Vai al contenuto principale
Accedi
Deutsch English (United States) Español Français

Configurare l'SSO in autonomia (Company Manager)

Questo articolo descrive come un utente con ruolo Company Manager può configurare in autonomia il Single Sign-On (SSO) SAML 2.0 per la propria company, dalla pagina Generali → Autenticazione (General → Authentication).

Nota: gli screenshot mostrano l'interfaccia in lingua inglese; nel testo l'etichetta inglese è indicata tra parentesi.

Prerequisiti

Prima di attivare l'SSO verifica che siano soddisfatte tutte le condizioni seguenti.

  1. Applicazione SAML pronta sul tuo Identity Provider (IdP), con utenti/gruppi assegnati. Per crearla segui la guida del tuo IdP:

    Nelle guide, i passaggi in cui si inviano i metadati IdP al Supporto e si ricevono i metadati SP sono sostituiti dagli Step 1 e 2 di questo articolo.

  2. Attributi standard configurati sull'IdP, esattamente con questi nomi (camelCase, senza prefisso namespace): username, email, firstName, lastName. Vedi Attributi Identity Provider SSO.
  3. username immutabile e allineato. L'attributo username è la chiave con cui la piattaforma associa l'utente al proprio account: deve corrispondere esattamente allo username presente in piattaforma e non deve cambiare nel tempo (es. Object ID / ObjectGUID). Evita email o UPN se possono cambiare.
  4. La tua utenza è pronta. Anche l'account del Company Manager che esegue la configurazione passa all'accesso SSO: verifica che sia assegnato all'applicazione sull'IdP e che il suo username corrisponda a quello in piattaforma.
  5. URL pubblico o file XML dei metadati del tuo IdP disponibile.

⚠️ Importante: attiva l'SSO solo quando la configurazione lato IdP è completa. Al salvataggio del provider tutti gli utenti della company, Company Manager compreso, passano all'accesso tramite SSO e la configurazione non potrà più essere disattivata o eliminata dal Company Manager. Per modifiche o rollback è necessario aprire una Service Request.

Quali dati dello SP servono prima della configurazione

L'URL dei metadati LibraCyber viene mostrato in piattaforma solo dopo il salvataggio del provider (Step 1). A seconda del tuo IdP ci sono due casi.

  • Caso A – l'IdP genera i propri metadati senza conoscere prima i dati dello SP. Crea l'applicazione, recupera i metadati dell'IdP e procedi con lo Step 1. Completa poi l'applicazione sull'IdP con l'URL dei metadati che compare dopo il salvataggio (Step 2).
  • Caso B – l'IdP richiede i dati dello SP (Entity ID, ACS URL) prima di generare i propri metadati. Configura temporaneamente l'applicazione con i valori costruiti secondo il pattern seguente, dove <realm> è il sottodominio con cui la tua company accede alla piattaforma.
Parametro Valore
Metadata SP https://login.platform.cyberguru.eu/realms/<realm>/broker/saml/endpoint/descriptor
ACS URL https://login.platform.cyberguru.eu/realms/<realm>/broker/saml/endpoint
Entity ID https://login.platform.cyberguru.eu/realms/<realm>

⚠️ I valori costruiti dal pattern sono provvisori e l'hostname potrebbe essere diverso per la tua company. Dopo il salvataggio del provider sostituiscili sull'IdP con quelli ricavati dall'URL mostrato nel campo URL dei metadati di Cyberguru (Cyberguru Metadata URL), che è l'unico riferimento certo.

Step 1 – Registrazione del provider SSO

  1. Vai su Generali → Autenticazione → Configurazione SSO (General → Authentication → SSO Configuration).
  2. Attiva Registrazione SSO abilitata (SSO Registration Enabled).
  3. Scegli come fornire i metadati del tuo IdP:
    • Usa XML metadati (Use Metadata XML) disattivato: inserisci nel campo URL dei metadati del cliente (Customer Metadata URL) l'URL pubblico del federation metadata del tuo IdP (non l'endpoint di login SAML);
    • Usa XML metadati (Use Metadata XML) attivo: carica il file XML dei metadati scaricato dal tuo IdP.
  4. Clicca Salva Provider (Save Provider).

SSO provider registration

Dopo il salvataggio la pagina mostra i parametri del flusso di autenticazione e l'URL dei metadati da configurare sul tuo IdP.

