Jokainen erillinen kirjautuminen on yksi salasana lisää nollattavaksi ja yksi tili lisää suljettavaksi, kun joku lähtee. SAML-kertakirjautuminen (SSO) yhdistää oppimisen hallintajärjestelmäsi identiteetintarjoajaasi, jolloin ihmiset kirjautuvat koulutukseen työtililtään ja käyttöoikeudet seuraavat hakemistoasi. Tässä kerrotaan, miten SAML toimii, miten määritys sujuu Microsoft Entra ID:n, Oktan tai Google Workspacen kanssa ja mitä kannattaa tarkistaa ennen käyttöönottoa.
Miten SAML-kertakirjautuminen toimii
SAML (Security Assertion Markup Language) 2.0 on avoin standardi kirjautumistietojen välittämiseen kahden toisiinsa luottavan järjestelmän välillä. LMS ei koskaan näe henkilön salasanaa: se ohjaa hänet identiteetintarjoajallesi, joka tarkistaa, kuka hän on, ja vaatii tarvittaessa monivaiheisen tunnistautumisen, ja palauttaa hänet takaisin allekirjoitetun vahvistuksen kanssa.
| Termi | Mitä se tarkoittaa |
|---|---|
| Identiteetintarjoaja (IdP) | Järjestelmä, joka todentaa ihmisesi, kuten Entra ID, Okta tai Google Workspace. |
| Palveluntarjoaja (SP) | Sovellus, johon ihmiset kirjautuvat: LMS. |
| Assertion (väite) | IdP:n allekirjoittama XML-lausunto: kuka henkilö on, milloin hän kirjautui ja attribuutit, kuten sähköpostiosoite ja nimi. |
| Entity ID | Kummankin osapuolen yksilöivä nimi, joka on usein URL-osoitteen muotoinen mutta on vain tunniste. Sen on vastattava täsmälleen. |
| ACS URL | Assertion Consumer Service URL: LMS:n osoite, joka vastaanottaa IdP:n vastauksen. |
| Allekirjoitusvarmenne | IdP allekirjoittaa yksityisellä avaimellaan; LMS tarkistaa allekirjoituksen IdP:n julkisella varmenteella ja hylkää väärennetyt tai muutetut väitteet. |
| Metadata (metatiedot) | XML-tiedosto, joka kokoaa yhteen entity ID:n, päätepisteet ja varmenteet ja on valmis tuotavaksi. |
Väitteet ovat lyhytikäisiä ja nimeävät vastaanottajansa (SP:n entity ID:n). SP hylkää kaiken, mikä on vanhentunutta tai tarkoitettu toiselle sovellukselle.
Miksi SSO kannattaa LMS:ssä
- Ei ylimääräisiä salasanoja. Ihmiset käyttävät päivittäistä tiliään, ja MFA- ja pääsypolitiikkasi kattavat myös koulutuksen.
- Uudet työntekijät pääsevät nopeasti sisään. Liitä LMS-sovellus ryhmään, niin sen uudet jäsenet voivat kirjautua ensimmäisenä työpäivänä.
- Lähtijöiden käyttöoikeus päättyy lähteellä. Poista henkilö käytöstä hakemistossasi, niin hän ei voi aloittaa uutta LMS-istuntoa. SAML ohjaa kirjautumista, ei tiliä, joten arkistoi LMS-tili myös osana työsuhteen päättymisen toimia.
Tilin luonti just-in-time-periaatteella
Just-in-time (JIT) -tilinluonnissa LMS luo tilin, kun joku kirjautuu ensimmäisen kerran, väitteen attribuuttien pohjalta, joten käyttäjälistaa ei tarvitse tuoda. Aseta sille suojakaiteet:
- Rajaa se omiin sähköpostiverkkotunnuksiisi, jotta väärin määritetty sovellus tai vierastili ei luo ylimääräisiä käyttäjiä.
- Anna uusille tileille alin rooli ja myönnä ylläpitäjän oikeudet harkiten.
- Yhdistä ihmiset pysyvään tunnisteeseen, jos IdP:si voi lähettää sellaisen, koska sähköpostiosoitteet muuttuvat.
SP-aloitteinen vs. IdP-aloitteinen kirjautuminen
- SP-aloitteinen: henkilö avaa LMS:n, joka lähettää todennuspyynnön IdP:lle, ja IdP lähettää vastauksensa ACS URL -osoitteeseen. Se toimii kirjanmerkeistä ja sähköpostilinkeistä, ja sitä pidetään yleensä turvallisempana, koska vastaus koskee LMS:n tekemää pyyntöä.
