Hvert enkelt login er endnu en adgangskode, der skal nulstilles, og endnu en konto, der skal lukkes, når nogen stopper. SAML single sign-on (SSO) forbinder dit learning management system med din identitetsudbyder, så folk logger ind på træningen med deres arbejdskonto, og adgangen følger dit brugerkatalog. Her er, hvordan SAML fungerer, hvordan opsætningen forløber med Microsoft Entra ID, Okta eller Google Workspace, og hvad du skal tjekke, før du går live.
Sådan fungerer SAML single sign-on
SAML (Security Assertion Markup Language) 2.0 er en åben standard til at sende login-oplysninger mellem to systemer, der har tillid til hinanden. LMS’et ser aldrig personens adgangskode: Det sender vedkommende videre til din identitetsudbyder, som kontrollerer, hvem personen er – med den multifaktorgodkendelse, du kræver – og sender personen tilbage med en signeret erklæring.
| Begreb | Hvad det betyder |
|---|---|
| Identitetsudbyder (IdP) | Systemet, der godkender dine medarbejdere, for eksempel Entra ID, Okta eller Google Workspace. |
| Tjenesteudbyder (SP) | Applikationen, folk logger ind i: dit LMS. |
| Assertion | Den signerede XML-erklæring fra IdP’en: hvem personen er, hvornår vedkommende loggede ind, og attributter som e-mail og navn. |
| Entity ID | Et unikt navn for hver part, ofte formet som en URL, men kun en identifikator. Det skal matche præcist. |
| ACS URL | Assertion Consumer Service-URL’en: LMS-adressen, der modtager IdP’ens svar. |
| Signeringscertifikat | IdP’en signerer med sin private nøgle; LMS’et verificerer med IdP’ens offentlige certifikat og afviser forfalskede eller ændrede assertions. |
| Metadata | En XML-fil, der samler et entity ID, endpoints og certifikater, klar til import. |
Assertions er kortlivede og angiver deres modtager (SP’ens entity ID). SP’en afviser alt, der er udløbet eller beregnet til en anden applikation.
Derfor er SSO umagen værd i et LMS
- Ingen ekstra adgangskoder. Folk bruger deres daglige konto, og din MFA og dine adgangspolitikker dækker også træningen.
- Nyansatte får hurtigt adgang. Tildel LMS-applikationen til en gruppe, og nye medarbejdere i den kan logge ind allerede på første dag.
- Fratrådte mister adgangen ved kilden. Deaktivér nogen i dit brugerkatalog, og vedkommende kan ikke starte en ny LMS-session. SAML styrer login, ikke selve kontoen, så arkivér også LMS-kontoen som en del af fratrædelsesforløbet.
Just-in-time-oprettelse af konti
Med just-in-time-provisionering (JIT) opretter LMS’et en konto, første gang nogen logger ind, ud fra assertionens attributter, så der ikke er nogen brugerliste at importere. Sæt tydelige rammer om den:
- Begræns den til dine egne e-maildomæner, så en fejlkonfigureret applikation eller en gæstekonto ikke opretter overflødige brugere.
- Giv nye konti den laveste rolle, og tildel administratorrettigheder bevidst.
- Match folk på en stabil identifikator, hvor din IdP kan sende en, for mailadresser ændrer sig.
SP-initieret vs. IdP-initieret login
- SP-initieret: personen åbner LMS’et, som sender en autentificeringsanmodning til IdP’en, og IdP’en poster sit svar til ACS URL’en. Det virker fra bogmærker og links i mails og anses generelt for det sikreste forløb, fordi svaret besvarer en anmodning, som LMS’et selv har sendt.
- IdP-initieret: personen klikker på applikationens flise i Microsoft My Apps, sit Okta-dashboard eller Googles appmenu, og IdP’en sender et uanmodet svar til ACS URL’en.
Du kan tilbyde begge dele; test hver for sig.
Opsætning af SAML SSO trin for trin
Rækkefølgen er stort set den samme overalt:
- Planlæg omfanget: hvem der bruger SSO, hvilke grupper der får applikationen, hvilke e-maildomæner der er tilladt, og hvilken attribut der identificerer hver person.
- Opret forbindelsen i LMS’et, og notér dens entity ID og ACS URL.
- Opret en SAML-applikation hos din IdP med disse værdier, vælg NameID-formatet, og tilføj attributterne e-mail, fornavn og efternavn.
- Tildel brugere eller grupper; folk, der ikke er tildelt, bliver som regel afvist.
- Giv LMS’et IdP’ens oplysninger: en metadata-URL, en metadatafil eller IdP’ens entity ID, login-URL og signeringscertifikat.
- Map attributterne til de navne, din IdP faktisk sender.
- Test, og slå det derefter til, og fortæl folk, hvad der ændrer sig.
Noter om udbyderne
Din udbyders dokumentation viser de præcise skærmbilleder. Værd at vide:
- Microsoft Entra ID: brug en enterprise-applikation uden for galleriet, ikke en app-registrering, som ikke tilbyder SAML. Claim-navne er lange URI’er, så kopiér dem præcist. Objekt-ID’et er en god stabil identifikator. For folk uden postkasse kan e-mail-claimet være tomt; user principal name kan træde i stedet, hvis det er en rigtig mailadresse.
