Single Sign-On (SSO)

Single Sign-On lader medlemmer af en Enterprise-organisation logge ind i CCTV Design Tool med den identitetsudbyder, jeres virksomhed allerede bruger, i stedet for en separat adgangskode. Værktøjet forbinder til Microsoft Entra ID eller enhver OpenID Connect-udbyder såsom Okta, Auth0, Keycloak eller Google Workspace. Når SSO er aktiveret, logger dit team ind ved at vælge Sign in with SSO på login-siden og indtaste deres arbejdsmail. Administratorer kan også gennemtvinge SSO, så medlemmer ikke længere kan logge ind med en adgangskode eller en Google-konto.

Hvornår det skal bruges

• Når din organisation ønsker ét sæt legitimationsoplysninger på tværs af alle forretningsapplikationer
• Når du skal onboarde nye teammedlemmer uden at oprette og sende dem adgangskoder
• Når din sikkerhedspolitik kræver, at adgang kontrolleres centralt af din identitetsudbyder
• Når du vil sikre, at en person, der forlader virksomheden, mister adgangen, så snart deres konto hos identitetsudbyderen deaktiveres

Før du begynder

• Din konto skal tilhøre en Enterprise-organisation. Se Gratis / Premium / Enterprise-versioner.
• Du skal have tilladelsen Manage SSO settings. Organisations­ejerens ADMIN-gruppe har den som standard. For at lade en anden gruppe konfigurere SSO skal du aktivere Manage SSO settings for den gruppe i Manage Groups.
• Du skal have administratoradgang til din identitetsudbyder for at registrere CCTV Design Tool som en applikation der.

Åbn SSO-indstillinger

1. Klik på User-menuen i venstre værktøjslinje.
2. Vælg Profile i dropdownmenuen.
3. I Company-sektionen i brugerprofilens sidebar skal du vælge Single Sign-On.

Siden har to kort: SSO configuration, hvor du indtaster detaljerne for din identitetsudbyder, og Test & activation, som vises, når en konfiguration er gemt.

Trin 1: Registrer appen hos din identitetsudbyder

CCTV Design Tool skal registreres som en webapplikation hos din identitetsudbyder. Den ene værdi, du har brug for fra værktøjet, er Callback URL, som vises nederst på kortet SSO configuration. Klik på kopi-knappen ved siden af den, og registrer den som applikationens redirect-URI.

Microsoft Entra ID

1. Åbn App registrations i Microsoft Entra admin center, og klik på New registration.
2. Giv applikationen et navn, for eksempel CCTV Design Tool.
3. Under Redirect URI vælg platformen Web og indsæt Callback URL, som du kopierede fra værktøjet.
4. Registrer applikationen og noter Application (client) ID og Directory (tenant) ID fra oversigtssiden.
5. Åbn Certificates & secrets, opret en ny client secret, og kopier dens value med det samme. Værdien vises kun én gang.

Andre OpenID Connect-udbydere

1. Opret en ny webapplikation (sommetider kaldet en regular web app eller confidential client) med en client secret.
2. Registrer Callback URL, kopieret fra værktøjet, som en tilladt redirect-URI.
3. Noter client ID og client secret.
4. Find din udbyders issuer URL. Den skal stemme nøjagtigt overens med issuer-værdien, der er offentliggjort i udbyderens discovery-dokument på /.well-known/openid-configuration, for eksempel https://your-company.okta.com.

Trin 2: Indtast konfigurationen

Udfyld kortet SSO configuration, og klik på Save.

Felt	Hvad der skal angives
Provider	Microsoft Entra ID eller Other (OpenID Connect) for andre udbydere.
Tenant ID	Kun Entra ID. Directory (tenant) ID for din Microsoft-tenant.
Issuer URL	Kun andre udbydere. Issuer-URL’en nøjagtigt som offentliggjort i udbyderens discovery-dokument.
Client ID	Application (client) ID for den app, du registrerede.
Client secret	Den hemmelige værdi, der blev oprettet til den app.
Callback URL	Skrivebeskyttet. Registrer denne omdirigerings-URI hos din identitetsudbyder.

INFO

Client secret gemmes krypteret og vises aldrig igen. Når du redigerer konfigurationen senere, skal du lade feltet Client secret stå tomt for at beholde den nuværende hemmelighed.

WARNING

At gemme enhver ændring i konfigurationen rydder det seneste testresultat og deaktiverer SSO, indtil du tester konfigurationen igen og genaktiverer den. Hvis SSO var gennemtvunget, ophæves gennemtvingelsen også. Planlæg konfigurationsændringer, såsom at rotere en udløbet client secret, til et tidspunkt, hvor en kort afbrydelse er acceptabel.

Trin 3: Test konfigurationen

I kortet Test & activation skal du klikke på Test configuration. Testen verificerer, at:

• identitetsudbyderens discovery-dokument kan nås for den tenant eller issuer, du har angivet,
• udbyderen offentliggør sine nøglesignaturer til tokens,
• for Microsoft Entra ID accepteres client ID og client secret af tenant’en.

For Other (OpenID Connect)-udbydere kan client secret ikke kontrolleres uden et reelt login, så en vellykket test bekræfter kun, at udbyderen kan nås. Hemmeligheden verificeres af den første bruger, der logger ind.

Resultatet af den seneste test vises ved siden af knappen. En mislykket test viser årsagen, for eksempel et forkert tenant-ID eller en afvist client secret. SSO kan ikke aktiveres, før en test lykkes.

Trin 4: Aktiver SSO

Når en test er lykkedes, skal du slå Enable SSO til. Fra nu af:

• Medlemmer af din organisation kan logge ind med Sign in with SSO på login-siden.
• Adgangskode og Google-login fungerer fortsat. SSO er valgfri på dette tidspunkt.
• Ethvert medlem, der logger ind med SSO for første gang, får sin identitet knyttet til sin eksisterende konto via e-mail.

