Identitetsføderering
Tilgjengelig for organisasjonsadministratorer. Oppsettet gjøres sammen med Strise.
Identitetsføderering lar identitetsleverandøren din bestemme hvem som har tilgang til Strise. Organisasjonen din får en egen tilkobling for enkel pålogging (single sign-on), og eventuelt brukerprovisjonering (SCIM): grupper i katalogen din synkroniseres til Strise, hver gruppe tilordnes en rolle i et team eller i hele organisasjonen, og fjerning av noen fra gruppen fjerner tilgangen deres her. Avslutning (offboarding) skjer én gang, i katalogen din.
Den bygger på Enkel pålogging (Single Sign-On). Den siden forklarer forskjellen mellom de delte Microsoft- og Google-knappene og en dedikert tilkobling; denne siden dekker oppsett og drift av en dedikert tilkobling med provisjonering.
Hvor du finner det
Åpne kontomenyen (avataren din, øverst i sidefeltet) → Organisasjon → Identitetsføderering. Siden er synlig for alle som har tillatelsen Vis identitetsføderering og kan redigeres med Konfigurer identitetsføderering. Begge er en del av rollen Organisasjonsadministrator. Se Organisasjon for resten av dette området.
Oppsett
Oppsettet består av tre deler. Strise starter det, personen som administrerer identitetsleverandøren din fullfører det, og du avslutter ved å tilordne grupper.
1. Strise oppretter en oppsettlenke
Kontakt support@strise.ai. Vi oppretter en oppsettlenke som vises på siden for Identitetsføderering under Oppsettstatus. Lenken er gyldig i fem dager. Hvis den utløper før noe er koblet til, beholdes ingenting av det som ble lagt inn; be om en ny lenke.
2. Teamet for identitetsleverandøren din fullfører den veiledede konfigurasjonen
Del lenken med den som administrerer identitetsleverandøren din (Kopier lenke på siden). Den åpner en veiledet konfigurasjon der de:
- Velger leverandør: Microsoft Entra ID, Okta Workforce eller en annen SAML-leverandør.
- Registrerer Strise som en applikasjon der og limer applikasjonens identifikatorer tilbake inn i oppsettet. Oppsettet viser den nøyaktige omdirigerings-URL-en og, for SAML, entitets-ID-en (entity id) som skal brukes. Med Microsoft Entra ID endrer de også én attributtkobling når de slår på provisjonering i steg 6. Se advarselen under det steget.
- Går gjennom kravene (claims) Strise leser: e-post er påkrevd, navn, fornavn, etternavn og brukernavn er valgfrie. Dette er standardkrav som alle støttede leverandører sender som standard.
- Tildeler brukerne eller gruppene som skal kunne logge på.
- Tester påloggingen.
- Eventuelt slår på provisjonering. Oppsettet viser da en SCIM-endepunkt-URL og et token. De limer begge inn i provisjoneringsinnstillingene for applikasjonen hos identitetsleverandøren din. Tokenet vises bare én gang.
Microsoft Entra ID: endre externalId-koblingen før provisjonering
Før første provisjoneringssyklus åpner du applikasjonen i Entra og går til Provisioning →
Mappings → Provision Microsoft Entra ID Users. I raden for externalId endrer du
kildeattributtet fra mailNickname, som er Entras standard, til objectId.
Hvis du hopper over dette, oppretter hver persons første innlogging en ekstra bruker i Strise ved siden av den provisjonerte. Den ekstra brukeren har ingen av rollene gruppene deres gir.
I den samme externalId-raden setter du Match objects using this attribute til Yes og
Matching precedence til 1. Entra krever ulik prioritet på hvert matchende attributt, så sett
først externalId til 2, flytt userName til 3, og sett deretter externalId til 1. Uten dette
fanger provisjoneringen aldri opp en person som logger inn før sin første provisjoneringssyklus.
Hvis provisjoneringen allerede har kjørt med standarden, er det ikke nok å rette koblingen. Kontakt support@strise.ai for å få fjernet de dupliserte brukerne. Bruk deretter Stop provisioning og Restart provisioning i Entra. Entra merker ikke at Strise har fjernet brukerne, og en omstart tømmer listen over brukere Entra allerede har sendt, slik at alle sendes på nytt.
Ingenting endres for brukerne dine på dette stadiet. Alle som er tildelt tilgang, kan logge på via leverandøren din; tilgangen deres inne i Strise forblir uendret frem til du tilordner grupper og aktiverer håndheving.
