Single sign-on

Lad medarbejderne logge ind på mTime med organisationens egen identitetsudbyder, og begræns et arbejdsområde, så det er den eneste måde at komme ind på.

Oversigt

mTime kan logge folk ind med Google, Microsoft eller Visma Connect, og et arbejdsområde kan begrænses til kun én af dem.

mTime er klient hos jeres identitetsudbyder og ikke selv en identitetsudbyder. Når nogen logger ind med Microsoft, foregår hele autentificeringen — brugernavn, adgangskode, multifaktor og de regler for betinget adgang (Conditional Access), I har sat op — i jeres egen lejer (tenant), og loginnet registreres i jeres egen log. Der er ingen føderation mellem jeres lejer og vores, og der oprettes ingen brugerkonti hos os.

Sådan fungerer det

Brugeren vælger Log ind med Microsoft — eller Google, eller Visma Connect.
mTime sender vedkommende videre til udbyderen, hvor autentificeringen sker efter jeres egne regler.
Udbyderen sender brugeren tilbage, og mTime læser fire oplysninger: et stabilt bruger-id, en e-mailadresse, et fuldt navn og et fornavn. Intet andet — ikke mail, ikke kalender, ikke filer, ingen adgang til jeres directory.
mTime slår personen op. Findes vedkommende ikke i forvejen i mTime, afvises loginnet.
mTime udsteder sin egen session.

Login giver ikke i sig selv adgang

Et gyldigt login hos jeres identitetsudbyder giver ikke adgang til noget i sig selv. Personen skal allerede findes som bruger i mTime, og brugere oprettes kun på tre måder: via SCIM-provisionering fra jeres identitetsudbyder, automatisk ud fra ansættelsesdata eller ved at en administrator inviterer dem. Der er ingen selvbetjent oprettelse.

Første login kræver desuden den invitation, der er sendt til den provisionerede adresse — et engangslink, der udløber. mTime knytter aldrig en udbyderkonto til en eksisterende bruger alene ud fra e-mailadressen.

Der er altså to lag, og de holdes adskilt. Jeres identitetsudbyder afgør, hvem personen er. Brugeren i mTime afgør, hvad personen må: Den indeholder roller og ansættelse, men aldrig loginoplysninger.

Opsætning

En ejer eller Arbejdsområdeadministrator begrænser et arbejdsområde under Admin › Arbejdsområde med to indstillinger, der hører sammen:

Single sign-on provider — den ene udbyder, dette arbejdsområde accepterer
Allowed email domains — de domæner, organisationen ejer, for eksempel ku.dk

Begge dele er påkrævet. En udbyder alene er ikke en begrænsning, så mTime gemmer den ikke uden mindst ét domæne.

Når begrænsningen er slået til, gælder følgende for arbejdsområdet:

Alle logger ind med den ene udbyder, og deres mTime-kontoadresse skal ligge på et af de angivne domæner.
Alle andre måder at logge ind på afvises: adgangskoder, adgangsnøgler, de øvrige udbydere, mTime-support og alle sessioner, der er oprettet før begrænsningen.
Invitationer fortæller, hvilken udbyder der skal bruges til at logge ind. I kan kun invitere adresser på de angivne domæner.

Før I slår den til

Den administrator, der foretager ændringen, skal allerede have logget ind med den valgte udbyder, og vedkommendes egen mTime-adresse skal ligge på et af de angivne domæner. Ellers afviser mTime ændringen og fortæller, hvilket af de to krav der ikke er opfyldt.

Kravet gælder den, der foretager ændringen, og ikke en hvilken som helst administrator, fordi ændringen også logger vedkommende ud. På den måde kan den, der slår begrænsningen til, altid logge ind igen og slå den fra.

Hvad der sker, når I slår den til

Alle i arbejdsområdet bliver logget ud, jer selv inklusive, og logger ind igen med den valgte udbyder.

