Identitetsfederering
Tillgängligt för organisationsadministratörer. Konfigurationen görs tillsammans med Strise.
Identitetsfederering låter din identitetsleverantör bestämma vem som har åtkomst till Strise. Din organisation får en egen anslutning för enkel inloggning (single sign-on) och valfritt användarprovisionering (SCIM): grupper i din katalog synkroniseras till Strise, varje grupp mappas till en roll i ett team eller på hela organisationen, och att ta bort någon från gruppen tar bort deras åtkomst här. Offboarding sker en gång, i din katalog.
Den bygger på Enkel inloggning. Den sidan förklarar skillnaden mellan de delade Microsoft- och Google-knapparna och en dedikerad anslutning; denna sida beskriver hur du konfigurerar och kör en dedikerad anslutning med provisionering.
Här hittar du det
Öppna kontomenyn (din profilbild, högst upp i sidofältet) → Organisation → Identitetsfederering. Sidan är synlig för alla med behörigheten Visa identitetsfederering och kan redigeras med Konfigurera identitetsfederering. Båda ingår i rollen Organisationsadministratör. Se Organisation för resten av det området.
Konfiguration
Konfigurationen består av tre delar. Strise påbörjar den, personen som administrerar din identitetsleverantör slutför den, och du avslutar genom att mappa grupper.
1. Strise utfärdar en konfigurationslänk
Kontakta support@strise.ai. Vi utfärdar en konfigurationslänk som visas på sidan Identitetsfederering under Konfigurationsstatus. Länken är giltig i fem dagar. Om den går ut innan något har anslutits sparas inget av det som angetts; be om en ny.
2. Teamet för din identitetsleverantör slutför den guidade konfigurationen
Dela länken med den som administrerar din identitetsleverantör (Kopiera länk på sidan). Den öppnar en guidad konfiguration där de:
- Väljer leverantör: Microsoft Entra ID, Okta Workforce eller en annan SAML-leverantör.
- Registrerar Strise som en applikation där och klistrar in applikationens identifierare tillbaka i konfigurationen. Konfigurationen visar den exakta omdirigerings-URL:en och, för SAML, entitets-ID:t som ska användas. Med Microsoft Entra ID ändrar de också en attributmappning när de aktiverar provisionering i steg 6. Se varningen under det steget.
- Granskar de anspråk (claims) Strise läser: e-post krävs, namn, förnamn, efternamn och användarnamn är valfria. Det här är standardanspråk som alla leverantörer som stöds skickar som standard.
- Tilldelar de användare eller grupper som ska kunna logga in.
- Testar inloggningen.
- Valfritt aktiverar provisionering. Konfigurationen visar då en SCIM-slutpunkts-URL och en token. De klistrar in båda i provisioneringsinställningarna för applikationen i din identitetsleverantör. Denna token visas bara en gång.
Microsoft Entra ID: ändra externalId-mappningen före provisionering
Före den första provisioneringscykeln öppnar du applikationen i Entra och går till Provisioning
→ Mappings → Provision Microsoft Entra ID Users. På raden för externalId ändrar du
källattributet från mailNickname, som är Entras standard, till objectId.
Om du hoppar över detta skapar varje persons första inloggning en extra användare i Strise bredvid den provisionerade. Den extra användaren har inga av de roller som deras grupper ger.
På samma rad för externalId ställer du in Match objects using this attribute på Yes och
Matching precedence på 1. Entra kräver olika prioritet för varje matchningsattribut, så
ställ först in externalId på 2, flytta userName till 3 och ställ sedan in externalId på 1. Utan
detta plockar provisioneringen aldrig upp en person som loggar in före sin första
provisioneringscykel.
Om provisioneringen redan har körts med standardinställningen räcker det inte att rätta mappningen. Kontakta support@strise.ai för att ta bort de duplicerade användarna. Använd sedan Stop provisioning och Restart provisioning i Entra. Entra märker inte att Strise har tagit bort användarna, och en omstart rensar listan över användare som Entra redan har skickat, så att alla skickas på nytt.
Ingenting ändras för dina användare i det här skedet. Alla som tilldelats kan logga in via din leverantör; deras åtkomst i Strise är oförändrad tills du mappar grupper och aktiverar tillämpning.