3. Strise fanger opp tilkoblingen
Siden for Identitetsføderering oppdaterer seg selv når den veiledede konfigurasjonen er fullført, eller du kan bruke Sjekk nå. Den viser deretter tilkoblingen, gruppene som er registrert så langt, og redigeringsverktøyet for tilordning. Grupper og brukere som leverandøren din dytter (pusher), vises innen omtrent en time etter at tilkoblingen er knyttet sammen, vanligvis mye raskere.
Provisjonering
Når provisjonering er aktivert, informerer identitetsleverandøren din Strise om brukere og grupper. Strise skriver aldri tilbake til katalogen din.
| I identitetsleverandøren din | I Strise |
|---|---|
| Tildel en bruker til Strise-applikasjonen | Brukeren opprettes, med navn og e-post fra katalogen. Ingen teamtilgang ennå. |
| Endre en brukers navn eller e-post | Brukerens profil oppdateres. |
| Skyv en gruppe / legg til en gruppe i applikasjonen | Gruppen vises under Grupper. Grupper oppdages her, opprettes aldri her. |
| Legg til eller fjern et medlem i en skjøvet gruppe | Under Oppdager: registreres. Under Håndhever: de tilordnede rollene tildeles eller tilbakekalles. |
| Gi en gruppe nytt navn | Navnet oppdateres. Tilordninger følger gruppen, ikke navnet. |
| Slutt å skyve eller slett en gruppe | Tilordningene fjernes, og gruppen forsvinner fra listen. |
| Fjern tildeling eller deaktiver en bruker | Brukeren kan ikke lenger logge på. Medlemskapene forblir inntil gruppeendringene tilbakekaller dem. |
Brukere som er provisjonert på denne måten, kan ikke deaktiveres fra Strise, og roller på team som leverandøren din styrer, kan ikke endres manuelt mens håndheving pågår. Begge deler gjøres i katalogen din. Se Deaktivere en bruker.
Tilordne grupper til roller
Åpne Rediger tilordninger. Hver gruppe fra katalogen din kan gi én eller flere roller, på hvert sitt sted:
- Organisasjon – rollen gjelder i alle team, inkludert team som opprettes senere.
- Team – rollen gjelder kun i de valgte teamene.
Rollene er de samme som du tildeler manuelt, se Medlemmer og Roller og tillatelser. En gruppe uten tilordning gir ingenting; medlemmene kan logge på, men får ingen teamtilgang fra den. Tilordninger lagres per gruppe, så fullfør eller fjern en ufullstendig tildeling før du lagrer.
Visningen Etter team viser de samme tilordningene fra den andre siden: hvilke grupper som gir hvilke roller i hvert team.
Oppdager og Håndhever
En tilkobling er alltid i én av to faser.
| Fase | Hva Strise gjør |
|---|---|
| Oppdager | Grupper og medlemskap registreres og vises. Ingen roller tildeles eller tilbakekalles. Alt du har konfigurert manuelt, fortsetter å fungere. Trygt å la stå på mens du tilordner. |
| Håndhever | Medlemskap styrer roller. Å legge noen til i en tilordnet gruppe tildeler rollen; å fjerne dem tilbakekaller den. Roller i styrte team er låst til leverandøren. |
Start håndheving
Start håndheving åpner en dialogboks som først leser fra leverandøren din og viser hva som vil skje:
- Hvor det skal håndheves – Hele organisasjonen, hvert team uansett om det er tilordnet eller ikke, eller Kun team med en rolletilordning. Med hele organisasjonen fjernes også roller som er tildelt manuelt i utilordnede team, og roller på organisasjonsnivå håndheves. Med kun tilordnede team forblir utilordnede team manuelle, og det å tilordne et nytt team senere bringer det inn under håndheving.
- Utilordnede grupper – grupper som ikke gir noe, med hvor mange personer som er i dem. Det er ikke påkrevd å tilordne dem, og det kan gjøres i etterkant.
- Utestengelser – personer som ville stått igjen uten tilgang fordi ingenting de har, støttes av en tilordnet gruppe. Du kan fortsette og rette opp i dem etterpå. Hvis du er en av dem, blir håndheving avvist i stedet for bekreftet: tilordne en gruppe du tilhører først, ettersom det ellers ikke ville vært noen vei inn igjen.
Gå tilbake til Oppdager er tilgjengelig når som helst og trer i kraft umiddelbart. Det stopper håndheving og låser opp for manuelle endringer; det gjør ikke om på tildelinger eller tilbakekallinger som allerede er utført.
