Single Sign-On (SSO)

Single Sign-On låter medlemmarna i en Enterprise-organisation logga in i CCTV Design Tool med den identitetsleverantör som ert företag redan använder, i stället för ett separat lösenord. Verktyget ansluter till Microsoft Entra ID eller till valfri OpenID Connect-leverantör såsom Okta, Auth0, Keycloak eller Google Workspace. När SSO är aktiverat loggar teamet in genom att välja Sign in with SSO på inloggningssidan och ange sin arbets-e-postadress. Administratörer kan också framtvinga SSO så att medlemmar inte längre kan logga in med ett lösenord eller ett Google-konto.

När du ska använda detta

• När er organisation vill ha en enda uppsättning inloggningsuppgifter för alla affärsapplikationer
• När du behöver ta ombord nya teammedlemmar utan att skapa och skicka lösenord till dem
• När er säkerhetspolicy kräver att åtkomst styrs centralt av er identitetsleverantör
• När du vill säkerställa att en person som lämnar företaget förlorar åtkomst så snart deras konto hos identitetsleverantören inaktiveras

Innan du börjar

• Ditt konto måste tillhöra en Enterprise-organisation. Se Free / Premium / Enterprise Versions.
• Du behöver behörigheten Manage SSO settings. Organisationsägarens ADMIN-grupp har den som standard. För att låta en annan grupp konfigurera SSO, aktivera Manage SSO settings för den gruppen i Manage Groups.
• Du behöver administratörsåtkomst till er identitetsleverantör för att registrera CCTV Design Tool som en applikation där.

Öppna SSO-inställningar

1. Klicka på menyn User i den vänstra verktygsraden.
2. Välj Profile i rullgardinsmenyn.
3. I avsnittet Company i User Profile-sidofältet, välj Single Sign-On.

Sidan har två kort: SSO configuration, där du anger detaljerna för din identitetsleverantör, och Test & activation, som visas när en konfiguration har sparats.

Steg 1: Registrera appen hos er identitetsleverantör

CCTV Design Tool måste registreras som en webbapplikation i er identitetsleverantör. Det enda värde du behöver från verktyget är Callback URL som visas längst ner på kortet SSO configuration. Klicka på kopieringsknappen bredvid och registrera den som applikationens redirect-URI.

Microsoft Entra ID

1. I Microsoft Entra admin center, öppna App registrations och klicka New registration.
2. Ge applikationen ett namn, till exempel CCTV Design Tool.
3. Under Redirect URI, välj plattformen Web och klistra in Callback URL som kopierades från verktyget.
4. Registrera applikationen och notera Application (client) ID och Directory (tenant) ID från översiktssidan.
5. Öppna Certificates & secrets, skapa en ny client secret och kopiera dess value direkt. Värdet visas bara en gång.

Andra OpenID Connect-leverantörer

1. Skapa en ny webbapplikation (ibland kallad regular web app eller confidential client) med en client secret.
2. Registrera Callback URL som kopierades från verktyget som en tillåten redirect-URI.
3. Notera client ID och client secret.
4. Hitta din issuer URL. Den måste exakt matcha issuer-värdet som publiceras i leverantörens discovery-dokument på /.well-known/openid-configuration, till exempel https://your-company.okta.com.

Steg 2: Ange konfigurationen

Fyll i kortet SSO configuration och klicka Save.

Fält	Vad du ska ange
Provider	Microsoft Entra ID, eller Other (OpenID Connect) för alla andra leverantörer.
Tenant ID	Endast Entra ID. Directory (tenant) ID för er Microsoft-tenant.
Issuer URL	Endast andra leverantörer. Issuer-URL:en exakt så som den publiceras i leverantörens discovery-dokument.
Client ID	Application (client) ID för appen ni registrerade.
Client secret	Det hemliga värdet som skapades för den appen.
Callback URL	Skrivskyddat. Registrera denna redirect-URI i er identitetsleverantör.

INFO

Client secret lagras krypterat och visas aldrig igen. När du redigerar konfigurationen senare, lämna fältet Client secret tomt för att behålla det nuvarande hemliga värdet.

WARNING

Att spara en ändring i konfigurationen rensar det senaste testresultatet och inaktiverar SSO tills du testar konfigurationen igen och aktiverar den på nytt. Om SSO var tvingat hävs även tvingandet. Planera konfigurationsändringar, såsom att rotera ett utgånget client secret, till ett tillfälle då en kort avbrottstid är acceptabel.

Steg 3: Testa konfigurationen

I kortet Test & activation, klicka Test configuration. Testet verifierar att:

• identitetsleverantörens discovery-dokument kan nås för den tenant eller issuer du angav,
• leverantören publicerar sina nycklar för signering av token,
• för Microsoft Entra ID accepteras client ID och client secret av tenanten.

För Other (OpenID Connect) kan client secret inte kontrolleras utan en riktig inloggning, så ett lyckat test bekräftar endast att leverantören är nåbar. Hemligheten verifieras av den första användare som loggar in.

Resultatet av det senaste testet visas bredvid knappen. Ett misslyckat test visar orsaken, till exempel ett felaktigt tenant-ID eller ett avvisat client secret. SSO kan inte aktiveras förrän ett test lyckas.

