Single Sign-On (SSO)

Il Single Sign-On consente ai membri di un'organizzazione Enterprise di accedere a CCTV Design Tool con il provider di identità già in uso nella tua azienda, invece di una password separata. Lo strumento si collega a Microsoft Entra ID o a qualsiasi provider OpenID Connect come Okta, Auth0, Keycloak o Google Workspace. Una volta abilitato SSO, il tuo team accede scegliendo Sign in with SSO nella pagina di login e inserendo la propria email di lavoro. Gli amministratori possono anche imporre SSO affinché i membri non possano più accedere con una password o un account Google.

Quando utilizzarlo

• Quando la tua organizzazione desidera un unico set di credenziali per tutte le applicazioni aziendali
• Quando devi integrare nuovi membri del team senza creare e inviare loro password
• Quando la tua politica di sicurezza richiede che l'accesso sia controllato centralmente dal tuo provider di identità
• Quando vuoi garantire che una persona che lascia l'azienda perda l'accesso non appena il suo account presso il provider di identità viene disabilitato

Prima di iniziare

• Il tuo account deve appartenere a un'organizzazione Enterprise. Vedi Free / Premium / Enterprise Versions.
• Ti serve l'autorizzazione Manage SSO settings. Il gruppo ADMIN del proprietario dell'organizzazione la possiede per impostazione predefinita. Per consentire a un altro gruppo di configurare SSO, abilita Manage SSO settings per quel gruppo in Manage Groups.
• Ti serve l'accesso come amministratore al tuo provider di identità per registrare CCTV Design Tool come applicazione.

Apertura delle impostazioni SSO

1. Fai clic sul menu User nella barra degli strumenti a sinistra.
2. Seleziona Profile dal menu a discesa.
3. Nella sezione Company della barra laterale del profilo utente, seleziona Single Sign-On.

La pagina contiene due schede: SSO configuration, dove inserisci i dettagli del tuo provider di identità, e Test & activation, che appare una volta salvata una configurazione.

Passaggio 1: Registrare l'app presso il provider di identità

CCTV Design Tool deve essere registrato come applicazione web nel tuo provider di identità. L'unico valore necessario dallo strumento è la Callback URL mostrata in fondo alla scheda SSO configuration. Fai clic sul pulsante di copia accanto e registrala come URI di reindirizzamento dell'applicazione.

Microsoft Entra ID

1. Nel Microsoft Entra admin center, apri App registrations e fai clic su New registration.
2. Assegna un nome all'applicazione, ad esempio CCTV Design Tool.
3. In Redirect URI, scegli la piattaforma Web e incolla la Callback URL copiata dallo strumento.
4. Registra l'applicazione e annota Application (client) ID e Directory (tenant) ID dalla pagina di panoramica.
5. Apri Certificates & secrets, crea un nuovo client secret e copia subito il suo value. Il valore viene mostrato solo una volta.

Altri provider OpenID Connect

1. Crea una nuova applicazione web (a volte chiamata regular web app o confidential client) con un client secret.
2. Registra la Callback URL copiata dallo strumento come URI di reindirizzamento consentito.
3. Annota il client ID e il client secret.
4. Trova l'issuer URL del tuo provider. Deve corrispondere esattamente al valore issuer pubblicato nel discovery document del provider in /.well-known/openid-configuration, ad esempio https://your-company.okta.com.

Passaggio 2: Inserire la configurazione

Compila la scheda SSO configuration e fai clic su Save.

Field	What to enter
Provider	Microsoft Entra ID, oppure Other (OpenID Connect) per qualsiasi altro provider.
Tenant ID	Solo Entra ID. Il Directory (tenant) ID del tuo tenant Microsoft.
Issuer URL	Solo per altri provider. L'issuer URL esattamente come pubblicato nel discovery document del provider.
Client ID	L'Application (client) ID dell'app che hai registrato.
Client secret	Il valore del secret creato per quell'app.
Callback URL	Sola lettura. Registra questo URI di reindirizzamento nel tuo provider di identità.

INFO

Il client secret viene memorizzato cifrato e non sarà più mostrato. Quando modifichi la configurazione in seguito, lascia vuoto il campo Client secret per mantenere il secret corrente.

WARNING

Il salvataggio di qualsiasi modifica alla configurazione azzera l'ultimo risultato del test e disabilita SSO finché non testi di nuovo la configurazione e lo riabiliti. Se SSO era imposto, anche l'imposizione viene rimossa. Pianifica le modifiche alla configurazione, come la rotazione di un client secret scaduto, in un momento in cui una breve interruzione sia accettabile.

Passaggio 3: Testare la configurazione

Nella scheda Test & activation, fai clic su Test configuration. Il test verifica che:

• il discovery document del provider di identità sia raggiungibile per il tenant o l'issuer che hai inserito,
• il provider pubblichi le proprie chiavi di firma dei token,
• per Microsoft Entra ID, il client ID e il client secret siano accettati dal tenant.

Per i provider Other (OpenID Connect) il client secret non può essere verificato senza un accesso reale, quindi un test positivo conferma solo che il provider è raggiungibile. Il secret viene verificato dal primo utente che effettua l'accesso.

Il risultato dell'ultimo test è mostrato accanto al pulsante. Un test non riuscito visualizza il motivo, ad esempio un tenant ID errato o un client secret rifiutato. Non è possibile abilitare SSO finché un test non ha esito positivo.

