Single sign-on med valfri SAML-leverantör
MuchSkills fungerar med alla identitetsleverantörer som stöder SAML 2.0. Den här guiden visar värdena som din leverantör frågar efter, stegen i MuchSkills och korta tips för OneLogin, JumpCloud, PingOne och AD FS.
- Vem
- En Owner eller Admin i MuchSkills, tillsammans med en administratör för din identitetsleverantör
- Så fungerar kopplingen
- Supporten lägger till din e-postdomän och du gör klart resten i Settings › Security & SAML
- Standard
- SAML 2.0, med e-postadressen som Name ID
- Planer
- Ingår i alla planer
How to
Så fungerar det
Din identitetsleverantör bekräftar vem personen är och skickar ett signerat SAML-meddelande med personens e-postadress till MuchSkills. MuchSkills kopplar adressen till rätt konto och loggar in personen. Leverantörens inloggningsadress och certifikat hämtar MuchSkills från den metadata-URL som du klistrar in. Single sign-on gäller bara e-postadresser på de domäner som supporten har lagt till åt dig.
Innan du börjar
- I MuchSkills: rollen Owner eller Admin. Bara de rollerna kan öppna sidan Security & SAML.
- I din identitetsleverantör: en administratör som kan skapa en anpassad SAML-app och ge personer åtkomst till den.
- Dina e-postdomäner. Lista alla domäner som dina medarbetare loggar in med. Supporten lägger till dem åt dig i steg 1.
- Matchande e-postadresser. MuchSkills känner igen personer på e-postadressen. Den e-postadress som din leverantör skickar ska vara samma adress som personen använder i MuchSkills.
- Några testanvändare. Ge först dig själv och två eller tre kollegor åtkomst. Tvinga fram single sign-on först när de kan logga in.
Steg
Så gör du i MuchSkills
- Be supporten lägga till dina e-postdomäner. Mejla support@muchskills.com eller använd chatten i MuchSkills. Ange alla domäner som dina medarbetare använder. När domänerna har lagts till dyker de upp under Email domains på Team/Org › Settings › Security & SAML. Innan dess står det No domain added där.
- Kopiera din SSO URL. På samma sida kopierar du SSO URL. Den börjar med
https://app.muchskills.com/auth/saml/följt av din organisations ID. Låt fliken vara öppen.
Team/Org › Settings › Security & SAML: 1 Email domains, 2 SSO URL, 3 IDP Metadata URL, 4 Enable SAML.
I din identitetsleverantör
- Skapa en egen SAML 2.0-app. Beroende på leverantör heter det custom, generic eller non-gallery app. Under Bra att veta hittar du menyvägen för OneLogin, JumpCloud, PingOne och AD FS.
- Fyll i värdena från MuchSkills. Samma fält har olika namn hos olika leverantörer:
| Din leverantör frågar efter | Kan också heta | Ange |
|---|---|---|
| ACS URL | Reply URL, Single sign-on URL, Consumer URL, Recipient, SAML 2.0 SSO service URL | Din SSO URL från steg 2 |
| SP Entity ID | Audience, Audience URI, Identifier, Relying party trust identifier | Din SSO URL (samma som ACS URL) |
| Name ID format | Subject NameID format | E-postadress |
| Name ID value | Username, subject, NameID | Personens e-postadress, den som personen använder i MuchSkills |
- Ge dina testanvändare åtkomst. Tilldela appen till dig själv och några kollegor.
- Kopiera metadata-URL:en. Leverantörerna kallar den metadata URL, IdP metadata URL, Issuer URL eller federation metadata. Om din leverantör bara erbjuder en fil, se steg 7.
Tillbaka i MuchSkills
- Klistra in metadata-URL:en. På Security & SAML klistrar du in den i IDP Metadata URL. Fältet blir tillgängligt när din domän är tillagd. Om du bara har en metadatafil kan du lägga den på en HTTPS-adress som MuchSkills kan nå och klistra in den adressen, eller skicka filen till support@muchskills.com så lägger vi till den åt dig. Ändringar sparas direkt.
- Aktivera single sign-on. Slå på Enable SAML. Tills du tvingar fram det kan personer fortfarande logga in med lösenord.
- Testa. Öppna ett privat webbläsarfönster och gå till app.muchskills.com/login. Ange e-postadressen för en testanvändare och klicka på Continue. MuchSkills känner igen domänen och visar Continue with SAML. Klicka på den, logga in hos din leverantör, så hamnar du i MuchSkills.