- IdP-aloitteinen: henkilö napsauttaa sovelluksen ruutua Microsoft My Appsissa, Okta-koontinäkymässään tai Googlen sovellusvalikossa, ja IdP lähettää pyytämättömän vastauksen ACS URL -osoitteeseen.
Voit tarjota molempia; testaa kumpikin.
SAML SSO:n määritys vaihe vaiheelta
Järjestys on lähes sama kaikkialla:
- Suunnittele laajuus: ketkä käyttävät SSO:ta, mitkä ryhmät saavat sovelluksen, mitkä sähköpostiverkkotunnukset sallitaan ja mikä attribuutti tunnistaa jokaisen henkilön.
- Luo yhteys LMS:ssä ja merkitse muistiin sen entity ID ja ACS URL.
- Luo SAML-sovellus IdP:ssäsi näillä arvoilla, valitse NameID-muoto ja lisää sähköpostin, etunimen ja sukunimen attribuutit.
- Määritä käyttäjät tai ryhmät; määrittämättömät henkilöt yleensä torjutaan.
- Anna LMS:lle IdP:n tiedot: metatietojen URL-osoite, metatietotiedosto tai IdP:n entity ID, kirjautumisosoite ja allekirjoitusvarmenne.
- Yhdistä attribuutit niihin nimiin, joita IdP:si todella lähettää.
- Testaa, ota sitten käyttöön ja kerro ihmisille, mikä muuttuu.
Huomioita eri identiteetintarjoajista
Identiteetintarjoajasi ohjeissa on tarkat näkymät. Hyvä tietää:
- Microsoft Entra ID: käytä ei-galleriasta valittua yrityssovellusta (enterprise application), älä sovellusrekisteröintiä, joka ei tue SAMLia. Claim-nimet ovat pitkiä URI-osoitteita, joten kopioi ne täsmälleen. Objektitunnus (object ID) on hyvä pysyvä tunniste. Jos henkilöllä ei ole postilaatikkoa, sähköposticlaim voi olla tyhjä; käyttäjätunnus (user principal name) voi toimia sen sijasta, jos se on toimiva sähköpostiosoite.
- Okta: luo SAML 2.0 -sovellusintegraatio. Attribuuttilausekkeet nimeät itse, joten niiden on vastattava LMS:n yhdistämistä täsmälleen, kirjainkoko mukaan lukien. Sen sisäinen käyttäjätunnus (user ID) toimii pysyvänä tunnisteena.
- Google Workspace: lisää mukautettu SAML-sovellus ja lataa sen metatietotiedosto. Sovellus on aluksi pois päältä, joten ota se käyttöön oikeille organisaatioyksiköille tai ryhmille. Tyypillinen määritys tunnistaa ihmiset ensisijaisen sähköpostiosoitteen perusteella, joten varaudu uudelleen nimettyihin ja uudelleenkäytettyihin osoitteisiin.
Testauslista
Tarkista nämä ennen käyttöönottoa yksityisessä selainikkunassa:
- Nykyinen käyttäjä kirjautuu aloittaen LMS:stä ja uudelleen sovellusruudusta.
- Uusi käyttäjä verkkotunnuksellasi saa tilin oikealla roolilla.
- Henkilö, jota ei ole määritetty sovellukseen, torjutaan.
- Sallittujen verkkotunnustesi ulkopuolinen henkilö torjutaan.
- Sähköpostiosoite, etunimi ja sukunimi saapuvat oikein.
- Ylläpitäjä pääsee edelleen sisään palautuskeinon kautta.
Yleiset sudenkuopat
Kellojen ero
Jos IdP:n ja LMS:n kellot poikkeavat toisistaan enemmän kuin LMS sietää, kelvolliset väitteet hylätään joko vielä voimaan astumattomina tai jo vanhentuneina. Ongelma koskee lähinnä itse ylläpidettyjä identiteettipalvelimia, joten pidä niiden kellot synkronoituina.