Step 2 – Configurazione dei metadati sull'IdP

SSO configuration after saving the provider

  1. Nel campo URL dei metadati di Cyberguru (Cyberguru Metadata URL) clicca Copia (Copy).
  2. Sull'applicazione SAML del tuo IdP importa i metadati da questo URL, oppure imposta manualmente Entity ID e ACS URL ricavati dal descriptor.
  3. Se avevi usato i valori provvisori del Caso B, sostituiscili con questi.

Step 3 – Flusso con precaricamento

Con il precaricamento attivo, al primo login SSO l'utente viene associato al proprio account già presente in piattaforma tramite l'attributo username; non vengono creati nuovi account. Se l'utente non è precaricato, l'accesso viene negato. I nuovi utenti vanno caricati in piattaforma tramite user list.

⚠️ Con il precaricamento disattivato, un utente il cui username o email non corrisponde esattamente a quello registrato in piattaforma viene creato come nuovo utente: account duplicato, licenza aggiuntiva consumata e statistiche separate da quelle dell'account originale.

Consigliamo vivamente di abilitare il flag di flusso con precaricamento per non bloccare l'autocreazione e garantire l'accesso ai soli utenti importati.

Nel caso ci fosse la necessità di disattivare il flag di precaricamento e quindi abilitare l'autocreazione di utente si prega di contattare il supporto.

Step 4 – Autenticazione ibrida (accesso con credenziali per utenti specifici)

Al salvataggio del provider tutti gli utenti vengono impostati per accedere tramite SSO. Attivando Permetti anche autenticazione manuale (Company ibrida) (Allows manual authentication (hybrid company)) puoi stabilire per singolo utente il metodo di accesso:

  • authmode = 1 (SAML): accesso tramite SSO;
  • authmode = 0 (DEFAULT): accesso con credenziali della piattaforma.

Il metodo si imposta tramite la colonna authmode della user list oppure dalla gestione del singolo utente. L'attivazione del toggle, da sola, non abilita l'accesso con credenziali per tutti. Dettagli in Autenticazione Ibrida (SSO + Credenziali Applicative).

Quando usarla:

  • utenti senza account sul tuo IdP (consulenti, collaboratori esterni);
  • un amministratore di emergenza con authmode = 0, per mantenere l'accesso alla piattaforma in caso di problemi sull'IdP.

⚠️ Ogni modifica di questa opzione si applica a tutti gli account della company e influisce sulle istruzioni di accesso inviate agli utenti: solo gli utenti con authmode = 0 ricevono le credenziali via email. Definisci la configurazione una volta e non modificarla ripetutamente.

Step 5 – Verifica

  1. Apri una finestra del browser in modalità incognito e vai su https://<sottodominio>.platform.cyberguru.eu.
  2. Esegui il login SSO con un utente non amministratore, precaricato e assegnato all'applicazione sull'IdP.
  3. Verifica che l'utente acceda al proprio account esistente (storico e statistiche presenti) e che nome, cognome ed email siano corretti.
  4. Solo dopo un test riuscito comunica agli utenti la nuova modalità di accesso.

In caso di errore usa un SAML tracer per verificare nomi e valori degli attributi inviati e consulta Domande frequenti sull'SSO (FAQ).

Cosa richiede una Service Request

Il Company Manager non può gestire in autonomia:

  • la mappatura degli attributi: attributi diversi dai quattro standard (organizzazioni org_*, Team, locale, country o altri) vanno concordati prima di essere inviati dall'IdP;
  • la disattivazione o eliminazione della configurazione SSO;
  • la modifica dei metadati dopo la configurazione (rinnovo del certificato, nuova applicazione sull'IdP, cambio di endpoint): vedi Manutenzione SSO;
  • gli scenari avanzati (due tenant, secondo IdP, accesso IdP-initiated, più company sullo stesso tenant): vedi Scenari SSO avanzati;

Avvertenze generali

  • Avvisa il Supporto LibraCyber prima di migrazioni di dominio email o cambi massivi di UPN: possono interrompere l'associazione tra identità e utenze.
  • Conserva una copia della configurazione (URL dei metadati, attributi, gruppo assegnato): ti servirà al rinnovo del certificato.

Articoli correlati