Single Sign-On (SSO) via SAML

Single Sign-On (SSO) med SAML 2.0 gjør det mulig for organisasjonen deres å autentisere brukere via en sentral identitetsleverandør (IdP), mens Tagd fungerer som tjenesteleverandør (SP). Identitetsleverandøren deres har ansvaret for autentiseringen, inkludert flerfaktorautentisering og betinget tilgang, og Tagd ser aldri noe passord.

Forutsetning: En identitetsleverandør som støtter SAML 2.0 (for eksempel Microsoft Entra ID (Azure AD), Okta, ADFS eller Google Workspace).

Bruker dere OpenID Connect i stedet? Se Single Sign-On (SSO) via OpenID Connect (OIDC).

Trinn 1: Samle inn opplysninger om tjenesteleverandøren (SP)

Følgende SAML SP-opplysninger trengs når dere konfigurerer identitetsleverandøren deres:

Trinn 2: Konfigurer identitetsleverandøren (IdP)

Opprett en applikasjon i identitetsleverandøren deres:

1. Opprett en ny SAML 2.0-applikasjon, for eksempel med navnet "Tagd"

2. Legg inn Entity ID og Reply URL (ACS URL) fra tabellen over, og sett Name ID format til EmailAddress

3. Konfigurer brukerattributtene/claims som skal sendes med i SAML-svaret

   1. email (Obligatorisk)

   2. given_name (fornavn)

   3. family_name (etternavn)

   4. groups (Obligatorisk, minst én gruppe kreves). Gruppenavn kan kun inneholde bokstaver, sifre og . - * _ (for eksempel Acme-Legal, ikke Acme Legal)

4. Tildel testbrukere til både SAML-applikasjonen og gruppen. En bruker som ikke er tildelt, kan ikke logge inn

5. Velg en utloggings-URL (Obligatorisk). Enten identitetsleverandørens utloggingsadresse, som også logger brukeren ut av identitetsleverandøren, eller en landingsside, for eksempel intranettet deres. Adressen må begynne med https://

6. Velg ønsket påloggingsalias, for eksempel "firmaet". Påloggingslenken blir da https://prod.tagd.ai/api/v1/auth/login?org=firmaet. Bruk kun små bokstaver (a–z), sifre og bindestrek

Trinn 3: Send SSO-opplysninger til Tagd

Send følgende opplysninger til [email protected]

• App Federation Metadata URL (anbefales) eller fil (XML)

• Utloggings-URL

• Ønsket påloggingsalias

• Testbrukerens e-postadresse

• Navn på gruppene som skal synkroniseres, stavet nøyaktig som i SAML-svaret

• Attributtnavn, hvis de avviker fra email, given_name, family_name og groups

• Valgfritt: en gruppe som skal gi rollen Administrator i Tagd

• Navn og e-postadresse til en teknisk kontaktperson for produksjonssettingen

Send aldri brukerpassord, private nøkler eller API-nøkler for identitetsleverandøren. Når opplysningene er mottatt, konfigurerer teamet vårt SAML-autentiseringen for organisasjonen deres.

Trinn 4: Test SSO-oppsettet

Før SSO rulles ut til alle brukere, testes oppsettet sammen med noen fra teamet vårt.

• Åpne påloggingslenken og kontroller at den sender dere rett til identitetsleverandøren

• Utfør en testpålogging med en brukerkonto i identitetsleverandøren, inkludert eventuelt flerfaktortrinn

• Kontroller at brukerens navn og e-postadresse vises riktig i Tagd

• Kontroller at brukeren legges til i riktig gruppe i Tagd og har forventet rolle

• Kontroller at utlogging avslutter økten i Tagd og sender brukeren til utloggings-URL-en

• Kontroller at en bruker som ikke er tildelt applikasjonen, ikke kan logge inn

Vi anbefaler sterkt å teste med en begrenset gruppe brukere først. Rapporter eventuelle problemer til [email protected]

Trinn 5: PRODUKSJONSSETTING

Koordiner produksjonssettingen av SSO-integrasjonen sammen med kontaktpersonen deres hos oss:

• Bestem dato for produksjonssetting, og sørg for at den tekniske kontaktpersonen er tilgjengelig underveis.

• Tildel brukere til Tagd-applikasjonen i identitetsleverandøren. Når en bruker logger inn via SSO for første gang, opprettes kontoen automatisk eller kobles til en eksisterende konto basert på e-postadressen. Gruppemedlemskap fra identitetsleverandøren legger brukeren til i tilsvarende grupper i Tagd.

• Informer brukerne om endringen og del påloggingslenken. Brukerne logger inn med sin vanlige jobbpålogging og trenger ikke et eget passord til Tagd.