Accesso unico

L'accesso unico (SSO) consente di entrare nello spazio di lavoro con l'account che l'organizzazione già fornisce. CommonLynk non vede mai la password. Le password continuano a funzionare mentre l'SSO è attivo, e il proprietario dello spazio può sempre accedere con la propria password.

Prima di iniziare

CommonLynk attiva l'SSO per uno spazio di lavoro su richiesta. Poi il proprietario lo trova in Impostazioni, Accesso unico. Solo il proprietario può aggiungere un provider, rivendicare un dominio o attivare un provider. Gli amministratori possono vedere le impostazioni ed eseguire un test.

1. Premi «Aggiungi provider», scegli il tuo sistema di accesso e passa i valori mostrati al tuo team IT.
2. Il team IT crea l'applicazione dalla sua parte e ti restituisce i valori richiesti da CommonLynk.
3. In «Domini» aggiungi il dominio email, pubblica il record DNS TXT indicato accanto e premi «Verifica».
4. Premi «Prova connessione». Accedi davvero al tuo provider e la pagina ti dice cosa succederebbe.
5. Premi «Attiva».

Microsoft Entra ID

Nell'interfaccia di amministrazione di Microsoft Entra apri Registrazioni app e registra un'applicazione solo per gli account di questa directory organizzativa. Aggiungi l'URI di reindirizzamento mostrato come reindirizzamento Web. Copia l'ID applicazione (client) e l'ID directory (tenant) e crea un segreto client in Certificati e segreti. L'emittente è https://login.microsoftonline.com/ seguito dall'ID tenant e da /v2.0. Indica la data di scadenza del segreto: CommonLynk avvisa 30 e 7 giorni prima.

Per usare SAML crea invece un'applicazione aziendale con SAML, incolla l'identificatore e l'URL di risposta mostrati e fornisci a CommonLynk l'URL dei metadati di federazione. CommonLynk riconosce le persone dal loro ID oggetto, mai dall'indirizzo email.

Google Workspace

Nella console Google Cloud della tua organizzazione crea un client OAuth di tipo Applicazione web e aggiungi l'URI di reindirizzamento mostrato. Inserisci anche il dominio Google Workspace: senza di esso qualsiasi account Google potrebbe accedere, perciò CommonLynk non salva il provider.

Okta

Nella console di amministrazione di Okta crea un'integrazione app OIDC come Applicazione Web, aggiungi l'URI di reindirizzamento e copia ID client, segreto client e il tuo indirizzo Okta, che è l'emittente. Per SAML incolla l'URL di accesso unico e l'audience mostrati e fornisci a CommonLynk l'URL dei metadati.

Keycloak

Nel tuo realm crea un client OpenID Connect con autenticazione client attiva, aggiungi l'URI di reindirizzamento come valido e copia il segreto dalla scheda «Credentials». L'emittente è l'indirizzo di Keycloak seguito da /realms/ e dal nome del realm. Se Keycloak gira sulla tua rete privata, chiedi a CommonLynk di consentire il suo indirizzo.

Chi entra

Una persona accede con l'SSO quando il suo indirizzo email appartiene a uno dei domini verificati. La prima volta CommonLynk crea il suo account senza ruolo né accesso ai record, a meno che il proprietario non abbia scelto un ruolo per il provider; poi un amministratore le dà ciò che serve. In alternativa puoi ammettere solo le persone invitate. Un account esistente viene collegato all'account di lavoro al primo accesso; se il provider non conferma l'indirizzo, CommonLynk vi invia prima un codice.

Chi accede con l'SSO non riceve un secondo passaggio di CommonLynk: se ne occupa l'accesso della tua organizzazione. La pagina delle impostazioni ti avvisa quando il provider non segnala la verifica in due passaggi. Finché l'SSO è attivo, il proprietario ha bisogno della verifica in due passaggi per la propria password.

Se l'SSO smette di funzionare

La pagina di accesso ha sempre il link «Accesso del proprietario», che apre il modulo della password. Se un segreto scade o il provider non risponde, il proprietario accede da lì e disattiva il provider o inserisce un nuovo segreto. Disattivare un provider chiude tutte le sessioni aperte tramite esso.