Configura l'accesso singolo (SSO) con Okta, Microsoft Entra ID, Google Workspace e altro ancora

Il single sign-on (SSO) consente al tuo team di accedere a RedirHub con il provider di identità della tua azienda invece di una password separata di RedirHub. RedirHub supporta SAML 2.0 e funziona con Okta, Microsoft Entra ID (ex Azure AD), Google Workspace, OneLogin, JumpCloud, PingOne, Auth0, AD FS e qualsiasi altro provider di identità SAML 2.0. L'SSO è disponibile su Pro come componente aggiuntivo da 200 $/mese e su Enterprise tramite contratto.

Provider di identità supportati#

Passaggio 1: Ottieni i dettagli SAML di RedirHub#

Una volta attivato l'SSO per il tuo workspace, RedirHub ti fornisce due valori da incollare nel tuo provider di identità. I provider li indicano con nomi diversi:

• URL ACS: chiamato anche URL di accesso singolo, URL di risposta, destinatario o URL del servizio consumer di asserzione.
• ID entità: chiamato anche URI audience, identificatore, audience o ID entità SP.

Passaggio 2: Crea l'app RedirHub nel tuo provider di identità#

I passaggi sono gli stessi in ogni provider:

1. Crea una nuova applicazione SAML 2.0 e assegnale il nome RedirHub.
2. Incolla l’URL ACS e l’ID entità dal Passaggio 1.
3. Imposta il formato Name ID su indirizzo email e invia l’email principale dell’utente.
4. Assegna le persone o i gruppi che dovrebbero poter accedere a RedirHub.
5. Copia l’URL dei metadati dell’app oppure scarica il relativo XML dei metadati.

Qui è indicato dove si trova ciascuna impostazione nei provider più diffusi.

Okta#

1. Nella Console di amministrazione, vai su Applications › Applications › Create App Integration e scegli SAML 2.0.
2. Incolla l’URL ACS in Single sign-on URL e l’ID entità in Audience URI (SP Entity ID).
3. Imposta Formato nome ID su EmailAddress e Nome utente dell'applicazione su Email.
4. Assegna persone o gruppi nella scheda Assegnazioni, quindi copia l'URL dei metadati dalla scheda Accesso.

Microsoft Entra ID (Azure AD)#

1. Nel centro di amministrazione Microsoft Entra, vai a Applicazioni aziendali › Nuova applicazione › Crea la tua applicazione e scegli l'opzione non gallery.
2. Apri Single sign-on, scegli SAML e, in Configurazione SAML di base, incolla l'ID entità in Identificatore e l'URL ACS in URL di risposta.
3. In Attributi e attestazioni, imposta Identificatore univoco dell'utente sull'email dell'utente (user.mail) con il formato indirizzo email.
4. Assegna persone o gruppi in Utenti e gruppi, quindi copia l'App Federation Metadata Url dai Certificati SAML.

Google Workspace#

1. Nella console di amministrazione Google, vai a App › App web e mobile › Aggiungi app › Aggiungi app SAML personalizzata.
2. Nella schermata Dettagli del provider di identità Google, fai clic su Scarica metadati.
3. In Dettagli del provider di servizi, incolla l'URL ACS e l'Entity ID, imposta Formato Name ID su EMAIL e Name ID su Informazioni di base › Email principale.
4. In Accesso utente, attiva l'app per tutti o per le unità organizzative o i gruppi che ne hanno bisogno.

OneLogin#

1. Vai a Applicazioni › Aggiungi app e seleziona SAML Custom Connector (Advanced).
2. Nella scheda Configurazione, incolla l'Entity ID in Audience (EntityID) e l'URL ACS in Recipient e ACS (Consumer) URL. Imposta il formato SAML nameID su Email.
3. Concedi l'accesso tramite i ruoli, quindi scarica i metadati da Altre azioni › Metadati SAML.

JumpCloud#

1. Vai a Applicazioni SSO › Aggiungi nuova applicazione › Applicazione personalizzata e scegli di configurare l'SSO con SAML.
2. Incolla l'Entity ID in SP Entity ID e l'URL ACS in ACS URL. Imposta SAMLSubject NameID su email.
3. Associa i gruppi di utenti che necessitano dell'accesso, quindi fai clic su Esporta metadati.

PingOne (Ping Identity)#

1. Vai a Applications, aggiungi un'applicazione e scegli SAML Application.
2. Inserisci manualmente l'ACS URL e l'Entity ID, e associa saml_subject all'indirizzo email sotto Attribute Mappings.
3. Concedi l'accesso ai gruppi corretti, attiva l'applicazione e fai clic su Download Metadata nella scheda Configuration.

Auth0#

1. Crea una Regular Web Application, apri la scheda Addons e attiva SAML2 Web App.
2. Incolla l'ACS URL in Application Callback URL e imposta audience sull'Entity ID nelle impostazioni.
3. Copia il link dei Metadata del provider di identità dalla scheda Usage.

AD FS (Active Directory Federation Services)#

1. In AD FS Management, vai a Relying Party Trusts › Add Relying Party Trust, scegli Claims aware e inserisci i dati manualmente.
2. Abilita il protocollo SAML 2.0 WebSSO con l'ACS URL e aggiungi l'Entity ID come identificatore della relying party trust.
3. Aggiungi regole di attestazione che inviino gli indirizzi e-mail come indirizzo e-mail, quindi trasforma l'indirizzo e-mail in Name ID con il formato Email.
4. I tuoi metadati sono su https://your-adfs-server/FederationMetadata/2007-06/FederationMetadata.xml.

Qualsiasi altro provider SAML 2.0#

Crea un'applicazione SAML 2.0 personalizzata, incolla l'ACS URL e l'Entity ID, invia l'e-mail dell'utente come Name ID ed esporta i metadati. Se il tuo provider non dispone di un file di metadati, annota invece il suo URL SSO, l'issuer (IdP Entity ID) e il certificato di firma X.509.

Passaggio 3: aggiungi i dettagli del tuo identity provider a RedirHub#

Fornisci a RedirHub l'URL dei metadati o l'XML dei metadati del Passaggio 2. Se non hai i metadati, fornisci l'URL SSO, l'issuer e il certificato di firma.

Passaggio 4: prova l'accesso#

Accedi con una persona assegnata all'app RedirHub nel tuo identity provider. La sua e-mail nell'identity provider deve corrispondere all'e-mail del suo account RedirHub. Una volta che funziona, distribuisci l'SSO al resto del tuo team.

Da sapere#

• L'accesso con Google è un'opzione di login disponibile su tutti i piani, non un single sign-on SAML. Vedi Proteggi il tuo account.
• I certificati di firma scadono. Quando rinnovi il tuo, fornisci a RedirHub i nuovi metadati prima che il vecchio certificato scada, altrimenti l'accesso SSO smette di funzionare.
• Il ruolo di ogni persona in RedirHub è ancora gestito nel tuo workspace. Vedi Invita i membri del team e scegli il loro ruolo.