Configurare l'SSO

Configurare l'SSO comporta uno scambio di metadati SAML tra la vostra organizzazione e Deque. Nessuna delle due parti richiede accesso ai sistemi dell'altra.

Prerequisiti

Prima di iniziare, assicuratevi di avere:

• Accesso amministrativo al vostro fornitore di identità
• L'elenco dei prodotti Deque in ambito
• Ogni dominio email con cui i vostri utenti accedono, compresi i sottodomini
• Un utente di test che esiste già nel vostro fornitore di identità
• Contatti tecnici che possano configurare SAML e testare la connessione

Il Processo di Configurazione

La configurazione si svolge in tre fasi. Per l'accesso iniziato dall'IdP, il processo si ripete una volta per ogni prodotto Deque.

Richiedere l'SSO

Contattate helpdesk@deque.com o il vostro rappresentante Deque con le seguenti informazioni:

• Il nome della vostra organizzazione
• Ogni dominio email in ambito
• I prodotti Deque in ambito
• Il vostro fornitore di identità
• Se desiderate un accesso iniziato dall'SP o dall'IdP
• I vostri contatti tecnici

Deque vi invia quindi un Identificativo Entità del Fornitore di Servizio e Metadati SP (XML) per ciascun prodotto. Per configurazioni iniziate dall'IdP, riceverete un ID entità per ciascun prodotto.

Scegliere il Flusso di Accesso

Deque supporta due flussi di accesso SSO. Sceglietene uno in base alle capacità del fornitore di identità della vostra organizzazione:

Entrambi i flussi sono sicuri e conformi a SAML 2.0. Procedete alla sezione corrispondente alla vostra scelta qui sotto.

Configurazione del Flusso Avviato dall'SP

Per il login avviato dall'SP, Deque gestisce la configurazione del Service Provider. Il tuo compito è importare i metadati di Deque nel tuo provider di identità.

Impostazioni SAML per il Login Avviato dall'SP

Solo una impostazione SAML è unica per la tua organizzazione:

Importazione dei Metadati

Importa i metadati dello SP (file XML o URL) forniti da Deque:

• Se il tuo provider di identità ha un'opzione "importazione metadati" o "URL metadati", usa direttamente l'URL dei metadati di Deque.
• Altrimenti, scarica il file XML e caricalo nel tuo provider di identità.
• Il tuo IdP riempirà automaticamente la maggior parte delle impostazioni; non è necessaria ulteriore configurazione SAML.

Dopo aver importato i metadati di Deque, procedi con Test di seguito.

Configurazione del Flusso Avviato dall'IdP

Per il login avviato dall'IdP, configuri manualmente un'applicazione SAML nel tuo provider di identità utilizzando i metadati di Deque.

Selezione del Valore dell'ID dell'Entità

L'ID dell'Entità è l'attributo entityID dell'elemento md:EntityDescriptor nel file di metadati fornito da Deque. Il suo valore termina con /clients/<client name>. Ad esempio:

https://auth.deque.com/.../axe.<your-domain>/endpoint/clients/axe-login-idp

Questo singolo valore è utilizzato in due luoghi: l'ID dell'Entità e l'URL di Risposta (o URL ACS). Inserisci lo stesso valore in entrambi i campi.

Impostazioni SAML per il Login Avviato dall'IdP

Queste impostazioni si applicano a tutti i provider di identità per il login avviato dall'IdP:

Mappatura degli Attributi

Invia i seguenti attributi affinché nome e cognome vengano importati al primo accesso:

Il formato del nome dell'attributo varia in base al provider. Okta e Microsoft Entra ID usano Unspecified; PingFederate utilizza urn:oasis:names:tc:SAML:2.0:attrname-format:uri. Se il formato è impostato in modo errato, i nomi non vengono importati e agli utenti viene chiesto di inserirli al primo accesso.

Assegnazione degli Utenti

Assegna gli utenti e i gruppi che devono avere accesso. La maggior parte dei provider di identità blocca il login per utenti non assegnati. L'assegnazione controlla chi può autenticarsi; non garantisce l'accesso ai prodotti Deque.

Configurazione Specifica del Provider

Segui la guida per il tuo provider di identità:

• Okta
• Microsoft Entra ID
• PingFederate

Ogni altro provider compatibile con SAML 2.0 è supportato. Usa le impostazioni SAML sopra e consulta la documentazione del tuo provider per la posizione di ciascun campo.

Invio a Deque dei Tuoi Metadati

Dopo aver configurato il tuo provider di identità, invia a Deque i tuoi metadati. Invia un URL dei metadati o un file XML esportato; entrambi contengono i valori richiesti da Deque:

Solo per il Login Iniziato dal IdP: URL di avvio iniziato dal IdP

Oltre ai tuoi metadati, invia a Deque il tuo URL di avvio iniziato dal IdP. Questo valore non è incluso nei tuoi metadati e deve essere inviato separatamente:

Deque importa quindi il tuo URL SSO e il certificato, abilita la convalida della firma e conferma quando la connessione è pronta per essere testata. La connessione rimane disabilitata fino a quando non diventa attiva, quindi non può influenzare l'attuale accesso degli utenti.

Test

Conferma quanto segue:

1. L'utente accede alla tua pagina di accesso e si autentica, incluso l'autenticazione a più fattori.
2. L'utente ritorna a Deque e accede al prodotto.
3. Il nome e l'indirizzo email dell'utente sono corretti sul loro profilo Deque.
4. Un utente senza un account Deque esistente viene creato correttamente.
5. Un utente con un account Deque esistente completa con successo il collegamento dell'account.

Collegamento dell'Account

Gli utenti che hanno già un accesso Deque devono confermare il collegamento tra il loro account Deque e il tuo provider di identità al primo accesso SSO. Deque invia un'email di conferma e l'utente seleziona il link per completare il processo. Questo avviene una volta per ogni utente.

Attivazione

Una volta che i test hanno successo e i tuoi utenti sono stati avvisati, informa Deque quando abilitare la connessione in modo permanente. Da quel momento in poi, ogni utente sul dominio abilitato effettuerà l'accesso tramite il tuo provider di identità.

URL di base

Usa l'URL di base per la tua regione o istanza dedicata.