3. Strise fångar upp anslutningen
Sidan Identitetsfederering uppdateras automatiskt när den guidade konfigurationen är klar, eller använd Kontrollera nu. Den visar sedan anslutningen, de grupper som upptäckts hittills och mappningsredigeraren. Grupper och användare som din leverantör skickar (pushar) visas inom ungefär en timme efter att anslutningen har knutits, vanligtvis mycket snabbare.
Provisionering
Med provisionering aktiverat meddelar din identitetsleverantör Strise om användare och grupper. Strise skriver aldrig tillbaka till din katalog.
| I din identitetsleverantör | I Strise |
|---|---|
| Tilldela en användare till Strise-applikationen | Användaren skapas, med namn och e-post från katalogen. Ingen teamåtkomst än. |
| Ändra en användares namn eller e-post | Användarens profil uppdateras. |
| Skicka (pusha) en grupp / lägg till en grupp i applikationen | Gruppen visas under Grupper. Grupper upptäcks här, de skapas aldrig här. |
| Lägg till eller ta bort en medlem i en pushad grupp | Under Discovering: registreras. Under Enforcing: de mappade rollerna tilldelas eller återkallas. |
| Byt namn på en grupp | Namnet uppdateras. Mappningar följer gruppen, inte dess namn. |
| Ta bort pushning eller radera en grupp | Dess mappningar tas bort och gruppen försvinner från listan. |
| Ta bort tilldelning eller inaktivera en användare | Användaren kan inte längre logga in. Deras medlemskap kvarstår tills gruppändringarna återkallar dem. |
Användare som provisioneras på detta sätt kan inte inaktiveras från Strise, och roller i team som styrs av din leverantör kan inte ändras manuellt under tillämpning. Båda görs i din katalog. Se Inaktivera någon.
Mappa grupper till roller
Öppna Redigera mappningar. Varje grupp från din katalog kan tilldela en eller flera roller, var och en på en specifik plats:
- Organisation — rollen gäller i varje team, inklusive team som skapas senare.
- Team — rollen gäller endast i de valda teamen.
Roller är desamma som du tilldelar manuellt, se Medlemmar och Roller och behörigheter. En grupp utan mappning tilldelar ingenting; dess medlemmar kan logga in men får ingen teamåtkomst från den. Mappningar sparas per grupp, så slutför eller ta bort en oavslutad tilldelning innan du sparar.
Vyn Per team visar samma mappningar från det andra hållet: vilka grupper som tilldelar vilka roller i varje team.
Discovering och Enforcing
En anslutning befinner sig alltid i en av två faser.
| Fas | Vad Strise gör |
|---|---|
| Discovering | Grupper och medlemskap registreras och visas. Inga roller tilldelas eller återkallas. Allt du har konfigurerat manuellt fortsätter att fungera. Säkert att låta vara aktivt medan du mappar. |
| Enforcing | Medlemskap styr roller. Att lägga till någon i en mappad grupp tilldelar rollen, att ta bort dem återkallar den. Roller i styrda team är låsta till leverantören. |
Börja tillämpa
Start enforcing öppnar en dialogruta som först läser av din leverantör och visar vad som skulle hända:
- Where to enforce — The whole organisation, varje team oavsett om det är mappat eller inte, eller Only teams with a role mapping. Med hela organisationen tas även roller som innehas manuellt i omappade team bort, och roller på organisationsnivå tillämpas. Med endast mappade team förblir omappade team manuella, och att mappa ett nytt team senare gör att det omfattas av tillämpningen.
- Unmapped groups — grupper som inte tilldelar någonting, samt hur många personer som ingår i dem. Att mappa dem krävs inte och kan göras efteråt.
- Lockouts — personer som skulle bli stående utan åtkomst eftersom ingenting de har stöds av en mappad grupp. Du kan fortsätta och åtgärda dem efteråt. Om du är en av dem nekas tillämpningen i stället för att bekräftas: mappa en grupp du tillhör först, eftersom det annars inte skulle finnas något sätt att komma in igen.
Return to Discovering är tillgängligt när som helst och träder i kraft omedelbart. Det stoppar tillämpningen och låser upp manuella ändringar; det ångrar inte tilldelningar eller återkallanden som redan har gjorts.
