Integrace s poskytovatelem identit (SSO/SAML)

Bezproblémová integrace s vaší infrastrukturou identit

Podnikové nástroje pro spolupráci musí zapadat do existující infrastruktury správy identit a přístupu. Vyžadovat od uživatelů, aby spravovali další sadu pověření, není jen nepohodlné — je to bezpečnostní riziko. Zapomenutá hesla, opětovné používání pověření a neřízený přístup zvyšují útočnou plochu.

Mandraki podporuje integraci s poskytovatelem identit (IdP) vaší organizace prostřednictvím průmyslových standardních protokolů, čímž umožňuje jednotné přihlášení, automatizované zadávání uživatelů a centralizovanou správu přístupu.

Podporované protokoly

SAML 2.0

Mandraki funguje jako SAML Service Provider (SP) a integruje se s jakýmkoli poskytovatelem identit kompatibilním s SAML 2.0. To zahrnuje Microsoft Entra ID (dříve Azure AD), Okta, OneLogin, Ping Identity, Keycloak a ADFS.

Konfigurace vyžaduje výměnu metadat mezi vaším IdP a Mandraki. Po konfiguraci se uživatelé autentizují přes přihlašovací tok vašeho IdP a jsou přesměrováni na Mandraki s podepsaným tvrzením. Mandraki tvrzení ověří, zadá nebo aktualizuje uživatelský záznam a zahájí relaci.

OpenID Connect (OIDC)

Pro organizace, které preferují OIDC, Mandraki podporuje tok Authorization Code s PKCE. To je obzvláště relevantní pro organizace používající moderní identitní platformy nebo vlastní autentizační služby, které vystavují OIDC endpointy.

Automatizované zadávání uživatelů

Zadávání just-in-time (JIT)

Když se uživatel poprvé autentizuje přes SSO, Mandraki automaticky vytvoří jeho účet a přiřadí ho do správné organizace na základě atributů identity v SAML tvrzení nebo OIDC nárocích. Není vyžadováno žádné manuální vytváření účtu.

Atributy mapované z IdP obvykle zahrnují:

• E-mailovou adresu (povinné)
• Zobrazované jméno
• Členství v oddělení nebo skupině
• Roli (mapovanou na role Mandraki: Owner, Admin nebo Member)

Zadávání SCIM

Pro organizace, které vyžadují správu životního cyklu — vytváření účtů před prvním přihlášením, aktualizaci atributů a deaktivaci účtů, když zaměstnanci odejdou — Mandraki podporuje protokol SCIM 2.0. Váš IdP posílá změny uživatelů a skupin do SCIM endpointu Mandraki a automaticky tak udržuje uživatelský adresář synchronizovaný.

Tím je zajištěno, že když je zaměstnanec offboardován ve vašem IdP, jeho přístup k Mandraki je okamžitě odebrán, aniž by se čekalo, až si administrátor vzpomene účet ručně deaktivovat.

Ověření domény a auto-capture

Organizace mohou nárokovat a ověřit svou e-mailovou doménu v rámci Mandraki. Po ověření je k dispozici několik výkonných funkcí správy.

Auto-capture. Noví uživatelé, kteří se zaregistrují s e-mailovou adresou odpovídající vaší ověřené doméně, jsou automaticky přidáni do vaší organizace, místo aby se vytvářel samostatný osobní účet. To zabraňuje stínovému IT — uživatelům přijímajícím Mandraki mimo správu vaší organizace.

Blokování osobní registrace. Můžete zcela zabránit uživatelům s vaší doménou ve vytváření osobních účtů, čímž zajistíte, že veškeré používání Mandraki vašimi zaměstnanci je v rámci vaší řízené organizace.

Ověření DNS. Vlastnictví domény je ověřeno přidáním TXT záznamu do DNS vaší domény. Jedná se o jednorázové nastavení, které poskytuje průběžnou kontrolu správy.

Podpora více organizací

Identitní model Mandraki podporuje uživatele, kteří patří do více organizací. Konzultant, který spolupracuje se třemi klienty, z nichž každý má vlastní organizaci v Mandraki, mezi nimi může přepínat bez odhlášení a opětovného přihlášení. Integrace SSO tento model respektuje — každá organizace může mít vlastní konfiguraci IdP a uživatelé se autentizují vůči příslušnému IdP pro každou organizaci.

Bezpečnostní úvahy

Žádné ukládání hesel pro SSO uživatele. Když je SSO povoleno, Mandraki neukládá hesla pro federované uživatele. Autentizace je zcela delegována na váš IdP a Mandraki ukládá pouze externí identifikátor a mapované atributy.

Vynucené SSO. Organizace mohou vyžadovat, aby se všichni členové autentizovali přes SSO, čímž zabrání použití přihlášení e-mailem/heslem. Tím je zajištěno, že autentizační politiky vašeho IdP — vícefaktorová autentizace, podmíněný přístup, doba trvání relace — se aplikují konzistentně.

Správa relací. Mandraki po SSO autentizaci vydává vlastní JWT tokeny s konfigurovatelnou expirací. Když je relace uživatele v IdP zrušena, jeho relace v Mandraki vyprší při dalším obnovení tokenu, čímž je zajištěno včasné odebrání přístupu.

Začínáme

Konfigurace SSO obvykle trvá méně než třicet minut. Váš IT administrátor přidá Mandraki jako SAML nebo OIDC aplikaci ve vašem IdP, vymění metadata a povolí SSO v nastavení organizace Mandraki. Podrobné konfigurační průvodce pro každého hlavního poskytovatele identit jsou k dispozici v naší znalostní bázi.