Steg 4: Aktivera SSO

När ett test har lyckats, slå på Enable SSO. Från och med nu:

• Medlemmar i er organisation kan logga in med Sign in with SSO på inloggningssidan.
• Lösenords- och Google-inloggning fortsätter att fungera. SSO är valfritt i detta läge.
• Alla medlemmar som loggar in med SSO för första gången får sin identitet länkad till sitt befintliga konto via e-postadressen.

Att stänga av Enable SSO stoppar SSO-inloggning omedelbart och häver även tvingandet.

Tvinga SSO

Slå på Enforce SSO för att göra identitetsleverantören till det enda sättet in. Växeln är endast tillgänglig medan SSO är aktiverat. När SSO är tvingat:

• Medlemmar kan logga in endast med Sign in with SSO. Lösenords- och Google-inloggning nekas med meddelandet Your organization requires single sign-on.
• Inbjudna användare kan inte registrera sig eller ställa in ett lösenord. De går med i organisationen genom att logga in med SSO första gången (se Lägga till användare).
• Medlemmar i ADMIN-gruppen är fortsatt undantagna och kan alltid logga in med sitt lösenord. Detta garanterar att en trasig konfiguration av identitetsleverantören aldrig låser organisationen ute från sina egna inställningar.

TIP

Aktivera SSO utan tvingande först och be några medlemmar prova Sign in with SSO. Tvinga det först efter att du har bekräftat att inloggning fungerar för vanliga medlemmar.

Så här loggar teamet in

1. På inloggningssidan, klicka Sign in with SSO.
2. Ange din arbets-e-postadress och klicka Continue with SSO.
3. Du omdirigeras till er organisations identitetsleverantör. Logga in där med samma konto vars e-post du just angav.
4. Du återvänder till CCTV Design Tool, redan inloggad.

Organisationen hittas från e-postadressen: den måste tillhöra en medlem i en organisation med SSO aktiverat, eller till en väntande inbjudan från en sådan organisation. Om tvåfaktorsautentisering är aktiverad på kontot begärs koden fortfarande efter att identitetsleverantören har loggat in dig.

Lägga till användare när SSO är aktiverat

Användare läggs till i Manage Users som vanligt. Vad som händer sedan beror på om SSO är tvingat.

SSO aktiverat, inte tvingat

• En e-postadress som redan har ett CCTV Design Tool-konto får en inbjudan, som personen accepterar i appen.
• En ny e-postadress kräver ett tillfälligt lösenord, precis som utan SSO. Personen loggar in med det lösenordet först och kan byta till SSO efteråt.

SSO tvingat

• En ny e-postadress bjuds in utan lösenord. Personen väljer helt enkelt Sign in with SSO på inloggningssidan. Deras första lyckade inloggning accepterar inbjudan, placerar dem i den grupp som valdes vid inbjudan och tilldelar en ledig licens om en finns tillgänglig.
• En e-postadress som redan har ett aktivt konto måste först logga in med sitt lösenord och acceptera inbjudan i appen. Först därefter kan den personen använda SSO.

INFO

Inbjudningar löper ut. Om en person inte har loggat in innan inbjudan gått ut, avbryt den och bjud in igen från Manage Users.

Granskningslogg

Varje ändring registreras i organisationens granskningslogg: att spara konfigurationen, att köra ett test med dess resultat, samt att aktivera, inaktivera eller tvinga SSO. Användare som går med via en SSO-inbjudan visas som Invite Accepted.

Felsökning

Meddelande	Vad det betyder
Identity provider discovery failed (HTTP …) — check the tenant ID	Tenant-ID:t eller issuer-URL:en är fel, eller så är leverantören inte nåbar.
The discovery document publishes a different issuer	För Other (OpenID Connect), ange issuer-URL:en exakt så som leverantören publicerar den, med eller utan en avslutande sökväg.
Client credentials check failed	Client ID eller client secret är fel, eller så har client secret löpt ut. Skapa en ny client secret i er identitetsleverantör och spara den.
Test the configuration successfully before enabling SSO	Kör Test configuration och åtgärda det rapporterade problemet innan du slår på Enable SSO.
SSO is not available for this account	Den angivna e-posten tillhör inte en medlem eller inbjuden i en organisation med SSO aktiverat. Kontrollera att personen har lagts till i Manage Users.
You signed in to the identity provider with a different account than the email you entered	Kontot som valdes hos identitetsleverantören matchar inte e-posten som skrevs på inloggningssidan. Börja om och välj det matchande kontot.
You already have an account. Sign in with your password and accept the organization invitation first	Den inbjudne hade redan ett aktivt konto före inbjudan. Personen måste acceptera den i appen en gång, därefter fungerar SSO.
Your invitation has expired	Bjud in personen igen från Manage Users.
Your organization requires single sign-on	SSO är tvingat. Använd Sign in with SSO i stället för lösenord eller Google.

Tips

• Notera när er client secret löper ut och rotera den före det datumet. En utgången client secret stoppar SSO för hela organisationen.
• Slå på tvingande först efter att vanliga medlemmar har bekräftat att SSO-inloggning fungerar för dem.
• Behåll minst en administratör i ADMIN-gruppen som kan sitt lösenord. Administratörer är fallback när identitetsleverantören inte är tillgänglig.
• När SSO är tvingat, bjud in nya kollegor endast via e-post. De behöver aldrig ett lösenord från er.
• Granska granskningsloggen efter konfigurationsändringar för att bekräfta vem som ändrade vad och när.

Relaterade ämnen

• Enterprise Settings
• User Profile
• Free / Premium / Enterprise Versions