Login uden adgangskode til kursister: færre nulstillinger og bedre sikkerhed

Den, der kun logger ind i dit LMS én gang om året til en compliance-genopfriskning, kommer aldrig til at huske sin adgangskode. Så vedkommende klikker på »glemt adgangskode«, venter på en mail, finder på en ny adgangskode, som glemmes igen, eller giver op og opretter en sag. Login uden adgangskode fjerner adgangskoden helt. Denne guide forklarer, hvordan det fungerer, hvor sikkerhedsafvejningerne reelt ligger, og hvornår det kan betale sig at lægge SAML single sign-on oveni.

Derfor svigter adgangskoder kursister, der kun logger ind af og til

Adgangskoder fungerer bedst til systemer, folk bruger hver dag. En træningsplatform er ofte det modsatte: Folk logger ind, når de er blevet tilmeldt, når en påmindelse lander, eller når et certifikat er ved at udløbe.

Det skaber en række problemer, der er til at forudse:

• Glemte adgangskoder. Med måneder mellem hvert login starter mange kursister med en nulstilling, ofte på den dag, træningen skal være klaret.
• Genbrug. Folk, der ikke kan huske endnu en adgangskode, genbruger en fra et andet sted. Hvis det andet sted bliver hacket, kan den samme mailadresse og adgangskode prøves i dit LMS.
• Omveje. Strenge regler for adgangskoder fører til adgangskoder på post-it-sedler eller forudsigelige variationer, som at lægge et tal til hver gang.
• Belastning af support. Hver spærring og nulstilling er en sag for din helpdesk eller dit L&D-team.

Der er også et mere stille punkt. De fleste adgangskodesystemer lader folk nulstille deres adgangskode via e-mail, hvilket betyder, at indbakken allerede styrer kontoen. Adgangskoden er den del, folk glemmer – ikke den del, der beskytter dem. Login uden adgangskode gør det bare tydeligt.

Sådan fungerer login uden adgangskode

Engangskoder på e-mail

1. Kursisten indtaster sin mailadresse.
2. LMS’et genererer en kort, tilfældig kode og sender den til vedkommende på e-mail.
3. Kursisten skriver koden ind, og LMS’et kontrollerer den.

En veldesignet kode virker kun én gang, udløber inden for få minutter og holder op med at virke efter nogle få forkerte forsøg. Der er intet at huske, intet genbrugt fra et andet sted og ingen adgangskode, der kan lække.

Nogle systemer sender et loginlink i stedet for en kode. Koder er praktiske, når nogen læser mail på sin telefon, men logger ind på en arbejdscomputer, fordi de blot kan skrive koden over.

Google-, Microsoft- eller LinkedIn-konti

Med knapper som »log ind med« overlader LMS’et login til udbyderen via standardprotokoller som OAuth 2.0 og OpenID Connect. Udbyderen kontrollerer, hvem personen er – herunder en eventuel totrinsbekræftelse på kontoen – og fortæller LMS’et, hvem vedkommende er, og hvad vedkommendes verificerede mailadresse er. LMS’et ser aldrig deres adgangskode.

Det passer til medarbejdere, der allerede logger ind i Microsoft 365 eller Google Workspace hver dag: ét klik, og de er inde.

Sikkerhedsafvejningerne – helt ærligt

Login uden adgangskode er ikke magi. Det flytter tilliden et andet sted hen, og du bør vide, hvor.

Et par forhold, der er værd at forstå:

• E-mailkontoen betyder mest. Den, der kan læse en kursists mail, kan logge ind som den kursist. Multifaktorgodkendelse på arbejdspostkasser gør mere for LMS-sikkerheden end nogen regel for adgangskoder.
• Udløb og begrænsede forsøg stopper gætværk. En sekscifret kode har omkring en million mulige værdier, så tre forsøg giver en gætter en chance på få ud af en million, og hver kode lever i få minutter. Begrænsninger for, hvor ofte der kan bestilles koder, bremser det yderligere.
• Koder kan stadig phishes. En falsk loginside kan bede om en kode og bruge den med det samme. Lær folk kun at indtaste koder på LMS’ets rigtige adresse og at ingen, heller ikke support, nogensinde vil bede dem om en.
• Delte postkasser svækker dine registreringer. Hvis flere kan læse den samme indbakke, kan hver af dem logge ind som dens ejer. Hver kursist har brug for sin egen adresse, for at træningsregistreringer skal betyde noget.
• Fratrådte skal fjernes overalt. En personlig Google- eller LinkedIn-konto forsvinder ikke, når nogen stopper. Suspendér eller arkivér dem i LMS’et som en del af fratrædelsesforløbet – ikke kun i dit brugerkatalog.
• Levering af e-mail er en del af systemet. Koder, der havner i spam eller kommer for sent, giver mislykkede login. Bed IT om at lade mails fra LMS’et slippe igennem jeres mailfiltre.

