Godkendelse og single sign-on
Opsæt SAML 2.0 eller OpenID Connect, verificér domæner, håndhæv SSO, kræv MFA, og sæt sessionstimeout.
Hvem kan gøre detTenant-administrator
Siden SikkerhedGodkendelse bestemmer, hvordan folk hos Your Company logger på Juvaro, og hvilke loginregler der gælder i alle apps. Her forbinder du jeres identitetsudbyder med SAML 2.0 eller OpenID Connect, beviser at I ejer jeres e-maildomæner, slår håndhævelse til og sætter multifaktorgodkendelse og sessionstimeout.
Venstre kolonne har kortene i den rækkefølge, du bruger dem: Sådan logger folk på, Adgangskodepolitik, Krav, MFA-synlighed, Håndhævelse med de verificerede domæner, Håndhævelse pr. domæne og Fund. Selve identitetsudbyderen sættes op i en stor dialog.
Sådan logger folk på
Kortet har to rækker. Adgangskode er markeret Altid tilgængelig: alle kan logge på med e-mail og adgangskode, indtil du håndhæver single sign-on. Identitetsudbyder viser "Ikke konfigureret - konfigurér for at slå single sign-on til", indtil du gemmer en konfiguration, og derefter for eksempel "Konfigureret · SAML · endnu ikke verificeret".
Forbind jeres identitetsudbyder
- Klik på Konfigurér i rækken Identitetsudbyder. Dialogen Single sign-on-konfiguration åbner.
- Under Protokol vælger du SAML 2.0 ("Fødereret SSO via XML-assertioner.") eller OpenID Connect ("Moderne OAuth 2.0-baseret SSO.").
- Under Tjenesteudbyder-detaljer ("giv disse til jeres IdP") kopierer du værdierne over i den app, du opretter hos jeres identitetsudbyder. Hver har en knap Kopiér: ACS-URL (Assertion Consumer Service), SP Entity ID, SP Metadata-URL og Redirect-URI.
- Under Identitetsudbyder-detaljer udfylder du værdierne fra jeres identitetsudbyder (se tabellen nedenfor).
- Klik på Test forbindelse. Før en protokol er sat op, står der "Konfigurér en protokol, og test derefter forbindelsen." Efter en test viser dialogen Sidst verificeret: med tidspunktet.
- Klik på Gem konfiguration. Beskeden lyder "SSO-konfiguration gemt."
| Protokol | Felter under Identitetsudbyder-detaljer |
|---|---|
| SAML 2.0 | IdP-metadata-URL, Entity ID, Login-URL (SSO-endpoint), Signeringscertifikat (x.509) |
| OpenID Connect | Issuer-URL, Klient-ID, Klienthemmelighed |
Hemmeligheder og certifikater vises aldrig igen, når de er gemt. Når du redigerer senere, lader du Klienthemmelighed eller certifikatet stå tomt for at beholde den gemte værdi.
Kør Test forbindelse, indtil testen består, før du går videre. Håndhævelse kan ikke slås til uden en bestået test.
Verificér jeres domæner
Under Håndhævelse kan du i rækken Verificerede domæner bevise, at I råder over et domæne, med en DNS TXT-post.
- Skriv domænet, for eksempel your-company.example (pladsholder "example.com"), og klik på Tilføj domæne. Det står på listen med mærket afventer.
- Opret TXT-posten, der vises under domænet, hos jeres DNS-udbyder. Kopiér Navn og Værdi præcist.
- Klik på Verificér. Når det lykkes, skifter mærket til verificeret, og beskeden lyder "Domæne verificeret."
Kan posten ikke findes endnu, ser du "TXT-posten er ikke fundet endnu - DNS kan tage nogle få minutter om at udbrede sig." Vent, og klik på Verificér igen. Fjern tager et domæne af listen. En tastefejl afvises med "Not a valid domain".
Vælg de domæner, der skal håndhæves
Kortet Håndhævelse pr. domæne har en kontakt for hvert domæne. Kun verificerede domæner kan slås til. Du kan vælge domænerne først og slå håndhævelse til bagefter: så længe håndhævelse er slået fra, står der "Håndhævelse er slået fra, så disse valg har endnu ingen effekt. Slå håndhævelse til ovenfor for at anvende dem." Når den er slået til: "Brugere på de valgte domæner sendes til jeres identitetsudbyder og kan ikke logge ind med adgangskode."
Håndhæv single sign-on
Slå Håndhæv single sign-on til ("Kræv at alle brugere logger på via den konfigurerede IdP.") på kortet Håndhævelse. Tre ting skal være på plads først. Mangler én af dem, afvises kontakten med titlen "Cannot enforce SSO yet" og en af disse beskeder, på engelsk:
| Mangler | Besked |
|---|---|
| Et verificeret domæne | "Enforcing SSO requires a verified domain. Add a domain and publish its TXT record to verify it, then select it for enforcement." |
| Et domæne valgt til håndhævelse | "No domain is selected for enforcement, so turning this on would enforce nothing. Select at least one verified domain below." |
| En bestået test | "Enforcing SSO requires a passing IdP test-connection. Run the test on your identity-provider configuration and fix any error it reports first." |
Prøver du at håndhæve et domæne, der ikke er verificeret, afvises det med "Domain is not verified". Er håndhævelse slået til, uden at et domæne er verificeret, viser Overblik "SSO is enforced but no domain is verified" under Kræver handling.
Kræv MFA, og sæt sessionstimeout
Kortet Krav har to indstillinger. Begge har noten "Gælder når SSO er aktiv."
- Kræv multifaktorgodkendelse: kræver MFA oven på SSO ved hvert login. Slået fra som standard.
- Sessionstimeout: logger folk ud efter en periode uden aktivitet. Vælg 30 minutter, 1 time, 8 timer eller 24 timer. Standard er 8 timer.
Begge gemmes, så snart du ændrer dem.
Adgangskodepolitik
Sektionen Adgangskodepolitik er nedtonet, med kontakter for minimumslængde, genbrug og udløb, som ikke kan bruges. Som kortet forklarer, sætter Juvaro adgangskodereglerne for hele platformen, så de kan ikke ændres pr. workspace.
MFA-synlighed og Fund
MFA-synlighed tæller de medlemmer, der har sat en ekstra faktor op. Kortet viser "Alle medlemmer har en ekstra faktor." eller for eksempel "3 of 12 medlemmer har ingen ekstra faktor". Kan identitetsudbyderen ikke nås, står der "Kunne ikke tjekke hos identitetsudbyderen lige nu." i stedet for et tal. Medlemmerne sætter selv deres ekstra faktor op på siden Account & security.
Fund gentager sikkerhedstjekkene fra Overblik, hver med en knap Gennemgå. Tjekkenes navne og tekster står på engelsk. Se Administration af workspacet kort fortalt.
Katalogsynkronisering med SCIM og write-back til jeres katalog ligger på en anden side. Se Identitetskilder.