Hver enkelt pålogging er enda et passord som må tilbakestilles og enda en konto som må avsluttes når noen slutter. Enkel pålogging med SAML (SSO) kobler læringsplattformen din (LMS-et) til identitetsleverandøren din, slik at folk logger inn på opplæringen med jobbkontoen sin og tilgangen følger brukerkatalogen din. Her får du vite hvordan SAML fungerer, hvordan oppsettet går med Microsoft Entra ID, Okta eller Google Workspace, og hva du bør sjekke før du går live.
Slik fungerer enkel pålogging med SAML
SAML (Security Assertion Markup Language) 2.0 er en åpen standard for å sende påloggingsinformasjon mellom to systemer som stoler på hverandre. LMS-et ser aldri personens passord: det sender personen til identitetsleverandøren din, som sjekker hvem vedkommende er, med den flerfaktorautentiseringen du krever, og sender personen tilbake med en signert erklæring.
| Begrep | Hva det betyr |
|---|---|
| Identitetsleverandør (IdP) | Systemet som autentiserer folkene dine, for eksempel Entra ID, Okta eller Google Workspace. |
| Tjenesteleverandør (SP) | Applikasjonen folk logger inn i: LMS-et ditt. |
| Assertion | Den signerte XML-erklæringen fra IdP-en: hvem personen er, når vedkommende logget inn, og attributter som e-post og navn. |
| Entity ID | Et unikt navn for hver side, ofte formet som en URL, men bare en identifikator. Den må stemme nøyaktig. |
| ACS URL | Assertion Consumer Service-URL-en: adressen i LMS-et som mottar svaret fra IdP-en. |
| Signeringssertifikat | IdP-en signerer med sin private nøkkel; LMS-et verifiserer med IdP-ens offentlige sertifikat og avviser forfalskede eller endrede assertions. |
| Metadata | En XML-fil som samler en entity ID, endepunkter og sertifikater, klar til import. |
Assertions er kortlivede og angir hvem de er ment for (SP-ens entity ID). SP-en avviser alt som er utløpt eller ment for en annen applikasjon.
Hvorfor SSO er verdt det for et LMS
- Ingen ekstra passord. Folk bruker den vanlige kontoen sin, og MFA-en og tilgangspolicyene dine dekker opplæringen også.
- Nyansatte får tilgang raskt. Tildel LMS-applikasjonen til en gruppe, så kan nye ansatte i den logge inn allerede første dag.
- De som slutter, mister tilgangen ved kilden. Deaktiver noen i katalogen din, så kan de ikke starte en ny LMS-økt. SAML styrer påloggingen, ikke kontoen, så arkiver LMS-kontoen som en del av rutinen når noen slutter.
Just-in-time-opprettelse av kontoer
Med just-in-time-provisjonering (JIT) oppretter LMS-et en konto første gang noen logger inn, ut fra attributtene i assertion, så det er ingen brukerliste som må importeres. Sett opp rammer rundt den:
- Begrens den til dine egne e-postdomener, så en feilkonfigurert applikasjon eller gjestekonto ikke oppretter uønskede brukere.
- Gi nye kontoer den laveste rollen, og gi administratorrettigheter bevisst.
- Koble personer sammen på en stabil identifikator der IdP-en din kan sende en, fordi e-postadresser endres.
SP-initiert og IdP-initiert pålogging
- SP-initiert: personen åpner LMS-et, som sender en autentiseringsforespørsel til IdP-en, og IdP-en sender svaret sitt til ACS-URL-en. Det fungerer fra bokmerker og lenker i e-post, og regnes generelt som den tryggeste flyten fordi svaret gjelder en forespørsel LMS-et har sendt.
- IdP-initiert: personen klikker på applikasjonens flis i Microsoft My Apps, Okta-dashbordet sitt eller Google-appmenyen, og IdP-en sender et uanmodet svar til ACS-URL-en.
Du kan tilby begge; test hver av dem.
Slik setter du opp SAML SSO, trinn for trinn
Rekkefølgen er stort sett den samme overalt:
- Planlegg omfanget: hvem som bruker SSO, hvilke grupper som får applikasjonen, hvilke e-postdomener som er tillatt, og hvilken attributt som identifiserer hver person.
- Opprett tilkoblingen i LMS-et og noter entity ID og ACS-URL.
- Opprett en SAML-applikasjon hos IdP-en din med disse verdiene, velg NameID-format, og legg til attributter for e-post, fornavn og etternavn.
- Tildel brukere eller grupper; folk som ikke er tildelt, avvises vanligvis.
- Gi LMS-et detaljene fra IdP-en: en metadata-URL, en metadatafil, eller IdP-ens entity ID, påloggings-URL og signeringssertifikat.
- Tilordne attributtene til navnene IdP-en din faktisk sender.
- Test, og slå den deretter på, og fortell folk hva som endres.
Merknader per leverandør
Dokumentasjonen til leverandøren din har de nøyaktige skjermbildene. Verdt å vite:
- Microsoft Entra ID: bruk en enterprise-applikasjon utenfor galleriet, ikke en appregistrering, som ikke tilbyr SAML. Claim-navnene er lange URI-er, så kopier dem nøyaktig. Object ID-en er en god stabil identifikator. For personer uten postboks kan e-post-claimen være tom; user principal name kan brukes i stedet hvis det er en ekte adresse.