Passaggio 4: Abilitare SSO

Una volta che un test è riuscito, attiva Enable SSO. Da questo momento:

• I membri della tua organizzazione possono accedere con Sign in with SSO nella pagina di login.
• L'accesso con password e Google continua a funzionare. SSO è facoltativo a questo punto.
• Qualsiasi membro che accede con SSO per la prima volta ha la propria identità collegata al suo account esistente in base all'email.

Disattivare Enable SSO interrompe immediatamente l'accesso tramite SSO e rimuove anche l'imposizione.

Imporre SSO

Attiva Enforce SSO per rendere il provider di identità l'unico metodo di accesso. L'interruttore è disponibile solo quando SSO è abilitato. Quando SSO è imposto:

• I membri possono accedere solo con Sign in with SSO. L'accesso con password e Google viene rifiutato con il messaggio Your organization requires single sign-on.
• Gli utenti invitati non possono registrarsi o impostare una password. Entrano nell'organizzazione accedendo con SSO per la prima volta (vedi Adding users).
• I membri del gruppo ADMIN restano esentati e possono sempre accedere con la propria password. Questo garantisce che una configurazione errata del provider di identità non blocchi mai l'organizzazione fuori dalle proprie impostazioni.

TIP

Abilita SSO senza imposizione inizialmente e chiedi a qualche membro di provare Sign in with SSO. Impostalo come obbligatorio solo dopo aver confermato che l'accesso funziona per i membri normali.

Come accede il tuo team

1. Nella pagina di login, fai clic su Sign in with SSO.
2. Inserisci il tuo indirizzo email di lavoro e fai clic su Continue with SSO.
3. Verrai reindirizzato al provider di identità della tua organizzazione. Accedi lì con lo stesso account la cui email hai appena inserito.
4. Verrai riportato su CCTV Design Tool, già autenticato.

L'organizzazione viene individuata dall'indirizzo email: deve appartenere a un membro di un'organizzazione con SSO abilitato o a un invito in sospeso da tale organizzazione. Se l'autenticazione a due fattori è abilitata sull'account, il codice viene comunque richiesto dopo che il provider di identità ti ha autenticato.

Aggiunta di utenti quando SSO è attivo

Gli utenti vengono aggiunti in Manage Users come al solito. Ciò che accade dopo dipende dal fatto che SSO sia imposto o meno.

SSO abilitato, non imposto

• Un'email che ha già un account CCTV Design Tool riceve un invito, che la persona accetta nell'app.
• Una nuova email richiede una password temporanea, come avviene senza SSO. La persona accede prima con quella password e può passare a SSO in seguito.

SSO imposto

• Una nuova email viene invitata senza password. La persona sceglie semplicemente Sign in with SSO nella pagina di login. Il suo primo accesso riuscito accetta l'invito, la inserisce nel gruppo scelto durante l'invito e assegna una licenza libera se disponibile.
• Un'email che ha già un account attivo deve prima accedere con la propria password e accettare l'invito nell'app. Solo dopo quella persona potrà usare SSO.

INFO

Gli inviti scadono. Se una persona non ha effettuato l'accesso prima della scadenza dell'invito, annullalo e invitala di nuovo da Manage Users.

Audit trail

Ogni modifica è registrata nel registro di audit dell'organizzazione: salvataggio della configurazione, esecuzione di un test con il relativo risultato e abilitazione, disabilitazione o imposizione di SSO. Gli utenti che si uniscono tramite un invito SSO compaiono come Invite Accepted.

Risoluzione dei problemi

Message	What it means
Identity provider discovery failed (HTTP …) — check the tenant ID	Il tenant ID o l'issuer URL è errato, oppure il provider non è raggiungibile.
The discovery document publishes a different issuer	Per Other (OpenID Connect), inserisci l'issuer URL esattamente come lo pubblica il provider, includendo o escludendo un percorso finale.
Client credentials check failed	Il client ID o il client secret è errato, oppure il secret è scaduto. Crea un nuovo secret nel tuo provider di identità e salvalo.
Test the configuration successfully before enabling SSO	Esegui Test configuration e correggi il problema segnalato prima di attivare Enable SSO.
SSO is not available for this account	L'email inserita non appartiene a un membro o invitato di un'organizzazione con SSO abilitato. Verifica che la persona sia stata aggiunta in Manage Users.
You signed in to the identity provider with a different account than the email you entered	L'account scelto presso il provider di identità non corrisponde all'email digitata nella pagina di login. Ricomincia e seleziona l'account corrispondente.
You already have an account. Sign in with your password and accept the organization invitation first	L'invitato aveva già un account attivo prima dell'invito. Deve accettarlo una volta nell'app, poi SSO funzionerà.
Your invitation has expired	Invita nuovamente la persona da Manage Users.
Your organization requires single sign-on	SSO è imposto. Usa Sign in with SSO invece di una password o Google.

Suggerimenti

• Prendi nota della scadenza del tuo client secret e ruotalo prima di tale data. Un secret scaduto interrompe SSO per l'intera organizzazione.
• Attiva l'imposizione solo dopo che i membri normali hanno confermato che l'accesso SSO funziona per loro.
• Mantieni almeno un amministratore nel gruppo ADMIN che conosca la propria password. Gli amministratori sono il fallback quando il provider di identità non è disponibile.
• Quando SSO è imposto, invita i nuovi colleghi solo via email. Non avranno mai bisogno di una password da parte tua.
• Rivedi il registro di audit dopo le modifiche alla configurazione per confermare chi ha cambiato cosa e quando.

Argomenti correlati

• Enterprise Settings
• User Profile
• Free / Premium / Enterprise Versions