Planlæg genoprettelse, før du får brug for det

Med login uden adgangskode forsvinder sager om »glemt adgangskode« stort set. Det sædvanlige supportspørgsmål bliver »Jeg har ikke fået min kode«, og svaret er næsten altid at tjekke spam-mappen, bekræfte adressen og bestille en ny kode.

Administratorer kræver mere omtanke. Hvis du er afhængig af single sign-on, og din identitetsudbyder har et nedbrud, eller en indstilling ændres ved en fejl, har du brug for en vej ind, der ikke afhænger af det, der gik i stykker. God praksis:

• Hav mindst to administratorer, så det ikke låser organisationen ude, at én person mister adgangen.
• Sørg for, at administratorer har en genoprettelsesvej, der ikke afhænger af din identitetsudbyder.
• Prøv den genoprettelsesvej én gang i ro og mag, før du får brug for den på en dårlig dag.
• Hvis du begrænser administratorer til kontorets IP-intervaller, så tjek, hvordan fjernadministratorer kommer ind.

Hvornår du bør tilføje SAML single sign-on

Koder på e-mail og login via eksterne konti passer til de fleste kursister. SAML single sign-on er værd at tilføje, når:

• Dine medarbejdere allerede administreres i Microsoft Entra ID, Okta eller Google Workspace.
• Du vil have, at din identitetsudbyders multifaktor- og adgangspolitikker også gælder for træningen.
• Du vil have, at folk mister adgangen, så snart de deaktiveres i dit brugerkatalog.
• Sikkerhedsgennemgange eller kundespørgeskemaer beder om single sign-on.

Det er ikke hele svaret, hvis mange kursister befinder sig uden for dit brugerkatalog, for eksempel eksterne medarbejdere, frivillige, kunder eller andre organisationers medarbejdere. I så fald bruger du SSO til dine egne medarbejdere og beholder koder på e-mail til alle andre. Vi gennemgår opsætningen mere detaljeret i single sign-on til dit LMS.

Sådan gør Acadenix det

Acadenix har slet ingen adgangskoder. Folk logger ind på en af disse måder:

• Koder på e-mail. Folk indtaster deres mailadresse og får en sekscifret kode. Den virker én gang, i fem minutter, og holder op med at virke efter tre forkerte forsøg. Beder du om koder for ofte, bliver du bedt om at vente.
• Google, Microsoft og LinkedIn. Hver metode slås til eller fra under Settings → Authentication (indstillinger → autentificering) og kan begrænses til bestemte verificerede e-maildomæner. Før en ændring gemmes, kan du se, hvor mange personer og sessioner den berører.
• Dine egne login-apps. Organisationer kan bruge deres egen Google-, Microsoft- eller LinkedIn-app. Med din egen Microsoft-app kan kun konti i din tenant bruge den.
• SAML single sign-on med Gold. Forbind Microsoft Entra ID, Okta eller Google Workspace. Kursistkonti kan oprettes ved første login, men kun til adresser på din organisations e-maildomæner. Første gang nogen logger ind via SAML, sendes en kode på e-mail for at bekræfte koblingen, én gang pr. person. Andre metoder, du har slået til, forbliver reserveløsningen. Se abonnementer og priser.

For administratorer er der ekstra sikkerhedsforanstaltninger. Administratorer kan begrænses til dine IP-intervaller uden at påvirke kursister, og inaktive sessioner logges ud. Hvis dit sædvanlige login holder op med at virke, kan en administrator stadig komme ind med en genoprettelseskode sendt på e-mail, og den vej kan ikke slås fra. Når du suspenderer en persons konto, kan vedkommende ikke logge ind fra det øjeblik, og Email History (mailhistorik) viser, hvilke mails der blev sendt eller fejlede de seneste 30 dage, uden at gemme beskeders indhold eller koder. Der er flere detaljer på vores sikkerhedsside.

Nøglepunkter

• For kursister, der kun logger ind af og til, skaber adgangskoder nulstillinger, genbrug og sager uden at give ret meget beskyttelse.
• Koder på e-mail og login med arbejdskonto fjerner adgangskoden; indbakken eller udbyderkontoen bliver nøglen, så beskyt den med multifaktorgodkendelse.
• Engangskoder, der udløber hurtigt og tillader få forsøg, gør det upraktisk at gætte, men folk skal stadig vide, at de aldrig må dele en.
• Planlæg genoprettelse for administratorer og fratrædelsesforløb, før du slår metoder til.
• Tilføj SAML single sign-on, når dine medarbejdere lever i en central identitetsudbyder, og behold koder på e-mail til alle andre.

Hvis adgangskoder er den største kilde til supportsager om din træning, så se, hvordan login uden adgangskode fungerer med dine egne folk. Anmod om en evaluering, og sæt de loginmetoder op, der passer til din organisation.