- Tvinga fram det om du vill. När dina testanvändare kommer in ger du alla som behöver MuchSkills åtkomst i din leverantör och slår sedan på Enforce SAML. Personer på dina domäner kan då bara logga in med SAML/SSO. Admins kan fortfarande logga in med lösenord.
Kontrollera att det fungerar
- Din testanvändare når MuchSkills via leverantörens inloggning efter att ha klickat på Continue with SAML.
- Under Team/Org › Settings › Manage Members har personer som loggar in med single sign-on en SAML-etikett bredvid sitt namn.
Benefits
Det här får du
- En inloggning. Alla använder kontot de redan har hos din identitetsleverantör.
- Åtkomst på ett ställe. Din leverantör avgör vem som får logga in, enligt dina egna inloggningspolicyer, som multifaktorautentisering.
- Den som slutar förlorar åtkomsten. När du har gjort single sign-on obligatoriskt kan den som du inaktiverar i leverantören inte längre logga in i MuchSkills.
Important to know
Bra att veta
OneLogin. Gå till Applications › Applications › Add Apps och sök efter SAML Custom Connector (Advanced). På fliken Configuration anger du din SSO URL i Audience (EntityID) och din SSO URL i både Recipient och ACS (Consumer) URL. ACS (Consumer) URL Validator tar ett reguljärt uttryck; ^https:\/\/app\.muchskills\.com\/auth\/saml\/.*$ matchar SSO URL:er för MuchSkills. Behåll SAML nameID format som Email. På fliken SSO kopierar du Issuer URL: det är metadata-URL:en för MuchSkills. OneLogin: SAML Custom Connector (Advanced) · OneLogin: konfigurera SAML-appar
JumpCloud. Gå till Access › SSO Applications › + Add New Application, välj Custom Application och sedan Manage Single Sign-On (SSO) och Configure SSO with SAML. Ge appen en Display Label, klicka på Save Application och sedan på Configure Application. Fyll i din SSO URL både i SP Entity ID och i ACS URLs. IdP Entity ID kan du döpa till vad du vill, MuchSkills hämtar det från metadatan. SAMLSubject NameID är satt till e-post som standard och kan stå kvar så. Spara och klicka sedan på Copy Metadata URL. Åtkomst ger du via User Groups. JumpCloud: anpassade SAML-kopplingar · JumpCloud: kopplingens fält
PingOne. Gå till Applications › Applications och klicka på plusikonen. Ange ett Application Name, välj SAML Application och klicka på Configure. Välj Manually Enter, ange din SSO URL i ACS URLs och även i Entity ID, och klicka sedan på Save. På fliken Configuration ställer du in Subject NameID format på formatet emailAddress. Under Attribute Mappings mappar du subject till Email Address. Slå på applikationen med reglaget, ge åtkomst på fliken Access med en Group Membership Policy och kopiera IDP Metadata URL från fliken Overview. PingOne: lägga till en applikation · PingOne: SAML-inställningar · PingOne: IdP-metadata
AD FS. I AD FS Management klickar du på Add Relying Party Trust, väljer Claims aware och sedan Enter data about the relying party manually. Ge den namnet MuchSkills. Under Configure URL markerar du Enable support for the SAML 2.0 WebSSO protocol och anger din SSO URL som Relying party SAML 2.0 SSO service URL. Under Configure Identifiers lägger du till din SSO URL. Välj en åtkomstprincip och slutför. Öppna sedan Edit Claim Issuance Policy och lägg till två regler: Send LDAP Attributes as Claims, som mappar E-Mail-Addresses till E-Mail Address, och Transform an Incoming Claim, som gör om E-Mail Address till Name ID med formatet Email. Din metadata-URL är din AD FS-värd följd av /FederationMetadata/2007-06/FederationMetadata.xml, till exempel https://sts.example.com/FederationMetadata/2007-06/FederationMetadata.xml. Den måste gå att nå från internet. Microsoft: skapa ett förtroende för förlitande part · Microsoft: skicka LDAP-attribut som anspråk · Microsoft: transformera ett inkommande anspråk · Microsoft: slutpunkten för federationsmetadata
E-postadresserna måste stämma överens. Om adressen som din leverantör skickar skiljer sig från e-postadressen på personens MuchSkills-konto kan MuchSkills inte matcha dem.
Single sign-on sköter bara inloggningen. Om du vill att personer läggs in i MuchSkills automatiskt kan du använda SCIM-provisionering, om din leverantör stöder det, eller koppla ditt HR-system.
