Configurare l'SSO con SAML o OpenID Connect

Con il single sign-on (SSO) i membri accedono a Klang tramite il vostro provider di identità anziché con un codice monouso via e-mail, Google o Microsoft. Klang supporta SAML 2.0 e OpenID Connect.

Devi essere amministratore dello spazio di lavoro e Klang deve prima attivare la configurazione SSO per il vostro spazio di lavoro. Contatta Klang se non vedi la sezione descritta qui sotto.

Aggiungere una connessione

Apri Impostazioni → Spazio di lavoro → Sicurezza e individua Single sign-on (SSO).

1. Fai clic su Aggiungi connessione SSO
2. Inserisci un Nome. I membri vedranno questo nome sul pulsante di accesso
3. Scegli il Protocollo, SAML 2.0 oppure OpenID Connect
4. Copia gli indirizzi mostrati da Klang nel vostro provider di identità
5. Inserisci i dati del provider nei campi sottostanti
6. In Spazi di lavoro, seleziona a quali spazi si applica la connessione
7. Fai clic su Salva

Klang riserva gli indirizzi non appena apri la finestra, così puoi registrarli presso il provider prima di aver finito. La prenotazione dura un’ora. Non viene creato nulla finché non fai clic su Salva, e Annulla lascia le impostazioni invariate.

Che cosa serve al vostro provider di identità

Per SAML registra il Service Provider Entity ID e l’ACS URL. Fai clic su Scarica metadati SP se il provider preferisce un file di metadati. Configuralo in modo che invii un’asserzione firmata, un NameID persistente e l’indirizzo e-mail reale della persona. In Impostazioni avanzate puoi attivare le richieste di autenticazione firmate e le asserzioni cifrate, scegliere un formato NameID e aggiungere un secondo certificato mentre il provider rinnova i propri. Le asserzioni cifrate devono usare il trasporto di chiave RSA-OAEP con MGF1 e SHA-1 (il profilo di XML Encryption 1.0). Il profilo RSA-OAEP di XML Encryption 1.1 non è supportato e l’accesso fallisce con esso.

Per OpenID Connect registra la Redirect URI mostrata da Klang, poi inserisci l’URL dell’emittente, il client ID e il client secret del provider.

Puoi riaprire questi indirizzi in qualsiasi momento da Dettagli della connessione.

Prova prima di attivarlo

Per SAML fai clic su Prova accesso SAML in Dettagli della connessione. La prova verifica l’intero scambio con il provider senza creare un account né modificare il metodo di accesso di nessuno, quindi puoi eseguirla in sicurezza prima che i membri ne dipendano.

Rendere la connessione disponibile

Salvare una connessione non cambia automaticamente il metodo di accesso di nessuno. Vai su Metodi di accesso consentiti, seleziona la connessione e fai clic su Salva.

I nuovi membri hanno comunque bisogno di un invito allo spazio di lavoro. Klang non crea account dalla vostra directory in automatico e l’accesso tramite il provider non verifica l’indirizzo e-mail di un membro al di fuori di quello spazio di lavoro. I membri esistenti mantengono il proprio metodo di accesso finché non lo cambiano loro stessi nelle proprie impostazioni di accesso.

Da sapere

• Cambiare i metodi di accesso non disconnette i membri attuali
• Avvia l’accesso da Klang. Aprire Klang da un’icona del provider non è supportato
• Il Single Logout e la creazione automatica dei membri non sono supportati
• Per scollegare uno spazio di lavoro, rimuovi prima la connessione dai metodi di accesso consentiti di quello spazio