Single sign-on

La folk logge inn i mTime med organisasjonens egen identitetsleverandør, og sperr et arbeidsområde slik at det er den eneste veien inn.

Oversikt

mTime kan logge folk inn med Google, Microsoft eller Visma Connect, og et arbeidsområde kan sperres til bare én av dem.

mTime er en klient hos identitetsleverandøren deres — ikke selv en identitetsleverandør. Når noen logger inn med Microsoft, skjer hele autentiseringen — brukernavn, passord, multifaktor og de Conditional Access-reglene dere har — i deres egen tenant, og hendelsen registreres i deres egen logg. Det er ingen føderasjon mellom deres tenant og vår, og det opprettes ingen brukerkontoer hos oss.

Slik fungerer det

1. Brukeren velger Logg inn med Microsoft — eller Google, eller Visma Connect.
2. mTime sender vedkommende videre til leverandøren, der autentiseringen skjer etter deres egne regler.
3. Leverandøren sender brukeren tilbake, og mTime leser fire opplysninger: en stabil bruker-id, en e-postadresse, et fullt navn og et fornavn. Ingenting annet — ikke e-post, ikke kalender, ikke filer, ingen tilgang til katalogen deres.
4. mTime slår opp personen. Finnes vedkommende ikke fra før i mTime, avvises innloggingen.
5. mTime utsteder sin egen økt.

Innlogging gir ikke tilgang i seg selv

En gyldig innlogging hos identitetsleverandøren gir ikke tilgang til noe i seg selv. Personen må allerede finnes som bruker i mTime, og brukere opprettes bare på tre måter: via SCIM-provisjonering fra identitetsleverandøren deres, automatisk ut fra ansettelsesdata, eller ved at en administrator inviterer dem. Det finnes ingen selvbetjent registrering.

Første innlogging krever i tillegg invitasjonen som er sendt til den provisjonerte adressen — en engangslenke som utløper. mTime knytter aldri en leverandørkonto til en eksisterende bruker bare ut fra e-postadressen.

Det er altså to lag, og de holdes atskilt. Identitetsleverandøren avgjør hvem personen er. Brukeren i mTime avgjør hva personen får lov til: rollen og ansettelsen ligger der — aldri legitimasjon.

Oppsett

En eier eller arbeidsområdeadministrator sperrer et arbeidsområde under Admin › Arbeidsområde med to innstillinger som hører sammen:

• Single sign-on-leverandør — den ene leverandøren dette arbeidsområdet godtar
• Tillatte e-postdomener — domenene organisasjonen eier, for eksempel ku.dk

Begge deler kreves. En leverandør alene er ingen sperre, så mTime lagrer den ikke uten minst ett domene.

Når sperren er slått på, gjelder følgende for arbeidsområdet:

• Alle logger inn med den ene leverandøren, og mTime-kontoadressen deres må ligge på et av domenene som er oppført.
• Alle andre veier inn avvises: passord, passnøkler, de andre leverandørene, mTime-support og enhver økt som ble opprettet før sperren.
• Invitasjoner sier hvilken leverandør som skal brukes for å logge inn. Dere kan bare invitere adresser på domenene som er oppført.

Før dere slår den på

Administratoren som gjør endringen, må allerede ha logget inn med den valgte leverandøren, og vedkommendes egen mTime-adresse må ligge på et av domenene som er oppført. Ellers avviser mTime endringen og sier hvilken halvdel som mangler.

Kravet gjelder den som gjør endringen, og ikke en hvilken som helst administrator, fordi endringen også logger vedkommende ut. Slik kan den som slår sperren på, alltid logge inn igjen og slå den av.

Hva som skjer når dere slår den på

Alle i arbeidsområdet blir logget ut, dere selv inkludert, og logger inn igjen med den valgte leverandøren.

Det samme skjer når dere endrer sperren slik at den slipper færre inn: bytter til en annen leverandør eller fjerner et domene. Legger dere til et domene, blir ingen logget ut.

Slik slår dere den av

Tøm Single sign-on-leverandør . Sperren oppheves med en gang, og ingen blir logget ut. Domenelisten kan bli stående, så det senere bare kreves én innstilling for å slå den på igjen.

Den gjelder oss også

Det finnes ingen omgåelse inne i mTime: mTime-support kommer heller ikke inn i et sperret arbeidsområde. Ønsker dere hjelp fra oss inne i arbeidsområdet, slår en administrator sperren av, og på igjen etterpå.

Feilsøking

Til IT- og sikkerhetsavdelingen deres