesso.
Gli utenti esistenti mantengono i loro ruoli e l'accesso site?
Sì. La connessione SSO non modifica i ruoli gestiti da Ento o l'accesso site.
Disconnettersi da Ento disconnette anche l'utente da Google o Microsoft?
No. La disconnessione da Ento termina solo la sessione Ento locale.
Non incluso in questa fase
L'implementazione corrente non fornisce:
- Provisioning o deprovisioning degli utenti SCIM.
- Provider di identità SAML.
- Mappatura di gruppi, ruoli, organizzazioni, site o tag del provider di identità.
- Creazione automatica dell'organizzazione Ento.
- Più di un provider di identità per la stessa organizzazione Ento.
- Rilevamento tramite dominio email della pagina SSO di un'organizzazione.
- Creazione utente Just-in-Time senza invito Ento.
- Politiche di autenticazione a più fattori gestite da Ento o un controllo utente per disabilitare l'accesso tramite password.
- Logout del provider di identità, revoca della sessione remota o logout front-channel/back-channel.
Il comportamento tra diverse organizzazioni con SSO abilitato non è completamente verificato. Ento memorizza il contesto SSO per un'organizzazione e un provider nella sessione corrente del browser, quindi un utente potrebbe dover autenticarsi nuovamente quando passa a un'altra organizzazione che richiede anch'essa SSO.