Single sign-on

Consenti alle persone di accedere a mTime con il provider di identità della tua organizzazione e limita un’area di lavoro in modo che sia l’unica via d’ingresso.

Panoramica

mTime può far accedere le persone con Google, Microsoft o Visma Connect, e un’area di lavoro può essere limitata a uno solo di essi.

mTime è un client del vostro provider di identità, non un provider di identità esso stesso. Quando qualcuno accede con Microsoft, l’intera autenticazione — nome utente, password, autenticazione a più fattori e le regole di accesso condizionale che applicate — avviene nel vostro tenant, e l’accesso viene registrato nei vostri log. Non esiste alcuna federazione tra il vostro tenant e il nostro, e non viene creato alcun account utente da noi.

Come funziona

La persona sceglie Accedi con Microsoft — oppure Google o Visma Connect.
mTime la indirizza al provider, dove si autentica secondo le vostre regole.
Il provider la rimanda indietro e mTime legge quattro informazioni: un id utente stabile, un indirizzo e-mail, un nome completo e un nome di battesimo. Nient’altro — né posta, né calendario, né file, né accesso alla vostra directory.
mTime cerca la persona. Se non esiste già in mTime, l’accesso viene rifiutato.
mTime crea la propria sessione.

Accedere non concede l’accesso

Un accesso valido presso il vostro provider di identità non dà da solo accesso a nulla. La persona deve già esistere come utente in mTime, e gli utenti vengono creati solo in tre modi: tramite provisioning SCIM dal vostro provider di identità, automaticamente dai dati di impiego oppure su invito di un amministratore. Non esiste alcuna registrazione self-service.

Il primo accesso richiede inoltre l’invito inviato all’indirizzo di provisioning — un collegamento monouso con scadenza. mTime non collega mai un account del provider a un utente esistente basandosi solo sull’indirizzo e-mail.

Ci sono quindi due livelli, tenuti separati. Il vostro provider di identità stabilisce chi è la persona. L’utente in mTime stabilisce cosa può fare: contiene il ruolo e il rapporto di lavoro, mai le credenziali.

Configurazione

Un proprietario o un Amministratore dell’area di lavoro limita un’area di lavoro in Amministrazione › Area di lavoro, con due impostazioni che vanno insieme:

Provider di single sign-on — l’unico provider accettato da quest’area di lavoro
Domini e-mail consentiti — i domini di proprietà della vostra organizzazione, ad esempio ku.dk

Servono entrambe. Un provider da solo non è una limitazione, quindi mTime non lo salva senza almeno un dominio.

Una volta attiva la limitazione, per quell’area di lavoro:

Tutti accedono con quell’unico provider, e l’indirizzo del loro account mTime deve appartenere a uno dei domini elencati.
Ogni altra via di accesso viene rifiutata: password, passkey, gli altri provider, il supporto mTime e qualsiasi sessione creata prima della limitazione.
Gli inviti indicano con quale provider accedere. È possibile invitare solo indirizzi dei domini elencati.

Prima di attivarla

L’amministratore che effettua la modifica deve aver già effettuato l’accesso con il provider scelto, e il suo indirizzo mTime deve appartenere a uno dei domini elencati. Altrimenti mTime rifiuta la modifica e indica quale metà manca.

Il requisito riguarda chi effettua la modifica, e non un amministratore qualsiasi, perché la modifica disconnette anche lui. Così chi attiva la limitazione può sempre accedere di nuovo e disattivarla.

Cosa succede all’attivazione

Tutti nell’area di lavoro vengono disconnessi, compresi voi, e accedono di nuovo con il provider scelto.

Lo stesso accade ogni volta che modificate la limitazione in modo che lasci entrare meno persone: passare a un altro provider o rimuovere un dominio. Aggiungere un dominio non disconnette nessuno.

Disattivarla

Svuotate l’impostazione Provider di single sign-on . La limitazione viene tolta subito e nessuno viene disconnesso. L’elenco dei domini può restare, così riattivarla in seguito richiede una sola impostazione.

Vale anche per noi

Non esiste alcuna scorciatoia dentro mTime: nemmeno il supporto mTime può entrare in un’area di lavoro limitata. Se desiderate il nostro aiuto nell’area di lavoro, un amministratore disattiva la limitazione e la riattiva in seguito.

Se il vostro provider di identità smette di funzionare, nessuno può accedere all’area di lavoro — nemmeno gli amministratori che potrebbero disattivare la limitazione. Se non riuscite a ripristinare il provider in tempo, un referente autorizzato della vostra organizzazione può chiedere per iscritto al supporto mTime di togliere la limitazione. Si tratta di una procedura manuale, eseguita e documentata. In seguito il vostro amministratore riattiva la limitazione non appena il provider funziona.

Risoluzione dei problemi

Problema	Soluzione
L’accesso con password non funziona più	Previsto quando l’area di lavoro è limitata. Usate il provider mostrato nella pagina di accesso.
La limitazione non si salva	Non avete ancora effettuato l’accesso con quel provider, oppure il vostro indirizzo mTime non appartiene ai domini elencati. Il messaggio indica quale.
Una persona viene rifiutata pur avendo effettuato l’accesso presso il provider	L’indirizzo del suo account mTime non appartiene a nessuno dei domini elencati — conta quell’indirizzo, non quello mostrato dal provider. Modificate l’indirizzo in mTime, oppure aggiungete il dominio.
Tutti vengono rifiutati e il vostro provider non funziona	Ripristinate il provider. Se non è possibile, contattate il supporto mTime — vedere l’avviso sopra.
Il nostro fornitore non riesce ad aiutarci nell’area di lavoro	Disattivate la limitazione e riattivatela al termine.
Un utente non riesce ad aggiungere Microsoft a un account che ha già	Accedete prima, poi aggiungete il provider in Sicurezza nelle impostazioni dell’account.

Per il vostro reparto IT e sicurezza

Domanda	Risposta
Di quale modello si tratta?	Una registrazione di applicazione multi-tenant. Il consenso crea un’enterprise application nel vostro tenant, che possedete, potete includere nell’accesso condizionale e potete rimuovere. Non viene creato alcun account guest da nessuna parte.
È federazione?	No. C’è un provider di identità — il vostro — e un’applicazione che lo utilizza. Non esiste alcun rapporto di fiducia tra il vostro tenant e il nostro.
SAML è supportato?	No. L’autenticazione avviene esclusivamente tramite OpenID Connect / OAuth 2.0.
Cosa viene letto di un utente?	`sub`, `email`, `name` e `given_name`. Non vengono richieste autorizzazioni applicative.
Come viene verificato il dominio?	Un confronto esatto della parte di dominio dell’indirizzo dell’account mTime della persona, senza distinzione tra maiuscole e minuscole. Nessun carattere jolly e nessun sottodominio. Delimita l’area di lavoro; non è una prova di proprietà del dominio.
Cosa ferma qualcuno da un tenant estraneo?	Il requisito di provisioning e l’invito. mTime non collega un account del provider a un utente solo in base all’indirizzo e-mail, quindi un indirizzo somigliante non serve a nulla.
I ruoli possono derivare dai gruppi?	Sì, ma un gruppo arriva senza alcuna autorizzazione; è un amministratore a concederle. Il ruolo Owner non può mai essere assegnato tramite provisioning.
Quanto dura una sessione?	30 giorni dall’ultima attività. Disattivando un utente tramite SCIM le sue sessioni terminano immediatamente.

Sicurezza dell'account