Single sign-on

Låt medarbetarna logga in i mTime med organisationens egen identitetsleverantör, och spärra en arbetsyta så att det är den enda vägen in.

Översikt

mTime kan logga in användare med Google, Microsoft eller Visma Connect, och en arbetsyta kan spärras till bara en av dem.

mTime är en klient hos er identitetsleverantör — inte själv en identitetsleverantör. När någon loggar in med Microsoft sker hela autentiseringen — användarnamn, lösenord, flerfaktor och de Conditional Access-regler ni har — i er egen tenant, och händelsen registreras i er egen logg. Det finns ingen federation mellan er tenant och vår, och inga användarkonton skapas hos oss.

Så fungerar det

1. Användaren väljer Logga in med Microsoft — eller Google, eller Visma Connect.
2. mTime skickar personen vidare till leverantören, där autentiseringen sker enligt era egna regler.
3. Leverantören skickar tillbaka användaren, och mTime läser fyra uppgifter: ett stabilt användar-id, en e-postadress, ett fullständigt namn och ett förnamn. Inget annat — inte e-post, inte kalender, inte filer, ingen åtkomst till er katalog.
4. mTime slår upp personen. Finns personen inte redan i mTime avvisas inloggningen.
5. mTime utfärdar sin egen session.

Inloggning ger inte åtkomst i sig

En giltig inloggning hos er identitetsleverantör ger ingen åtkomst i sig. Personen måste redan finnas som användare i mTime, och användare skapas bara på tre sätt: genom SCIM-etablering från er identitetsleverantör, automatiskt utifrån anställningsdata, eller genom att en administratör bjuder in dem. Det finns ingen självbetjänad registrering.

Den första inloggningen kräver dessutom inbjudan som skickats till den etablerade adressen — en engångslänk som upphör att gälla. mTime kopplar aldrig ett leverantörskonto till en befintlig användare enbart utifrån e-postadressen.

Det finns alltså två lager, och de hålls isär. Er identitetsleverantör avgör vem personen är. Användaren i mTime avgör vad personen får göra: rollen och anställningen finns där — aldrig några inloggningsuppgifter.

Konfiguration

En ägare eller arbetsyteadministratör spärrar en arbetsyta under Admin › Arbetsyta med två inställningar som hör ihop:

• Single sign-on-leverantör — den enda leverantör som arbetsytan godtar
• Tillåtna e-postdomäner — de domäner som organisationen äger, till exempel ku.dk

Båda krävs. En leverantör ensam är ingen spärr, så mTime sparar den inte utan minst en domän.

När spärren är påslagen gäller följande för arbetsytan:

• Alla loggar in med den enda leverantören, och deras mTime-kontoadress måste ligga på någon av de angivna domänerna.
• Alla andra vägar in nekas: lösenord, passkeys, övriga leverantörer, mTime-support och varje session som skapades före spärren.
• Inbjudningar anger vilken leverantör som ska användas för att logga in. Ni kan bara bjuda in adresser på de angivna domänerna.

Innan ni slår på den

Den administratör som gör ändringen måste redan ha loggat in med den valda leverantören, och hens egen mTime-adress måste ligga på någon av de angivna domänerna. Annars nekar mTime ändringen och talar om vilken halva som saknas.

Kravet gäller den som gör ändringen och inte vilken administratör som helst, eftersom ändringen loggar ut även hen. Så kan den som slår på spärren alltid logga in igen och stänga av den.

Vad som händer när ni slår på den

Alla i arbetsytan loggas ut, ni själva inräknade, och loggar in igen med den valda leverantören.

Detsamma händer när ni ändrar spärren så att den släpper in färre: byter till en annan leverantör eller tar bort en domän. Lägger ni till en domän loggas ingen ut.

Stänga av den

Rensa Single sign-on-leverantör . Spärren hävs direkt och ingen loggas ut. Domänlistan kan stå kvar, så att det senare bara krävs en inställning för att slå på den igen.

Den gäller även oss

Det finns ingen förbikoppling inne i mTime: mTime-support kommer inte heller in i en spärrad arbetsyta. Vill ni ha vår hjälp inne i arbetsytan stänger en administratör av spärren och slår på den igen efteråt.

Felsökning

Till er IT- och säkerhetsavdelning