Come attivare il single sign-on per la tua azienda#
Per: Amministratore Ti serve: Il ruolo Proprietario, qualcuno che amministri il provider di identità della tua azienda (Microsoft Entra ID, Google Workspace, Okta, …) e l’accesso al DNS del vostro dominio.
Con il single sign-on il tuo team accede a Shiftavo con l’account aziendale che ha già, invece che con una password Shiftavo separata. Lo attiviamo noi per te — non c’è nessun modulo da compilare. Questo articolo spiega quindi cosa mandarci, cosa aspettarti e cosa gestisci tu dopo.
Nota
Il single sign-on viene attivato per azienda. Se gestisci più aziende sotto un unico account, ognuna ha il suo — possono puntare allo stesso provider di identità.
Chiedici di attivarlo#
Apri un ticket nell’Helpdesk (vedi Assistenza) e dicci di quale azienda si tratta. Ti rispondiamo con una Redirect URI — un indirizzo che serve alla vostra informatica per registrare Shiftavo dalla sua parte.
Cosa registra la vostra informatica#
L’amministrazione del vostro provider di identità crea un’applicazione per Shiftavo e ci manda tre valori:
l’issuer URL — quello della vostra organizzazione, non uno condiviso;
il client ID;
il client secret.
Manda il secret come manderesti qualsiasi password. Dicci allo stesso tempo quali domini email usano i vostri collaboratori — example.ch e tutti gli altri.
Avvertimento
Solo Microsoft Entra ID: chiedi alla vostra informatica di aggiungere email come claim opzionale sul token. Altrimenti Entra non manda nessun indirizzo email e noi non possiamo sapere chi sta accedendo.
Dimostra che i domini sono vostri#
Per ogni dominio che ci hai indicato ti mandiamo un record DNS da pubblicare — un record TXT del tipo _shiftavo-verify.example.ch. È così che sappiamo che il dominio è davvero vostro, e che nessun altro può puntare il proprio provider di identità agli indirizzi dei vostri collaboratori.
Pubblica il record presso chi ospita il vostro DNS.
Dicci che è online, oppure aspetta e basta — controlliamo ogni giorno.
Appena un dominio è verificato attiviamo il single sign-on e il tuo team può usarlo.
Nota
Continuiamo a controllare, non una volta sola. Se il record sparisce più avanti — per esempio durante una migrazione DNS —, il dominio non conta più, e se era l’ultimo verificato il single sign-on si disattiva da solo invece di fidarsi di un’affermazione che nessuno può sostenere.
Invita prima le tue persone#
Accedere con un account aziendale non crea un account Shiftavo. Chi non è stato invitato viene respinto con «Chiedi alla tua amministrazione di invitarti». Invita il tuo team come al solito (Aggiungere una persona) — un invito ancora in attesa va bene, il primo accesso con single sign-on lo attiva e non serve nessuna email di conferma.
Cosa gestisci tu dopo#
Apri il menu dell’account (in alto a destra) → “Account” → “Gestisci le aziende”. Ogni azienda di tua proprietà mostra una sezione “Single sign-on” con lo stato, il vostro provider di identità, la Redirect URI, i vostri domini email e quando qualcuno ha effettuato l’ultimo accesso in questo modo. Due impostazioni sono tue — spuntale e clicca su “Salva”:
“Richiedi il single sign-on (i proprietari mantengono la password)” — le password e le reimpostazioni smettono di funzionare per i collaboratori la cui email è in un dominio verificato. Tu, come Proprietario, mantieni la tua, così un provider di identità guasto non può mai tagliarti fuori dalla fatturazione.
“Considera valida la verifica a due fattori del mio provider di identità” — se il vostro provider di identità chiede già un secondo fattore, Shiftavo non richiederà di nuovo il proprio.
Tutto il resto — il provider, il secret, i domini — lo cambiamo noi. Usa “Richiedi una modifica” in quella sezione, oppure l’Helpdesk.
Verifica che abbia funzionato#
La sezione “Single sign-on” mostra un badge “Attivo” e ogni dominio mostra “Verificata”. Chiedi a qualcuno del tuo team di uscire e rientrare: dopo aver inserito la propria email di lavoro nella pagina di accesso, il campo password viene sostituito da un pulsante “Continua con …”.