Identitetsføderation
Tilgængelig for organisationsadministratorer. Opsætning udføres sammen med Strise.
Identitetsføderation lader din identitetsudbyder afgøre, hvem der har adgang til Strise. Din organisation får sin egen single sign-on-forbindelse og eventuelt brugerprovisionering (SCIM): grupper i dit bibliotek synkroniseres til Strise, hver gruppe knyttes til en Rolle på et Team eller på hele organisationen, og hvis en Person fjernes fra gruppen, fjernes vedkommendes adgang her. Offboarding sker én gang, i dit bibliotek.
Den bygger på Single Sign-On. Den side forklarer forskellen mellem de delte Microsoft- og Google-knapper og en dedikeret forbindelse; denne side dækker opsætning og drift af en dedikeret forbindelse med provisionering.
Hvor finder du det
Åbn kontomenuen (din avatar øverst i sidepanelet) → Organisation → Identitetsføderation. Siden er synlig for enhver med tilladelsen Vis identitetsføderation og kan redigeres med Konfigurer identitetsføderation. Begge er en del af rollen Organisationsadministrator. Se Organisation for resten af dette område.
Opsætning
Opsætningen består af tre dele. Strise starter den, den Person, der administrerer din identitetsudbyder, fuldfører den, og du afslutter ved at tilknytte grupper.
1. Strise udsteder et opsætningslink
Kontakt support@strise.ai. Vi udsteder et opsætningslink, som vises på siden Identitetsføderation under Opsætningsstatus. Linket er gyldigt i fem dage. Hvis det udløber, før noget er tilsluttet, gemmes intet af det indtastede; bed om et nyt.
2. Dit identitetsudbyder-team fuldfører den guidede opsætning
Del linket med den, der administrerer din identitetsudbyder (Kopiér link på siden). Det åbner en guidet opsætning, hvor vedkommende:
- Vælger udbyderen: Microsoft Entra ID, Okta Workforce eller en anden SAML-udbyder.
- Registrerer Strise som en applikation der og indsætter applikationens identifikatorer tilbage i opsætningen. Opsætningen viser den præcise omdirigerings-URL og, for SAML, det Entitet-id, der skal bruges. Med Microsoft Entra ID ændrer de også én attributtilknytning, når de slår provisionering til i trin 6. Se advarslen under det trin.
- Gennemgår de claims, Strise læser: e-mail er påkrævet, navn, fornavn, efternavn og brugernavn er valgfrie. Disse er standard-claims, som enhver understøttet udbyder sender som standard.
- Tildeler de brugere eller grupper, der skal kunne logge ind.
- Tester login.
- Eventuelt slår provisionering til. Opsætningen viser derefter en SCIM-endpoint-URL og et token. De indsætter begge dele i applikationens provisioneringsindstillinger hos din identitetsudbyder. Tokenet vises kun én gang.
Microsoft Entra ID: ændr externalId-tilknytningen før provisionering
Før den første provisioneringscyklus åbner du applikationen i Entra og går til Provisioning → Mappings → Provision Microsoft Entra ID Users. I rækken for externalId ændrer du kildeattributten fra mailNickname, som er Entras standard, til objectId.
Hvis du springer dette over, opretter hver persons første login en ekstra bruger i Strise ved siden af den provisionerede. Den ekstra bruger har ingen af de roller, deres grupper giver.
I den samme række for externalId sætter du Match objects using this attribute til Yes og Matching precedence til 1. Entra kræver forskellig prioritet for hver matchende attribut, så sæt først externalId til 2, flyt userName til 3, og sæt derefter externalId til 1. Uden dette samler provisioneringen aldrig en person op, som logger ind før sin første provisioneringscyklus.
Hvis provisioneringen allerede er kørt med standarden, er det ikke nok at rette tilknytningen. Kontakt support@strise.ai for at få fjernet de dublerede brugere. Brug derefter Stop provisioning og Restart provisioning i Entra. Entra opdager ikke, at Strise har fjernet brugerne, og en genstart rydder listen over brugere, Entra allerede har sendt, så alle sendes igen.
Intet ændrer sig for dine brugere på dette tidspunkt. Alle, der er tildelt, kan logge ind via din udbyder; deres adgang inde i Strise er uændret, indtil du tilknytter grupper og slår håndhævelse til.
3. Strise registrerer forbindelsen
Siden Identitetsføderation opdateres automatisk, når den guidede opsætning er færdig, eller du kan bruge Tjek nu. Den viser derefter forbindelsen, de grupper, der er registreret indtil videre, og tilknytningseditoren. Grupper og brugere, som din udbyder pusher, vises inden for cirka en time efter, at forbindelsen er oprettet, som regel meget hurtigere.
