La configurazione standard prevede un Identity Provider per una company. La piattaforma Cyber Guru supporta però alcuni scenari più articolati. Se ti riconosci in uno di questi casi, segnalalo a Cyber Guru prima di iniziare la configurazione: la sequenza dei passaggi cambia.
1. Due tenant Entra ID (o due domini di autenticazione) per la stessa company
Quando serve: l'organizzazione ha due tenant Microsoft Entra ID distinti — tipicamente dopo una fusione o in presenza di una società controllata — ma vuole una sola company Cyber Guru, con reportistica e gamification unificate.
Come funziona: la company resta unica; vengono configurate due connessioni SSO e nella pagina di login compaiono due pulsanti di accesso, uno per tenant. Ogni utente usa quello della propria organizzazione.
Cosa serve da te:
- i metadati IdP di entrambi i tenant (un'applicazione SAML per ciascuno, configurata come nella guida standard);
- l'indicazione di quali utenti appartengono a quale tenant.
Attenzione: gli utenti devono essere censiti sull'IdP con il dominio corretto. Un utente presente sul tenant sbagliato, o con un dominio email non allineato, non riuscirà ad accedere.
2. Secondo Identity Provider sulla stessa company
Quando serve: convivenza temporanea di due sistemi di identità (es. durante una migrazione da ADFS a Entra ID), oppure popolazioni gestite da IdP diversi.
Come funziona: Cyber Guru configura una seconda connessione SAML sulla stessa company. Ti verrà fornito un secondo URL di metadati SP, diverso dal primo, da usare per configurare l'applicazione sul secondo IdP.
| ⚠️ | Usa per ciascun IdP esattamente l'URL di metadati SP che ti viene indicato per quella connessione. Riutilizzare quello della prima connessione è l'errore tipico di questo scenario e produce un fallimento di autenticazione difficile da diagnosticare. |
Nota sulle migrazioni: se lo stesso utente deve passare da un IdP all'altro, il legame con l'identità precedente va rimosso da Cyber Guru. Concorda il piano di migrazione in anticipo: vedi Manutenzione SSO.
3. Accesso IdP-initiated (dal portale dell'Identity Provider)
Quando serve: vuoi che gli utenti raggiungano Cyber Guru cliccando un'icona nel portale delle app dell'IdP (il pannello app di Google Workspace, il My Apps di Microsoft), senza passare dall'indirizzo della piattaforma.
Come funziona: è uno scenario tecnicamente diverso dal login avviato dalla piattaforma (SP-initiated) e richiede un endpoint ACS dedicato, diverso da quello usato nella configurazione standard. Cyber Guru te lo fornisce su richiesta.
Cosa fare: chiedi a Cyber Guru l'ACS URL per l'accesso IdP-initiated e usalo nella configurazione dell'app lato IdP. Se hai già configurato l'accesso standard, la scorciatoia dal portale non funzionerà fino a quando non sarà stato configurato l'endpoint dedicato: non è un malfunzionamento.
4. Più company Cyber Guru sullo stesso tenant IdP
Quando serve: l'organizzazione ha più company Cyber Guru distinte (per esempio una per il percorso standard e una per un percorso NIS2, oppure una per società del gruppo) ma un unico tenant IdP.
Come funziona: ogni company ha il proprio URL di metadati SP. Sull'IdP servono di norma applicazioni SAML distinte, una per company, ciascuna con il proprio gruppo di utenti autorizzati.
Attenzione: un utente che deve accedere a due company deve essere assegnato ad entrambe le applicazioni. Verifica bene la corrispondenza tra gruppi e company: è facile assegnare la popolazione all'app sbagliata.
5. Classificazioni organizzative multiple
Puoi inviare tutte le classificazioni che ti servono come organizzazioni, nella forma org_{NOME_ORG}: sede, dipartimento, unità organizzativa, divisione e così via. In piattaforma diventano filtri per dashboard e report, e una di esse può essere designata come Team ai fini della gamification. Vedi Attributi Identity Provider SSO.
6. Attributi molto specifici o provisioning automatico
Se hai bisogno di portare in piattaforma attributi che non rientrano nel modello delle organizzazioni (matricola, codice fiscale, crediti formativi) o di sincronizzare automaticamente il ciclo di vita degli utenti — creazione, aggiornamento, disattivazione — l'SSO non è lo strumento adatto: SAML trasporta le informazioni solo al momento del login e non comunica alla piattaforma che un utente è stato disabilitato.
In questi casi si valuta il provisioning tramite SCIM 2.0 o l'uso delle API, affiancato all'SSO per l'autenticazione. In assenza di SCIM, le modalità di deprovisioning vanno concordate con Cyber Guru. La scelta va fatta prima del go-live, perché condiziona la modalità di popolamento degli utenti.
7. Single Logout (SLO)
Alcuni Identity Provider effettuano il logout con modalità che la configurazione predefinita non prevede. Se dopo il logout dalla piattaforma riscontri errori o sessioni che restano aperte, segnalalo: è una modifica di configurazione lato Cyber Guru, non un intervento sul tuo IdP.