Certifikatbyten plockas upp automatiskt. MuchSkills läser signeringscertifikatet från din metadata-URL, så ett certifikatbyte hos din leverantör kräver ingen ändring i MuchSkills. Om du själv lägger upp en metadatafil byter du ut filen när certifikatet ändras.
Domänerna läggs upp av MuchSkills. Vi lägger till dina e-postdomäner när vi konfigurerar SAML åt dig; admins kan inte lägga till dem i appen. Kontakta supporten om du senare vill lägga till eller ta bort en domän.
Admins behåller möjligheten att logga in med lösenord. Även när Enforce SAML är påslaget kan admins fortfarande logga in med lösenord. Skydda de lösenordsinloggningarna med tvåfaktorsautentisering.
Common errors
Felsökning
| Det här ser du | Orsak | Gör så här |
|---|---|---|
| Din leverantör avvisar begäran med hänvisning till audience, issuer eller entity | SP Entity ID i din leverantör stämmer inte med det Entity ID som MuchSkills skickar | Ange din SSO URL exakt, inklusive din organisations ID i slutet. Många leverantörer skiljer på stora och små bokstäver |
| Din leverantör avvisar begäran med hänvisning till ACS URL eller reply URL | ACS URL i din leverantör stämmer inte exakt med din SSO URL | Kopiera SSO URL från Security & SAML igen |
| Du loggar in hos din leverantör men kommer inte till MuchSkills | Name ID är inte e-postadressen, eller så går metadata-URL:en inte att läsa | Kontrollera inställningarna för Name ID och öppna metadata-URL:en i en webbläsare för att se att den går att ladda |
| This email is not configured to use SAML/SSO | E-postadressens domän finns inte under Email domains, eller så är Enable SAML avstängt | Kontrollera domänerna och reglaget på Security & SAML. Be supporten lägga till en domän som saknas |
| No account with this email exists | Det finns inget konto i MuchSkills för den e-postadress som din leverantör skickade | Kontrollera värdet för Name ID. Bjud in personen om hen inte har något konto ännu |
| Fältet IDP Metadata URL är utgråat | Ingen e-postdomän har lagts till ännu | Be supporten lägga till dina domäner (steg 1) |
| Enable SAML går inte att slå på | Domän eller IDP Metadata URL saknas fortfarande | Slutför steg 1 och 7 först |
| This email is enforced to log in using SAML/SSO | Enforce SAML är på och personen försökte logga in med lösenord | Klicka på Continue with SAML och logga in hos din leverantör |
Vanliga frågor
Fungerar MuchSkills med vår identitetsleverantör?
Ja, om den stöder SAML 2.0 och kan skicka e-postadressen som Name ID. Det gäller OneLogin, JumpCloud, PingOne, AD FS och de flesta andra. Microsoft Entra ID, Okta och Google Workspace har egna steg-för-steg-guider.
Vilka värden behöver vår identitetsleverantör från MuchSkills?
Två: ACS URL, som är SSO URL på din Security & SAML-skärm, och Entity ID, som är samma SSO URL med din organisations ID i slutet.
Vad behöver MuchSkills från vår identitetsleverantör?
En metadata-URL. Klistra in den i IDP Metadata URL på Security & SAML-skärmen. MuchSkills läser inloggningsadressen och certifikatet därifrån.
Vår leverantör ger oss bara en metadatafil. Vad gör vi?
Lägg upp filen på en HTTPS-adress som MuchSkills kan nå och klistra in den adressen, eller skicka filen till supporten så lägger vi till den åt dig.
Vilket Name ID ska vi skicka?
Personens e-postadress, i e-postadressformat. Det måste vara den adress hen använder för MuchSkills.
Kan vi testa med ett fåtal personer först?
Ja. Ge bara dina testanvändare åtkomst till appen i din identitetsleverantör och låt Enforce SAML vara avstängt. Alla andra fortsätter logga in som tidigare.
Kan man fortfarande logga in med lösenord?
Ja, tills du slår på Enforce SAML. Därefter kan personer med en e-postadress på dina domäner bara logga in med SAML/SSO. Admins kan fortfarande logga in med lösenord.
Kan vår identitetsleverantör också skapa användare i MuchSkills?
Ja, om den stöder SCIM 2.0. Se SCIM-provisionering: så fungerar det.
Ingår single sign-on i vårt abonnemang?
Ja. Alla MuchSkills-abonnemang inkluderar single sign-on (SAML) och SCIM-provisionering.