Provisionering
Når provisionering er slået til, informerer din identitetsudbyder Strise om brugere og grupper. Strise skriver aldrig tilbage til dit bibliotek.
| I din identitetsudbyder | I Strise |
|---|---|
| Tildel en Bruger til Strise-applikationen | Brugeren oprettes med navn og e-mail fra biblioteket. Ingen teamadgang endnu. |
| Skift en brugers navn eller e-mail | Brugerens profil opdateres. |
| Push en gruppe / føj en gruppe til applikationen | Gruppen vises under Grupper. Grupper opdages her, oprettes aldrig her. |
| Tilføj eller fjern et medlem af en pushet gruppe | Mens der er Registrering: logføres. Mens der er Håndhævelse: de tilknyttede roller tildeles eller tilbagekaldes. |
| Omdøb en gruppe | Navnet opdateres. Tilknytninger følger gruppen, ikke dens navn. |
| Fjern push eller slet en gruppe | Dens tilknytninger fjernes, og gruppen forsvinder fra listen. |
| Fjern tildeling eller deaktiver en Bruger | Brugeren kan ikke længere logge ind. Deres medlemskaber forbliver, indtil gruppeændringerne tilbagekalder dem. |
Brugere, der provisioneres på denne måde, kan ikke deaktiveres fra Strise, og roller på teams, din udbyder styrer, kan ikke ændres manuelt under håndhævelse. Begge dele gøres i dit bibliotek. Se Deaktivering af en person.
Tilknytning af grupper til roller
Åbn Rediger tilknytninger. Hver gruppe fra dit bibliotek kan tildele en eller flere roller, hver på et sted:
- Organisation — rollen gælder i alle teams, inklusive teams, der oprettes senere.
- Teams — rollen gælder kun i de valgte teams.
Roller er de samme, som du tildeler manuelt, se Medlemmer og Roller og tilladelser. En gruppe uden tilknytning tildeler intet; dens medlemmer kan logge ind, men har ingen teamadgang derfra. Tilknytninger gemmes pr. gruppe, så fuldfør eller fjern en uafsluttet tildeling, før du gemmer.
Visningen Efter team viser de samme tilknytninger fra den anden side: hvilke grupper der tildeler hvilke roller på hvert Team.
Registrering og håndhævelse
En forbindelse er altid i en af to faser.
| Fase | Hvad Strise gør |
|---|---|
| Registrering | Grupper og medlemskaber registreres og vises. Ingen roller tildeles eller tilbagekaldes. Alt, hvad du har konfigureret manuelt, fortsætter med at fungere. Sikker at lade være slået til, mens du tilknytter. |
| Håndhævelse | Medlemskaber styrer roller. Tilføjelse af en Person til en tilknyttet gruppe tildeler rollen; fjernelse af vedkommende tilbagekalder den. Roller på styrede teams er låst til udbyderen. |
Start håndhævelse
Start håndhævelse åbner en dialogboks, der først læser din udbyder og viser, hvad der vil ske:
- Hvor der skal håndhæves — Hele organisationen, hvert Team uanset om det er tilknyttet eller ej, eller Kun teams med en rolletilknytning. Ved hele organisationen fjernes roller, der holdes manuelt på ikke-tilknyttede teams, også, og roller på organisationsniveau håndhæves. Ved kun tilknyttede teams forbliver ikke-tilknyttede teams manuelle, og tilknytning af et nyt Team senere bringer det under håndhævelse.
- Ikke-tilknyttede grupper — grupper, der ikke tildeler noget, med angivelse af hvor mange personer der er i dem. Tilknytning af dem er ikke påkrævet og kan gøres efterfølgende.
- Udelukkelser — personer, der ville stå tilbage uden adgang, fordi intet af det, de har, understøttes af en tilknyttet gruppe. Du kan fortsætte og rette dem efterfølgende. Hvis du er en af dem, afvises håndhævelsen i stedet for at blive bekræftet: tilknyt en gruppe, du tilhører, først, da der ellers ikke ville være nogen vej tilbage.
Vend tilbage til registrering er tilgængelig når som helst og træder i kraft med det samme. Det stopper håndhævelsen og låser op for manuelle ændringer; det fortryder ikke tildelinger eller tilbagekaldelser, der allerede er foretaget.