Varmenteen vaihto
IdP:n allekirjoitusvarmenteet vanhenevat, ja jos LMS ei luota uuteen varmenteeseen, kaikki kirjautumiset epäonnistuvat kerralla. Merkitse vanhenemispäivä kalenteriin. Jos LMS voi luottaa kahteen varmenteeseen, lisää uusi ensin sinne ja ota se sitten käyttöön IdP:ssä; muussa tapauksessa vaihda molemmat puolet yhtä aikaa hiljaisena ajankohtana. Testaa heti.
Attribuuttien yhdistäminen
Attribuuttien nimet täsmätään yleensä tarkasti: LMS, joka odottaa arvoa email, ei hyväksy arvoa Email. Tarkista myös tunniste. Tilapäinen (transient) NameID vaihtuu joka istunnossa ja sähköpostiosoite voi muuttua; pysyvä (persistent) NameID tai muuttumaton tunnisteattribuutti on vakaa. Jos ihmiset yhdistetään sähköpostiosoitteen perusteella, arkistoi lähtijän tili ennen kuin hänen osoitteensa annetaan uudelleen jollekulle toiselle.
Sähköpostiverkkotunnusten ristiriita
Hakemistoissa on usein ihmisiä, joiden kirjautumisnimi ei ole heidän sähköpostiosoitteensa, muissa verkkotunnuksissa olevia urakoitsijoita ja yritysostojen myötä tulleita työntekijöitä, jotka käyttävät yhä vanhoja verkkotunnuksia. Jos LMS rajaa tilit tiettyihin verkkotunnuksiin, heidät torjutaan. Listaa kaikki verkkotunnukset ennen käyttöönottoa.
Näin Acadenix tekee sen
SAML SSO sisältyy Gold-pakettiin, ja mukana on vaiheittaiset ohjeet Entra ID:lle, Oktalle ja Google Workspacelle.
- Testaa, ota sitten käyttöön. Tallennat IdP:si tiedot luonnoksena, suoritat Test configuration -testin (määrityksen testaus) kirjautumalla identiteetintarjoajallasi ja otat määrityksen käyttöön vasta sitten. Puuttuva sähköposticlaim raportoidaan niiden claim-nimien kanssa, jotka identiteetintarjoajasi todella lähetti.
- Vaiheittaiset muutokset. Uusi varmenne tai tenant lisätään määrityspäivityksenä, ja nykyinen määritys toimii edelleen, kunnes otat uuden käyttöön.
- JIT verkkotunnustesi sisällä. Henkilö, jolla ei ole tiliä, saa oppijatilin ensimmäisellä kirjautumisella vain, jos hänen sähköpostiosoitteensa on organisaatiosi rekisteröitymisverkkotunnuksissa, ja tämän voi kytkeä pois. Kun henkilö, jolla on jo Acadenix-tili, kirjautuu ensimmäisen kerran IdP:si kautta, Acadenix lähettää hänelle sähköpostitse kertakäyttökoodin yhteyden vahvistamiseksi. Tämä tapahtuu kerran henkilöä kohden.
- Molemmat sisäänkäynnit. Ihmiset aloittavat kirjautumissivultasi, joka voi viedä heidät suoraan IdP:llesi tai näyttää painikkeen, tai My Appsin, Oktan tai Googlen ruudusta.
- Yksi yhteys, yksi organisaatio. SAML-yhteys ei periydy omistajansa alapuolella oleville organisaatioille, mikä on tärkeää useita toimipisteitä käyttäville konserneille.
- Palautuskeino. Jos IdP:si on pois käytöstä, ylläpitäjät voivat silti kirjautua sähköpostitse lähetettävällä kertakäyttökoodilla, eikä tätä voi kytkeä pois.
SAMLin rinnalla ihmiset voivat kirjautua sähköpostitse lähetettävällä koodilla tai Google-, Microsoft- tai LinkedIn-tilillä. Lisää tietoturvasivullamme.
Tärkeimmät opit
- Vaihda entity ID:t, ACS URL ja metatiedot, ja yhdistä sitten pysyvä tunniste ja vahvistettu sähköpostiosoite.
- Rajaa just-in-time-tilit omiin verkkotunnuksiisi ja alimpaan rooliin.
- Testaa molemmat kirjautumistavat, torjunnat ja palautuskeino ennen käyttöönottoa.
- Merkitse varmenteen vanhenemispäivä kalenteriin ja arkistoi lähtijöiden LMS-tilit.
Haluatko yhdistää Acadenixin identiteetintarjoajaasi? Vertaa paketteja hinnoittelusivullamme tai ota yhteyttä, niin käymme läpi tilanteesi.