- Okta: opprett en SAML 2.0-appintegrasjon. Du navngir attributtene selv, så de må stemme nøyaktig med tilordningen i LMS-et, også store og små bokstaver. Oktas interne bruker-ID er en stabil identifikator.
- Google Workspace: legg til en egendefinert SAML-app og last ned metadatafilen. Appen er avslått fra start, så slå den på for riktige organisasjonsenheter eller grupper. Et typisk oppsett identifiserer folk etter primær e-postadresse, så planlegg for adresser som får nytt navn eller gjenbrukes.
Sjekkliste for testing
Før du går live, sjekk disse i et privat nettleservindu:
- En eksisterende bruker logger inn fra LMS-et, og igjen fra app-flisen.
- En ny bruker på domenet ditt får en konto med riktig rolle.
- Noen som ikke er tildelt applikasjonen, blir avvist.
- Noen utenfor de tillatte domenene dine blir avvist.
- E-post, fornavn og etternavn kommer riktig frem.
- En administrator kommer fortsatt inn via gjenopprettingsveien.
Vanlige fallgruver
Avvik i klokkene
Hvis klokkene hos IdP-en og LMS-et avviker mer enn LMS-et tåler, avvises gode assertions som ikke gyldige ennå eller allerede utløpt. Dette rammer mest identitetsservere som drives selv, så hold klokkene deres synkronisert.
Fornyelse av sertifikat
Signeringssertifikater hos IdP-en utløper, og hvis LMS-et ikke stoler på erstatningen, mislykkes alle pålogginger på én gang. Legg utløpsdatoen inn i kalenderen. Hvis LMS-et ditt kan stole på to sertifikater, legger du det nye inn der først og aktiverer det deretter hos IdP-en; ellers bytter du på begge sider samtidig, på et rolig tidspunkt. Test med en gang.
Tilordning av attributter
Attributtnavn må vanligvis stemme nøyaktig: et LMS som forventer email, godtar ikke Email. Sjekk identifikatoren også. En transient NameID endres for hver økt, og en e-postadresse kan endres; en persistent NameID eller en uforanderlig ID-attributt er stabil. Hvis folk kobles på e-post, arkiver kontoen til den som har sluttet, før adressen tildeles på nytt.
E-postdomene som ikke stemmer
Kataloger inneholder ofte folk hvis påloggingsnavn ikke er e-postadressen deres, innleide på andre domener og ansatte i oppkjøpte virksomheter som fortsatt bruker gamle domener. Hvis LMS-et begrenser kontoer til bestemte domener, avvises de. List opp alle domener før du går live.
Slik gjør Acadenix det
SAML SSO er med i Gold-abonnementet, med trinnvise veiledninger for Entra ID, Okta og Google Workspace.
- Test, og aktiver så. Du lagrer IdP-detaljene som et utkast, kjører Test configuration (test konfigurasjonen) ved å logge inn hos leverandøren din, og først deretter aktiverer du. En manglende e-post-claim rapporteres sammen med claim-navnene leverandøren din faktisk sendte.
- Trinnvise endringer. Et nytt sertifikat eller en ny tenant legges inn som en konfigurasjonsoppdatering, og den nåværende konfigurasjonen fortsetter å fungere til du aktiverer den.
- JIT innenfor domenene dine. Den som ikke har en konto, får en deltakerkonto ved første pålogging, bare hvis e-postadressen er på organisasjonens registreringsdomener, og du kan slå dette av. Når noen som allerede har en Acadenix-konto, logger inn gjennom IdP-en din for første gang, sender Acadenix en engangskode på e-post for å bekrefte koblingen. Dette skjer én gang per person.
- Begge veier inn. Folk starter fra påloggingssiden din, som kan sende dem rett til IdP-en din eller vise en knapp, eller fra flisen i My Apps, Okta eller Google.
- Én tilkobling, én organisasjon. En SAML-tilkobling arves ikke av organisasjonene under eieren, noe som er viktig for konsern med mange lokasjoner.
- En gjenopprettingsvei. Hvis IdP-en din er nede, kan administratorer fortsatt logge inn med en engangskode på e-post, og dette kan ikke slås av.
Ved siden av SAML kan folk logge inn med en kode på e-post eller en Google-, Microsoft- eller LinkedIn-konto. Mer på sikkerhetssiden vår.
Hovedpunkter
- Utveksl entity ID-er, ACS-URL-en og metadata, og tilordne deretter en stabil identifikator og en verifisert e-postadresse.
- Begrens just-in-time-kontoer til dine egne domener og den laveste rollen.
- Test begge påloggingsflytene, avvisningene og gjenopprettingsveien før du går live.
- Legg sertifikatets utløpsdato inn i kalenderen, og arkiver LMS-kontoene til dem som slutter.
Vil du koble Acadenix til identitetsleverandøren din? Sammenlign abonnementer på prissiden vår, eller snakk med oss om oppsettet ditt.