Under håndheving
- Hver tildeling og tilbakekalling gjort av leverandøren vises i Aktivitetslogg med Identitetsleverandør som aktør, én oppføring per person per endring. Endringer i selve føderasjonen – utstedelse eller avbrytelse av oppsettlenken, oppsett, endring av en gruppes kobling, faseskifte og fjerning – registreres der også, under personen som gjorde dem. Et oppsett fullført av Strises timevise kontroll viser Strise som aktør, og en koblet gruppe som leverandøren din sletter, viser Identitetsleverandør.
- En hengelås i Brukere og tilgang markerer team leverandøren din styrer.
- Strise avstemmer den tilordnede tilstanden mot de registrerte medlemskapene én gang i timen og korrigerer eventuelle avvik, for eksempel en endring leverandøren din sendte mens Strise var utilgjengelig. Siste synkronisering i oversikten viser når den sist kjørte og om den mislyktes.
Notater om leverandører
| Leverandør | Protokoll | Notater om provisjonering |
|---|---|---|
| Microsoft Entra ID | OIDC | Entra provisjonerer i en syklus på omtrent 40 minutter. Bruk Provision on demand i Entra for å skyve en enkelt bruker eller gruppe umiddelbart. Endre externalId-koblingen før første syklus. Se advarselen i steg 6 av oppsettet. |
| Okta Workforce | OIDC | Pålogging bruker en OIDC-nettapplikasjon; provisjonering bruker en annen applikasjon fra Oktas katalog, (OAuth Bearer Token) Governance with SCIM 2.0, med endepunkt-URL-en og tokenet fra oppsettet. Begge applikasjonene må ha de samme tildelingene, ellers vil provisjonering i stillhet ikke gjøre noe. Okta dytter innen få sekunder. |
| Annen SAML | SAML | Provisjonering avhenger av leverandørens SCIM-klient. Endepunkt-URL-en og tokenet fra oppsettet fungerer med alle SCIM 2.0-klienter. |
Ofte stilte spørsmål
Kan vi bruke provisjonering uten å endre hvordan folk logger på? Nei. Provisjonering er knyttet til den dedikerte tilkoblingen, så brukere som provisjoneres på denne måten, logger på via leverandøren din.
Hva skjer med personer som ble invitert manuelt tidligere? Rollene deres forblir som de er til du håndhever. Når du starter håndheving, vil alle hvis roller ikke støttes av en tilordnet gruppe, vises under Utestengelser i dialogboksen, slik at du kan tilordne en gruppe for dem eller godta endringen. Hvis katalogen din også provisjonerer dem, beholder de Strise-brukeren du inviterte. Neste spørsmål forklarer når.
Hva skjer med personer som allerede har en Strise-bruker når katalogen provisjonerer dem? Når tilkoblingen er i Håndhever, beholder en provisjonert person sin eksisterende Strise-bruker når alle tre er sanne:
- Strise-brukeren deres ble opprettet av en invitasjon til innloggings-e-posten deres, og de kan logge på den med en innloggingskode eller en passnøkkel
- den innloggings-e-posten er den samme som e-posten deres i katalogen din
- all tilgangen den brukeren har, er i organisasjonen din
At de i tillegg logger på med en Google- eller Microsoft-konto, endrer ikke dette.
Fra da av logger de på via leverandøren din. Teamene, rollene og historikken deres blir værende på den brukeren. Mens tilkoblingen er i Oppdager, endres ingenting for en slik person, og de får ingen ny bruker. Strise kobler dem til den eksisterende brukeren ved første synkronisering etter at du starter håndheving.
Alle andre får en ny bruker ved siden av den gamle. Det gjelder personer som:
- fikk Strise-brukeren sin ved å logge på med en Google- eller Microsoft-konto, eller via en annen tilkobling for enkel pålogging, som SAML eller Entra ID
- har en bruker med tilgang i en annen organisasjon
- har mer enn én slik bruker på den innloggings-e-posten
Den nye brukeren får rollene som gis av gruppene personen er med i i katalogen din. Kontakt Strise support hvis de to skal være én bruker.
Vil det å fjerne en gruppe i katalogen vår slette brukere i Strise? Nei. Det fjerner gruppens tilordninger, noe som tilbakekaller rollene disse tilordningene ga under håndheving. Brukerne blir værende og kan fortsatt logge på.
Hvordan roterer vi SCIM-tokenet eller endrer leverandørkonfigurasjonen? Kontakt support@strise.ai. Den veiledede konfigurasjonen utstedes per tilkobling og kan foreløpig ikke gjenåpnes på egen hånd.
Sist oppdatert