Sette opp SSO med SAML eller OpenID Connect

Med enkel pålogging (SSO) logger medlemmene inn i Klang med deres egen identitetsleverandør i stedet for en engangskode på e-post, Google eller Microsoft. Klang støtter SAML 2.0 og OpenID Connect.

Du må være administrator for arbeidsområdet, og Klang må først slå på SSO-oppsett for arbeidsområdet. Ta kontakt med Klang hvis du ikke ser delen som er beskrevet nedenfor.

Legg til en tilkobling

Åpne Innstillinger → Arbeidsområde → Sikkerhet og finn Enkel pålogging (SSO).

1. Klikk på Legg til SSO-tilkobling
2. Skriv inn et Navn. Navnet vises på påloggingsknappen for medlemmene
3. Velg Protokoll, enten SAML 2.0 eller OpenID Connect
4. Kopier adressene Klang viser, inn i identitetsleverandøren
5. Fyll inn opplysningene fra leverandøren i feltene under
6. Velg under Arbeidsområder hvilke arbeidsområder tilkoblingen skal gjelde for
7. Klikk på Lagre

Klang reserverer adressene så snart du åpner dialogboksen, slik at du kan registrere dem hos leverandøren før du er ferdig. Reservasjonen varer i én time. Ingenting opprettes før du klikker på Lagre, og Avbryt lar innstillingene stå urørt.

Dette trenger identitetsleverandøren

For SAML registrerer du Service Provider Entity ID og ACS URL. Klikk på Last ned SP-metadata hvis leverandøren heller vil ha en metadatafil. Still inn leverandøren slik at den sender en signert assertion, en varig NameID og brukerens virkelige e-postadresse. Under Avanserte innstillinger kan du slå på signerte påloggingsforespørsler og krypterte assertions, velge NameID-format og legge til et ekstra sertifikat mens leverandøren bytter sertifikat. Krypterte assertions må bruke nøkkeltransporten RSA-OAEP med MGF1 og SHA-1 (profilen i XML Encryption 1.0). RSA-OAEP-profilen i XML Encryption 1.1 støttes ikke, og påloggingen mislykkes med den.

For OpenID Connect registrerer du Redirect URI som Klang viser, og fyller deretter inn issuer-URL, klient-ID og klienthemmelighet fra leverandøren.

Du kan når som helst åpne adressene igjen fra Tilkoblingsdetaljer.

Test før du slår det på

For SAML klikker du på Test SAML-pålogging under Tilkoblingsdetaljer. Testen kontrollerer hele utvekslingen med leverandøren uten å opprette en konto eller endre påloggingsmetoden til noen, så den er trygg å kjøre før medlemmene er avhengige av den.

Gjør tilkoblingen tilgjengelig

Å lagre en tilkobling flytter ingen automatisk. Gå til Tillatte påloggingsmetoder, huk av tilkoblingen og klikk på Lagre.

Nye medlemmer trenger fortsatt en invitasjon til arbeidsområdet. Klang oppretter ikke kontoer fra katalogen deres automatisk, og pålogging via leverandøren verifiserer ikke medlemmets e-postadresse utenfor det arbeidsområdet. Eksisterende medlemmer beholder påloggingsmetoden sin til de selv bytter under sine egne påloggingsinnstillinger.

Greit å vite

• Endrede påloggingsmetoder logger ikke ut nåværende medlemmer
• Start påloggingen fra Klang. Å åpne Klang fra et ikon hos leverandøren støttes ikke
• Single Logout og automatisk opprettelse av medlemmer støttes ikke
• For å koble fra et arbeidsområde fjerner du først tilkoblingen fra arbeidsområdets tillatte påloggingsmetoder