Una configurazione SSO non è "fatta e finita": alcuni eventi nel ciclo di vita dell'organizzazione richiedono un intervento coordinato tra cliente e Cyber Guru. Pianificarli in anticipo evita blocchi di accesso per gli utenti.
| 🛑 | Regola generale: dopo la configurazione i metadati vanno considerati fissi. Non modificarli e non ricreare l'applicazione in autonomia. Ogni variazione — nuovo certificato, nuova applicazione, endpoint diversi, cambio di Identity Provider — va gestita aprendo una richiesta al supporto Cyber Guru, che coordina l'aggiornamento su entrambi i lati. |
1. Rinnovo del certificato di firma SAML
Il certificato con cui l'Identity Provider firma le asserzioni ha una scadenza (tipicamente 1-3 anni). Alla scadenza, se il nuovo certificato non è stato comunicato a Cyber Guru, tutti gli accessi SSO si interrompono.
Chi riceve la notifica
Le notifiche di scadenza inviate da Microsoft Entra ID riguardano il certificato della tua applicazione, cioè lato cliente. Il certificato del Service Provider Cyber Guru ha una scadenza molto più lunga e viene gestito da Cyber Guru.
Prima di cambiare qualcosa
| ⚠️ | Non attivare il nuovo certificato prima di aver concordato la finestra di switch con Cyber Guru. Su Entra ID puoi creare un nuovo certificato lasciandolo inattivo: crealo, comunicalo, e attivalo solo quando Cyber Guru conferma di aver aggiornato la propria configurazione. |
Procedura
- Segnalalo a Cyber Guru con qualche settimana di anticipo, indicando la data di scadenza del certificato in uso e il nome della company.
-
Genera il nuovo certificato sull'IdP senza attivarlo:
- Microsoft Entra ID: pagina SAML dell'app → riquadro SAML Certificates → Edit → New Certificate. Lascialo in stato Inactive.
- Google Workspace: Apps → Web and mobile apps → Settings → SAML certificates.
- Trasmetti a Cyber Guru l'URL dei metadati IdP aggiornato (Entra ID: App Federation Metadata Url) oppure il certificato in formato PEM. Il formato PEM è quello richiesto: se disponi di un file in altro formato, segnalalo.
- Concorda la finestra di switch. Cyber Guru aggiorna la configurazione e ti conferma quando puoi attivare il nuovo certificato sull'IdP.
- Attiva il certificato e verifica immediatamente l'accesso con un utente di test in finestra incognito.
Serve rifare tutta la configurazione?
Dipende:
- Se cambia solo il certificato e gli endpoint restano gli stessi, l'aggiornamento è rapido e non richiede modifiche da parte tua oltre alla comunicazione del nuovo certificato.
- Se cambiano anche Entity ID o endpoint dell'IdP — per esempio perché è stata creata una nuova applicazione anziché rinnovare quella esistente — la configurazione va rifatta. È il motivo per cui conviene rinnovare il certificato sull'applicazione esistente e non crearne una nuova.
| 💡 | Se nel tuo tenant esistono più applicazioni Cyber Guru (per esempio una legacy e una attuale), verifica quale è effettivamente in uso prima di procedere: capita di rinnovare il certificato dell'applicazione sbagliata. In caso di dubbio chiedi conferma a Cyber Guru. |
2. Cambio di username, email, UPN o dominio
Al primo accesso SSO, la piattaforma crea un legame permanente tra l'identità dell'IdP e l'utenza Cyber Guru. Quel legame si basa sul valore dell'attributo username.
Se quel valore cambia, la piattaforma non riconosce più l'utente: l'accesso si interrompe con errori del tipo User ... authenticated with identity provider saml does not exist oppure "Errore imprevisto durante l'autenticazione con identity provider". Non è un problema che si risolve dal lato cliente: richiede un intervento tecnico Cyber Guru, che ripristina l'associazione tra identità e utenza.
Eventi che innescano il problema
- Migrazione del dominio email aziendale (es. da
@vecchiodominio.ita@nuovodominio.it). - Cambi di UPN, anche singoli (cambio cognome, riorganizzazione).
- Fusioni o acquisizioni con consolidamento dei tenant.
- Utenti presenti con domini diversi all'interno della stessa company.
| 🛑 | Avvisa Cyber Guru PRIMA di una migrazione di dominio o di un cambio massivo di UPN. Pianificato in anticipo, l'allineamento si esegue in una finestra concordata; scoperto dopo, si traduce in utenti bloccati e in un intervento d'emergenza. |
Cosa fornire a Cyber Guru
- Sottodominio della company.
- Utenti coinvolti: elenco degli username vecchi e nuovi, oppure l'indicazione che il cambio riguarda tutta la popolazione.
- Data prevista del cambio lato Identity Provider.
- Se il cambio riguarda anche l'email oltre all'username.
Cyber Guru esegue l'allineamento e ti conferma quando ritestare. Verifica poi l'accesso con uno degli utenti coinvolti in finestra incognito.
Come evitarlo alla radice
Usare come username un attributo immutabile: su Microsoft Entra ID l'Object ID (user.objectid), su Google Workspace un identificativo stabile come l'ID dipendente. Un attributo immutabile rende il cambio di email un non-evento: l'utente resta agganciato alla stessa identità e l'email si aggiorna, se configurata per farlo. Vedi Attributi Identity Provider SSO.
3. Altre modifiche e cosa comportano
| Modifica | Impatto | Azione |
|---|---|---|
| Variazione dei metadati IdP (certificato, endpoint, nuova applicazione) | La federazione si interrompe se non allineata | Apri una richiesta al supporto prima di applicare la modifica |
| Cambio del sottodominio della company | Cambiano gli URL SP: la configurazione sull'IdP va aggiornata | Concorda la modifica con Cyber Guru |
| Sostituzione dell'Identity Provider (es. da ADFS a Entra ID) | Nuova configurazione completa + riallineamento delle identità esistenti | Segnalalo con anticipo: è un progetto, non una modifica |
| Aggiunta di un secondo tenant o IdP | Configurazione aggiuntiva lato Cyber Guru | Vedi Scenari SSO avanzati |
| Passaggio tra modalità con e senza precaricamento utenti | Nessun impatto sulla configurazione SSO: è un flag sulla company | Richiedilo al tuo referente Cyber Guru |
| Passaggio da SSO puro ad autenticazione ibrida (o viceversa) | Richiede l'aggiornamento della user list con la colonna authmode
|
Vedi Autenticazione Ibrida |
| Modifica del gruppo autorizzato sull'app IdP | Utenti fuori dal gruppo perdono l'accesso (errore 403) | Nessuna azione lato Cyber Guru, ma verifica la copertura del gruppo |
| Disattivazione di un utente sull'IdP | L'utente non accede più, ma utenza e licenza restano in piattaforma | Per l'allineamento automatico serve SCIM 2.0; in assenza, concorda le modalità di deprovisioning con Cyber Guru |
Articoli collegati
- Procedura Generale SSO
- Attributi Identity Provider SSO
- Domande frequenti sull'SSO (FAQ) · Scenari SSO avanzati