Det samme sker, når I ændrer begrænsningen, så færre kan logge ind: skifter til en anden udbyder eller fjerner et domæne. Tilføjer I et domæne, bliver ingen logget ud.

Sådan slår I den fra

Ryd Single sign-on provider . Begrænsningen ophæves med det samme, og ingen bliver logget ud. Domænelisten kan blive stående, så det senere kun kræver én indstilling at slå den til igen.

Den gælder også os

Der er ingen vej uden om i mTime: mTime-support kan heller ikke komme ind i et begrænset arbejdsområde. Ønsker I vores hjælp inde i arbejdsområdet, slår en administrator begrænsningen fra og bagefter til igen.

Hvis jeres identitetsudbyder holder op med at virke, kan ingen logge ind i arbejdsområdet — heller ikke de administratorer, der kunne slå begrænsningen fra. Kan I ikke få udbyderen til at virke i tide, kan en autoriseret kontaktperson i jeres organisation skriftligt bede mTime-support om at ophæve begrænsningen. Det er en manuel procedure, som bliver dokumenteret. Når udbyderen virker igen, slår jeres administrator begrænsningen til igen.

Fejlfinding

Problem	Løsning
Login med adgangskode virker ikke længere	Det er forventeligt, når arbejdsområdet er begrænset. Brug den udbyder, der vises på loginsiden.
Begrænsningen kan ikke gemmes	Du har ikke logget ind med den udbyder endnu, eller din egen mTime-adresse ligger ikke på de angivne domæner. Beskeden fortæller, hvilket af de to det er.
En person afvises, selvom vedkommende loggede ind hos udbyderen	Personens mTime-kontoadresse ligger ikke på et af de angivne domæner — det er den adresse, der tæller, ikke den, udbyderen viser. Ret adressen i mTime, eller tilføj domænet.
Alle afvises, og jeres udbyder er nede	Få udbyderen til at virke igen. Kan I ikke det, så kontakt mTime-support — se advarslen ovenfor.
Vores leverandør kan ikke hjælpe os inde i arbejdsområdet	Slå begrænsningen fra, og slå den til igen, når de er færdige.
En bruger kan ikke tilføje Microsoft til en konto, vedkommende allerede har	Log ind først, og tilføj derefter udbyderen under Sikkerhed i kontoindstillingerne.

Til jeres it- og sikkerhedsafdeling

Spørgsmål	Svar
Hvilken model er det?	En multitenant-appregistrering. Samtykket opretter en virksomhedsapplikation (enterprise application) i jeres egen lejer, som I ejer, kan målrette betinget adgang mod og til enhver tid kan fjerne. Der oprettes ingen gæstekonti nogen steder.
Er det føderation?	Nej. Der er én identitetsudbyder — jeres — og én applikation, der bruger den. Der er intet tillidsforhold mellem jeres lejer og vores.
Understøttes SAML?	Nej. Autentificering sker udelukkende via OpenID Connect / OAuth 2.0.
Hvad læses der om en bruger?	`sub`, `email`, `name` og `given_name`. Der anmodes ikke om applikationstilladelser.
Hvordan tjekkes domænet?	En eksakt sammenligning af domænedelen af personens mTime-kontoadresse uden forskel på store og små bogstaver. Ingen wildcards og ingen underdomæner. Det afgrænser arbejdsområdet; det er ikke et bevis for domæneejerskab.
Hvad holder en bruger fra en fremmed lejer ude?	Kravet om provisionering og invitationen. mTime knytter ikke en udbyderkonto til en bruger alene ud fra e-mailadressen, så en adresse, der blot ligner, giver ikke adgang.
Kan roller komme fra grupper?	Ja, men en gruppe får ingen rettigheder i sig selv; dem giver en administrator. Rollen Ejer kan aldrig tildeles via provisionering.
Hvor længe varer en session?	30 dage fra seneste aktivitet. Deaktiveres en bruger via SCIM, lukkes vedkommendes sessioner med det samme.

Kontosikkerhed