Single Sign-On (SSO) med SAML 2.0 gör det möjligt för er organisation att autentisera användare via en central identitetsleverantör (IdP), medan Tagd fungerar som tjänsteleverantör (SP). Er identitetsleverantör ansvarar för autentiseringen, inklusive multifaktorautentisering och villkorsstyrd åtkomst, och Tagd ser aldrig något lösenord.
Förutsättning: En identitetsleverantör som stöder SAML 2.0 (till exempel Microsoft Entra ID (Azure AD), Okta, ADFS eller Google Workspace).
Använder ni OpenID Connect i stället? Se Single Sign-On (SSO) via OpenID Connect (OIDC).
Följande SAML SP-uppgifter behövs när ni konfigurerar er identitetsleverantör:
Parameter | Värde |
Entity ID | urn:amazon:cognito:sp:eu-north-1_NZR32yqNd |
Reply URL (ACS URL) | https://tagd-prod-platform.auth.eu-north-1.amazoncognito.com/saml2/idpresponse |
Binding | HTTP-POST |
Name ID format | EmailAddress |
Default RelayState | Lämna tomt |
Skapa en applikation i er identitetsleverantör:
Skapa en ny SAML 2.0-applikation, till exempel med namnet "Tagd"
Ange Entity ID och Reply URL (ACS URL) från tabellen ovan och sätt Name ID format till EmailAddress
Konfigurera de användarattribut/claims som ska skickas med i SAML-svaret
email (Obligatoriskt)
given_name (förnamn)
family_name (efternamn)
groups (Obligatoriskt, minst en grupp krävs). Gruppnamn får endast innehålla bokstäver, siffror och . - * _ (till exempel Acme-Legal, inte Acme Legal)
Tilldela testanvändare till både SAML-applikationen och gruppen. En användare som inte är tilldelad kan inte logga in
Välj en utloggnings-URL (Obligatoriskt). Antingen er identitetsleverantörs utloggningsadress, som även loggar ut användaren från identitetsleverantören, eller en landningssida, till exempel ert intranät. Adressen måste börja med https://
Välj önskat inloggningsalias, till exempel "foretaget". Er inloggningslänk blir då https://prod.tagd.ai/api/v1/auth/login?org=foretaget. Använd endast gemener (a–z), siffror och bindestreck
Skicka följande uppgifter till [email protected]
App Federation Metadata URL (rekommenderas) eller fil (XML)
Utloggnings-URL
Önskat inloggningsalias
Testanvändarens e-postadress
Namn på de grupper som ska synkroniseras, stavade exakt som i SAML-svaret
Attributnamn, om de skiljer sig från email, given_name, family_name och groups
Valfritt: en grupp som ska ge rollen Administratör i Tagd
Namn och e-postadress till en teknisk kontaktperson för driftsättningen
Skicka aldrig användarlösenord, privata nycklar eller API-nycklar för er identitetsleverantör. När uppgifterna har tagits emot konfigurerar vårt team SAML-autentiseringen för er organisation.
Innan SSO rullas ut till alla användare testas konfigurationen tillsammans med någon från vårt team.
Öppna inloggningslänken och kontrollera att den leder direkt till er identitetsleverantör
Gör en testinloggning med ett användarkonto i identitetsleverantören, inklusive eventuellt multifaktorsteg
Kontrollera att användarens namn och e-postadress visas korrekt i Tagd
Kontrollera att användaren läggs till i rätt grupp i Tagd och har förväntad roll
Kontrollera att utloggning avslutar sessionen i Tagd och leder till er utloggnings-URL
Kontrollera att en användare som inte är tilldelad applikationen inte kan logga in
Vi rekommenderar starkt att ni först testar med en begränsad grupp användare. Rapportera eventuella problem till [email protected]
Samordna driftsättningen av SSO-integrationen tillsammans med er kontaktperson hos oss:
Bestäm datum för driftsättning och se till att er tekniska kontaktperson är nåbar under driftsättningen.
Tilldela användare till Tagd-applikationen i er identitetsleverantör. När en användare loggar in via SSO för första gången skapas kontot automatiskt eller kopplas till ett befintligt konto utifrån e-postadressen. Gruppmedlemskap från er identitetsleverantör lägger till användaren i motsvarande grupper i Tagd.
Informera era användare om förändringen och dela inloggningslänken. Användarna loggar in med sina vanliga jobbuppgifter och behöver inget separat lösenord till Tagd.