Hvis du slår Enable SSO fra, stopper SSO-login med det samme, og gennemtvingelse ophæves også.

Gennemtving SSO

Slå Enforce SSO til for at gøre identitetsudbyderen til den eneste adgangsvej. Skiftet er kun tilgængeligt, mens SSO er aktiveret. Når SSO er gennemtvunget:

• Medlemmer kan logge ind kun med Sign in with SSO. Adgangskode og Google-login afvises med beskeden Your organization requires single sign-on.
• Inviterede brugere kan ikke registrere sig eller angive en adgangskode. De tilslutter sig organisationen ved at logge ind med SSO for første gang (se Adding users).
• Medlemmer af ADMIN-gruppen er undtaget og kan altid logge ind med deres adgangskode. Dette garanterer, at en fejlkonfigureret identitetsudbyder aldrig låser organisationen ude af sine egne indstillinger.

TIP

Aktiver først SSO uden gennemtvingelse, og bed nogle få medlemmer om at prøve Sign in with SSO. Gennemtving det først, når du har bekræftet, at login fungerer for almindelige medlemmer.

Sådan logger dit team ind

1. På login-siden skal du klikke på Sign in with SSO.
2. Indtast din arbejdsmailadresse, og klik på Continue with SSO.
3. Du omdirigeres til din organisations identitetsudbyder. Log ind der med den samme konto, hvis e-mail du netop indtastede.
4. Du returneres til CCTV Design Tool, allerede logget ind.

Organisationen findes ud fra e-mailadressen: den skal tilhøre et medlem af en organisation med SSO aktiveret eller en afventende invitation fra en sådan organisation. Hvis tofaktorgodkendelse er aktiveret på kontoen, bliver koden stadig anmodet om, efter at identitetsudbyderen har logget dig ind.

Tilføjelse af brugere, når SSO er aktiveret

Brugere tilføjes i Manage Users som normalt. Hvad der sker derefter, afhænger af, om SSO er gennemtvunget.

SSO aktiveret, ikke gennemtvunget

• En e-mail, der allerede har en CCTV Design Tool-konto, modtager en invitation, som personen accepterer i appen.
• En ny e-mail kræver en midlertidig adgangskode, som uden SSO. Personen logger først ind med den adgangskode og kan derefter skifte til SSO.

SSO gennemtvunget

• En ny e-mail inviteres uden en adgangskode. Personen vælger blot Sign in with SSO på login-siden. Deres første vellykkede login accepterer invitationen, placerer dem i den gruppe, der blev valgt under invitationen, og tildeler en ledig licens, hvis en er tilgængelig.
• En e-mail, der allerede har en aktiv konto, skal først logge ind med sin adgangskode og acceptere invitationen i appen. Først derefter kan personen bruge SSO.

INFO

Invitationer udløber. Hvis en person ikke har logget ind, før invitationen udløb, skal du annullere den og invitere vedkommende igen fra Manage Users.

Revisionslog

Hver ændring registreres i organisationens audit-log: at gemme konfigurationen, køre en test med dens resultat og at aktivere, deaktivere eller gennemtvinge SSO. Brugere, der tilslutter sig via en SSO-invitation, vises som Invite Accepted.

Fejlfinding

Meddelelse	Hvad det betyder
Identity provider discovery failed (HTTP …) — check the tenant ID	Tenant-ID’et eller issuer-URL’en er forkert, eller udbyderen kan ikke nås.
The discovery document publishes a different issuer	For Other (OpenID Connect) skal du indtaste issuer-URL’en nøjagtigt som udbyderen offentliggør den, inklusive eller eksklusive en afsluttende sti.
Client credentials check failed	Client ID eller client secret er forkert, eller hemmeligheden er udløbet. Opret en ny hemmelighed i din identitetsudbyder, og gem den.
Test the configuration successfully before enabling SSO	Kør Test configuration, og ret det rapporterede problem, før du slår Enable SSO til.
SSO is not available for this account	Den indtastede e-mail tilhører ikke et medlem eller en inviteret i en organisation med SSO aktiveret. Kontroller, at personen er tilføjet i Manage Users.
You signed in to the identity provider with a different account than the email you entered	Kontoen, der blev valgt hos identitetsudbyderen, matcher ikke e-mailen, der blev indtastet på login-siden. Start forfra, og vælg den matchende konto.
You already have an account. Sign in with your password and accept the organization invitation first	Den inviterede havde allerede en aktiv konto før invitationen. De skal acceptere den én gang i appen, derefter virker SSO.
Your invitation has expired	Inviter personen igen fra Manage Users.
Your organization requires single sign-on	SSO er gennemtvunget. Brug Sign in with SSO i stedet for adgangskode eller Google.

Tips

• Notér, hvornår din client secret udløber, og rotér den før den dato. En udløbet hemmelighed stopper SSO for hele organisationen.
• Slå kun gennemtvingelse til, efter at almindelige medlemmer har bekræftet, at SSO-login fungerer for dem.
• Behold mindst én administrator i ADMIN-gruppen, som kender sin adgangskode. Administratorer er fallback, når identitetsudbyderen ikke er tilgængelig.
• Når SSO er gennemtvunget, skal du kun invitere nye kolleger via e-mail. De behøver aldrig en adgangskode fra dig.
• Gennemgå audit-loggen efter konfigurationsændringer for at bekræfte, hvem der ændrede hvad og hvornår.

Relaterede emner

• Enterprise-indstillinger
• Brugerprofil
• Gratis / Premium / Enterprise-versioner