Inicio de sesión único
Permite que la gente inicie sesión en mTime con el proveedor de identidad de tu propia organización, y restringe un espacio de trabajo para que sea la única forma de entrar.
Descripción general
mTime puede iniciar la sesión de las personas con Google, Microsoft o Visma Connect, y un espacio de trabajo puede restringirse a solo uno de ellos.
mTime es un cliente de tu proveedor de identidad, no un proveedor de identidad en sí. Cuando alguien inicia sesión con Microsoft, todo el inicio de sesión —nombre de usuario, contraseña, autenticación multifactor y las reglas de acceso condicional que apliques— ocurre en tu propio inquilino, y el inicio de sesión queda registrado en tus propios registros. No hay federación entre tu inquilino y el nuestro, y no se crean cuentas de usuario por nuestra parte.
Cómo funciona
- La persona elige Iniciar sesión con Microsoft , o Google, o Visma Connect.
- mTime la envía al proveedor, donde se autentica según tus propias reglas.
- El proveedor la devuelve, y mTime lee cuatro datos: un id. de usuario estable, una dirección de correo, un nombre completo y un nombre de pila. Nada más: ni correo, ni calendario, ni ficheros, ni acceso al directorio.
- mTime busca a la persona. Si aún no existe en mTime, el inicio de sesión se rechaza.
- mTime emite su propia sesión.
Iniciar sesión no da acceso
Un inicio de sesión válido en tu proveedor de identidad no da acceso a nada por sí solo. La persona ya debe existir como usuario en mTime, y los usuarios solo se crean de tres formas: mediante el aprovisionamiento SCIM desde tu proveedor de identidad, automáticamente a partir de los datos de los contratos, o mediante la invitación de un administrador. No hay registro por cuenta propia.
Un primer inicio de sesión también necesita la invitación enviada a la dirección aprovisionada: un enlace de un solo uso que caduca. mTime nunca asocia una cuenta de proveedor a un usuario existente basándose solo en una dirección de correo.
Así que hay dos capas, y se mantienen separadas. Tu proveedor de identidad decide quién es alguien. La ficha de usuario en mTime decide qué puede hacer: contiene roles y contratos, nunca una credencial.
Configuración
Un propietario o un Administrador del espacio de trabajo restringe un espacio de trabajo en , combinando dos ajustes:
- Proveedor de inicio de sesión único : el único proveedor que acepta este espacio de trabajo
- Dominios de correo permitidos
: los dominios que pertenecen a tu organización, como
ku.dk
Ambos son obligatorios. Un proveedor por sí solo no es una restricción, así que mTime no guardará uno sin al menos un dominio.
Una vez activada, en ese espacio de trabajo:
- Todo el mundo inicia sesión con ese proveedor, y la dirección de su cuenta de mTime debe pertenecer a uno de los dominios indicados.
- Se rechaza cualquier otra forma de entrar: contraseñas, claves de acceso, los demás proveedores y cualquier sesión creada antes de la restricción. Eso incluye al personal de soporte de mTime que hayas añadido como usuario.
- Las invitaciones indican a las personas con qué proveedor deben iniciar sesión. Solo puedes invitar a direcciones de los dominios indicados.
Antes de activarla
Tú —el administrador que hace el cambio— debes haber iniciado sesión ya con el proveedor elegido, y tu propia dirección de mTime debe estar en uno de los dominios indicados. Si no, mTime rechaza el cambio y te indica qué mitad falta.
Te lo pide a ti y no a cualquier administrador porque, al guardar el cambio, también se cierra tu sesión. Así, la persona que activa la restricción siempre puede volver a iniciar sesión y desactivarla.
Qué ocurre al activarla
Se cierra la sesión de todo el espacio de trabajo, la tuya incluida, y todos vuelven a iniciar sesión con el proveedor elegido.
Lo mismo ocurre siempre que cambias la restricción de forma que deje entrar a menos personas: al cambiar a otro proveedor o al quitar un dominio. Añadir un dominio no cierra la sesión de nadie.
Desactivarla
Vacía el Proveedor de inicio de sesión único . La restricción se levanta al momento y no se cierra la sesión de nadie. Puedes dejar la lista de dominios, para que volver a activarla más adelante sea un solo ajuste.
También se aplica a nosotros
No hay ninguna excepción dentro de mTime: el soporte de mTime tampoco puede acceder a un espacio de trabajo restringido. Si quieres nuestra ayuda dentro del espacio de trabajo, un administrador desactiva la restricción y la vuelve a activar después.
Solución de problemas
| Problema | Solución |
|---|---|
| El inicio de sesión con contraseña ha dejado de funcionar | Es lo esperado una vez restringido el espacio de trabajo. Usa el proveedor que aparece en la página de inicio de sesión. |
| La restricción no se guarda | Aún no has iniciado sesión con ese proveedor, o tu propia dirección de mTime no está en los dominios indicados. El mensaje indica cuál de las dos. |
| Se rechaza a una persona aunque haya iniciado sesión en el proveedor | La dirección de su cuenta de mTime no pertenece a ninguno de los dominios indicados: lo que cuenta es esa dirección, no la que muestra el proveedor. Cambia su dirección en mTime o añade el dominio. |
| Se rechaza a todo el mundo y tu proveedor no funciona | Arregla el proveedor. Si no puedes, ponte en contacto con el soporte de mTime; consulta el aviso de arriba. |
| Nuestro proveedor de servicios no puede ayudarnos dentro del espacio de trabajo | Desactiva la restricción y vuelve a activarla cuando hayan terminado. |
| Alguien no puede añadir Microsoft a una cuenta que ya tiene | Inicia sesión primero y después añade el proveedor en Seguridad, en la configuración de la cuenta. |
Para tu equipo de TI y de seguridad
| Pregunta | Respuesta |
|---|---|
| ¿Qué modelo es? | Un registro de aplicación multiinquilino. El consentimiento crea una aplicación empresarial en tu propio inquilino, que es tuya, a la que puedes aplicar acceso condicional y que puedes eliminar en cualquier momento. No se crean cuentas de invitado en ningún sitio. |
| ¿Es federación? | No. Hay un proveedor de identidad —el tuyo— y una aplicación que lo usa. No existe ninguna relación de confianza entre tu inquilino y el nuestro. |
| ¿Se admite SAML? | No. La autenticación es solo OpenID Connect / OAuth 2.0. |
| ¿Qué se lee de un usuario? | sub, email, name y given_name. No se solicitan permisos de aplicación. |
| ¿Cómo se comprueba el dominio? | Una comparación exacta, sin distinguir mayúsculas y minúsculas, de la parte del dominio de la dirección de la cuenta de mTime de la persona. Sin comodines ni subdominios. Delimita el espacio de trabajo; no es una prueba de propiedad del dominio. |
| ¿Qué impide entrar a alguien de otro inquilino? | El requisito de aprovisionamiento y la invitación. mTime no vincula una cuenta de proveedor a un usuario solo por la dirección de correo, así que una dirección parecida no consigue nada. |
| ¿Pueden venir los roles de los grupos? | Sí, pero un grupo llega sin ningún permiso; los concede un administrador. El rol Propietario nunca se puede asignar mediante aprovisionamiento. |
| ¿Cuánto duran las sesiones? | 30 días desde la última actividad. Desactivar un usuario mediante SCIM termina sus sesiones al momento. |