Under håndhævelse
- Enhver tildeling og tilbagekaldelse foretaget af udbyderen vises i Activity Log med Identitetsudbyder som aktør, én post pr. Person pr. ændring. Ændringer af selve føderationen – udstedelse eller annullering af opsætningslinket, opsætning, ændring af en gruppes tilknytning, faseskift og fjernelse – registreres der også, under den person, der foretog dem. En opsætning, som Strises timevise kontrol fuldfører, viser Strise som aktør, og en tilknyttet gruppe, som din udbyder sletter, viser Identitetsudbyder.
- En hængelås i Brugere og adgang markerer teams, som din udbyder styrer.
- Strise afstemmer den tilknyttede tilstand mod de registrerede medlemskaber en gang i timen og retter eventuelle uoverensstemmelser, for eksempel en ændring, din udbyder sendte, mens Strise var utilgængelig. Sidste synkronisering på oversigten viser, hvornår den sidst kørte, og om den mislykkedes.
Bemærkninger om udbydere
| Udbyder | Protokol | Bemærkninger om provisionering |
|---|---|---|
| Microsoft Entra ID | OIDC | Entra provisionerer i en cyklus på cirka 40 minutter. Brug Provision on demand i Entra for at pushe en enkelt bruger eller gruppe med det samme. Ændr externalId-tilknytningen før den første cyklus. Se advarslen i trin 6 af opsætningen. |
| Okta Workforce | OIDC | Login bruger en OIDC-web-applikation; provisionering bruger en anden applikation fra Oktas katalog, (OAuth Bearer Token) Governance with SCIM 2.0, med endpoint-URL'en og tokenet fra opsætningen. Begge applikationer skal have de samme tildelinger, ellers gør provisionering intet i stilhed. Okta pusher inden for få sekunder. |
| Anden SAML | SAML | Provisionering afhænger af udbyderens SCIM-klient. Endpoint-URL'en og tokenet fra opsætningen fungerer med enhver SCIM 2.0-klient. |
Ofte stillede spørgsmål
Kan vi bruge provisionering uden at ændre, hvordan folk logger ind? Nej. Provisionering er knyttet til den dedikerede forbindelse, så brugere, der er provisioneret på denne måde, logger ind via din udbyder.
Hvad sker der med personer, der tidligere blev inviteret manuelt? Deres roller forbliver, som de er, indtil du håndhæver. Når du starter håndhævelse, vises enhver, hvis roller ikke understøttes af en tilknyttet gruppe, under Udelukkelser i dialogboksen, så du kan tilknytte en gruppe for dem eller acceptere ændringen. Hvis dit bibliotek også provisionerer dem, beholder de den Strise-bruger, du inviterede. Næste spørgsmål forklarer hvornår.
Hvad sker der med personer, der allerede har en Strise-bruger, når biblioteket provisionerer dem? Når forbindelsen er i Håndhævelse, beholder en provisioneret person sin eksisterende Strise-bruger, når alle tre er opfyldt:
- vedkommendes Strise-bruger blev oprettet af en invitation til vedkommendes login-e-mailadresse, og vedkommende kan logge ind på den med en loginkode eller en adgangsnøgle
- den login-e-mailadresse er den samme som vedkommendes e-mailadresse i dit bibliotek
- al den brugers adgang er i din organisation
At vedkommende også logger ind med en Google- eller Microsoft-konto, ændrer ikke på det.
Derefter logger vedkommende ind via din udbyder. Teams, roller og historik forbliver på den bruger. Mens forbindelsen er i Registrering, ændres intet for en sådan person, og vedkommende får ingen ny bruger. Strise kobler vedkommende til den eksisterende bruger ved den første synkronisering, efter du har startet håndhævelse.
Alle andre får en ny bruger ved siden af den gamle. Det gælder personer, der:
- fik sin Strise-bruger ved at logge ind med en Google- eller Microsoft-konto eller via en anden single sign-on-forbindelse, såsom SAML eller Entra ID
- har en bruger med adgang i en anden organisation
- har mere end én sådan bruger på den login-e-mailadresse
Den nye bruger får de roller, som grupperne, personen er medlem af i dit bibliotek, giver. Kontakt Strise support, hvis de to skal være én bruger.
Sletter det brugere i Strise at fjerne en gruppe i vores bibliotek? Nej. Det fjerner gruppens tilknytninger, hvilket tilbagekalder de roller, som disse tilknytninger tildelte under håndhævelse. Brugerne forbliver og kan stadig logge ind.
Hvordan roterer vi SCIM-tokenet eller ændrer udbyderkonfigurationen? Kontakt support@strise.ai. Den guidede opsætning udstedes pr. forbindelse og kan endnu ikke genåbnes af dig selv.
Sidst opdateret