- Okta: opret en SAML 2.0-appintegration. Du navngiver selv attributudsagnene, så de skal matche LMS’ets mapping præcist, også i store og små bogstaver. Oktas interne bruger-ID er en god stabil identifikator.
- Google Workspace: tilføj en tilpasset SAML-app, og download dens metadatafil. Appen starter slået fra, så slå den til for de rigtige organisationsenheder eller grupper. En typisk opsætning identificerer folk på primær e-mail, så planlæg for omdøbte og genbrugte adresser.
Tjekliste til test
Før du går live, skal du tjekke disse i et privat browservindue:
- En eksisterende bruger logger ind fra LMS’et og igen fra app-flisen.
- En ny bruger på dit domæne får en konto med den rigtige rolle.
- Nogen, der ikke er tildelt applikationen, bliver afvist.
- Nogen uden for dine tilladte domæner bliver afvist.
- E-mail, fornavn og efternavn ankommer korrekt.
- En administrator kan stadig komme ind via genoprettelsesvejen.
Almindelige faldgruber
Tidsforskydning (clock skew)
Hvis IdP’ens og LMS’ets ure afviger mere fra hinanden, end LMS’et tolererer, afvises gyldige assertions som endnu ikke gyldige eller allerede udløbet. Det rammer mest selvhostede identitetsservere, så hold deres ure synkroniseret.
Udskiftning af certifikat
IdP’ens signeringscertifikater udløber, og hvis LMS’et ikke stoler på det nye, fejler alle login på én gang. Læg udløbsdatoen i kalenderen. Kan dit LMS stole på to certifikater, så tilføj det nye dér først og aktivér det derefter hos IdP’en; ellers skift begge sider samtidig på et roligt tidspunkt. Test med det samme.
Attributmapping
Attributnavne matches som regel præcist: Et LMS, der forventer email, accepterer ikke Email. Tjek også identifikatoren. Et transient NameID ændrer sig for hver session, og en mailadresse kan ændre sig; et persistent NameID eller en uforanderlig ID-attribut er stabil. Hvis folk matches på e-mail, så arkivér en fratrådts konto, før vedkommendes adresse tildeles en anden.
Uoverensstemmelse i e-maildomæne
Brugerkataloger indeholder ofte folk, hvis loginnavn ikke er deres mailadresse, eksterne medarbejdere på andre domæner og medarbejdere fra opkøbte virksomheder, der stadig bruger gamle domæner. Hvis LMS’et begrænser konti til bestemte domæner, bliver de afvist. Gør en liste over alle domæner klar, før du går live.
Sådan gør Acadenix det
SAML SSO er en del af Gold-abonnementet med trin-for-trin-vejledninger til Entra ID, Okta og Google Workspace.
- Test, og aktivér derefter. Du gemmer din IdP’s oplysninger som en kladde, kører Test configuration (test konfigurationen) ved at logge ind hos din udbyder, og aktiverer først derefter. Et manglende e-mail-claim rapporteres sammen med de claim-navne, din udbyder faktisk sendte.
- Forberedte ændringer. Et nyt certifikat eller en ny tenant lægges ind som en konfigurationsopdatering, og den nuværende konfiguration fortsætter med at virke, indtil du aktiverer den.
- JIT inden for dine domæner. Nogen uden konto får en kursistkonto ved første login, men kun hvis vedkommendes mailadresse hører til din organisations registreringsdomæner, og du kan slå det fra. Når en person, der allerede har en Acadenix-konto, logger ind via din IdP for første gang, sender Acadenix en engangskode til vedkommendes mail for at bekræfte koblingen. Det sker én gang pr. person.
- Begge veje ind. Folk starter fra din loginside, som kan sende dem direkte til din IdP eller vise en knap, eller fra flisen i My Apps, Okta eller Google.
- Én forbindelse, én organisation. En SAML-forbindelse føres ikke videre ned til organisationer under dens ejer, hvilket har betydning for koncerner med mange lokationer.
- En genoprettelsesvej. Hvis din IdP er nede, kan administratorer stadig logge ind med en engangskode sendt på e-mail, og det kan ikke slås fra.
Ved siden af SAML kan folk logge ind med en kode på e-mail eller med en Google-, Microsoft- eller LinkedIn-konto. Læs mere på vores sikkerhedsside.
Nøglepunkter
- Udveksl entity ID’er, ACS URL’en og metadata, og map derefter en stabil identifikator og en verificeret e-mail.
- Begræns just-in-time-konti til dine egne domæner og den laveste rolle.
- Test begge login-forløb, afvisningerne og genoprettelsesvejen, før du går live.
- Læg certifikatets udløbsdato i kalenderen, og arkivér fratrådtes LMS-konti.
Vil du forbinde Acadenix til din identitetsudbyder? Sammenlign abonnementer på vores prisside, eller tal med os om din opsætning.