Under tillämpning
- Varje tilldelning och återkallande som görs av leverantören visas i Aktivitetsloggen med Identitetsleverantör som aktör, en post per person och ändring. Ändringar av själva federationen – utfärdande eller avbrytande av konfigurationslänken, konfiguration, ändring av en grupps koppling, fasbyte och borttagning – registreras där också, under personen som gjorde dem. En konfiguration som slutförs av Strises kontroll varje timme visar Strise som aktör, och en kopplad grupp som din leverantör tar bort visar Identitetsleverantör.
- Ett hänglås i Användare och åtkomst markerar team som din leverantör styr.
- Strise synkroniserar det mappade tillståndet mot de registrerade medlemskapen en gång i timmen och korrigerar eventuella avvikelser, till exempel en ändring som din leverantör skickade medan Strise var otillgängligt. Senaste synkronisering i översikten visar när den kördes senast och om den misslyckades.
Information om leverantörer
| Leverantör | Protokoll | Anteckningar om provisionering |
|---|---|---|
| Microsoft Entra ID | OIDC | Entra provisionerar med en cykel på ungefär 40 minuter. Använd Provision on demand i Entra för att pusha en enskild användare eller grupp omedelbart. Ändra externalId-mappningen före den första cykeln. Se varningen i steg 6 av konfigurationen. |
| Okta Workforce | OIDC | Inloggning använder en OIDC-webbapplikation; provisionering använder en andra applikation från Oktas katalog, (OAuth Bearer Token) Governance with SCIM 2.0, med slutpunkts-URL och token från konfigurationen. Båda applikationerna måste ha samma tilldelningar, annars gör provisioneringen ingenting utan att varna. Okta pushar inom några sekunder. |
| Annan SAML | SAML | Provisionering beror på leverantörens SCIM-klient. Slutpunkts-URL:en och token från konfigurationen fungerar med alla SCIM 2.0-klienter. |
Vanliga frågor
Kan vi använda provisionering utan att ändra hur användare loggar in? Nej. Provisionering är kopplad till den dedikerade anslutningen, så användare som provisioneras på detta sätt loggar in via din leverantör.
Vad händer med personer som bjudits in manuellt tidigare? Deras roller förblir som de är tills du aktiverar tillämpning. När du börjar tillämpa visas alla vars roller inte stöds av en mappad grupp under Lockouts i dialogrutan, så att du kan mappa en grupp för dem eller acceptera ändringen. Om din katalog också provisionerar dem behåller de Strise-användaren du bjöd in. Nästa fråga förklarar när.
Vad händer med personer som redan har en Strise-användare när katalogen provisionerar dem? När anslutningen är i Enforcing behåller en provisionerad person sin befintliga Strise-användare när alla tre stämmer:
- hens Strise-användare skapades av en inbjudan till hens e-postadress för inloggning, och hen kan logga in med en inloggningskod eller en nyckel (passkey)
- den e-postadressen för inloggning är densamma som hens e-postadress i din katalog
- all åtkomst den användaren har finns i din organisation
Att hen också loggar in med ett Google- eller Microsoft-konto ändrar inte detta.
Därefter loggar hen in via din leverantör. Team, roller och historik finns kvar på den användaren. Medan anslutningen är i Discovering ändras ingenting för en sådan person, och hen får ingen ny användare. Strise kopplar hen till den befintliga användaren vid första synkroniseringen efter att du börjat tillämpa.
Alla andra får en ny användare bredvid den gamla. Det gäller personer som:
- fick sin Strise-användare genom att logga in med ett Google- eller Microsoft-konto, eller via en annan anslutning för enkel inloggning, som SAML eller Entra ID
- har en användare med åtkomst i en annan organisation
- har mer än en sådan användare på den e-postadressen för inloggning
Den nya användaren får de roller som ges av grupperna personen tillhör i din katalog. Kontakta Strise support om de två ska vara en användare.
Raderas användare i Strise om vi tar bort en grupp i vår katalog? Nej. Det tar bort gruppens mappningar, vilket återkallar de roller som dessa mappningar tilldelade under tillämpning. Användarna finns kvar och kan fortfarande logga in.
Hur roterar vi SCIM-token eller ändrar leverantörskonfigurationen? Kontakta support@strise.ai. Den guidade konfigurationen utfärdas per anslutning och kan inte öppnas på nytt på egen hand ännu.
Senast uppdaterad