Integration med identitetsudbyder (SSO/SAML)

Problemfri integration med jeres identitetsinfrastruktur

Virksomhedssamarbejdsværktøjer skal passe ind i den eksisterende infrastruktur for identitets- og adgangshåndtering. At kræve, at brugerne administrerer endnu et sæt legitimationsoplysninger, er ikke blot ubelejligt — det er en sikkerhedsrisiko. Glemte adgangskoder, genbrug af legitimationsoplysninger og uovervåget adgang øger alle angrebsfladen.

Mandraki understøtter integration med jeres organisations identitetsudbyder (IdP) gennem industristandard-protokoller, hvilket muliggør single sign-on, automatiseret brugerprovisionering og centraliseret adgangsstyring.

Understøttede protokoller

SAML 2.0

Mandraki fungerer som SAML Service Provider (SP) og integrerer med enhver SAML 2.0-kompatibel identitetsudbyder. Dette inkluderer Microsoft Entra ID (tidligere Azure AD), Okta, OneLogin, Ping Identity, Keycloak og ADFS.

Konfiguration kræver udveksling af metadata mellem jeres IdP og Mandraki. Når den er konfigureret, autentificerer brugerne gennem jeres IdP’s login-flow og omdirigeres til Mandraki med en signeret assertion. Mandraki validerer assertionen, opretter eller opdaterer brugerposten og etablerer en session.

OpenID Connect (OIDC)

For organisationer, der foretrækker OIDC, understøtter Mandraki Authorization Code-flowet med PKCE. Dette er især relevant for organisationer, der bruger moderne identitetsplatforme eller specialbyggede autentificeringstjenester, der eksponerer OIDC-endpoints.

Automatiseret brugerprovisionering

Just-in-Time (JIT) provisionering

Når en bruger autentificerer via SSO for første gang, opretter Mandraki automatisk deres konto og tildeler dem til den korrekte organisation baseret på identitetsattributterne i SAML-assertionen eller OIDC-claims. Ingen manuel kontooprettelse er nødvendig.

Attributter mappet fra IdP’en inkluderer typisk:

• E-mailadresse (påkrævet)
• Vist navn
• Afdeling eller gruppemedlemskab
• Rolle (mappet til Mandraki-roller: Owner, Admin eller Member)

SCIM-provisionering

For organisationer, der kræver livscyklusstyring — oprettelse af konti før første login, opdatering af attributter og deaktivering af konti, når medarbejdere forlader virksomheden — understøtter Mandraki SCIM 2.0-protokollen. Jeres IdP sender bruger- og gruppeændringer til Mandrakis SCIM-endpoint, hvilket holder brugerkataloget synkroniseret automatisk.

Dette sikrer, at når en medarbejder offboardes i jeres IdP, tilbagekaldes deres Mandraki-adgang øjeblikkeligt, uden at vente på, at en administrator husker at deaktivere kontoen manuelt.

Domæneverifikation og auto-capture

Organisationer kan gøre krav på og verificere deres e-maildomæne i Mandraki. Når det er verificeret, bliver flere kraftfulde styringsfunktioner tilgængelige.

Auto-capture. Nye brugere, der tilmelder sig med en e-mailadresse, der matcher jeres verificerede domæne, tilføjes automatisk til jeres organisation i stedet for at oprette en separat personlig konto. Dette forhindrer shadow IT — brugere, der tager Mandraki i brug uden for jeres organisations styring.

Bloker personlig tilmelding. I kan helt forhindre, at brugere med jeres domæne opretter personlige konti, hvilket sikrer, at al brug af Mandraki blandt jeres medarbejdere er inden for jeres administrerede organisation.

DNS-verifikation. Domæneejerskab verificeres ved at tilføje en TXT-post til jeres domænes DNS. Dette er en engangsopsætning, der giver løbende styringskontrol.

Understøttelse af flere organisationer

Mandrakis identitetsmodel understøtter brugere, der tilhører flere organisationer. En konsulent, der arbejder med tre kunder, hver med deres egen Mandraki-organisation, kan skifte mellem dem uden at logge ud og ind igen. SSO-integrationen respekterer denne model — hver organisation kan have sin egen IdP-konfiguration, og brugerne autentificerer mod den passende IdP for hver organisation.

Sikkerhedsovervejelser

Ingen adgangskodelagring for SSO-brugere. Når SSO er aktiveret, lagrer Mandraki ikke adgangskoder for fødererede brugere. Autentificering uddelegeres helt til jeres IdP, og Mandraki lagrer kun den eksterne identifikator og de mappede attributter.

Tvungen SSO. Organisationer kan kræve, at alle medlemmer autentificerer via SSO, hvilket forhindrer brug af e-mail/adgangskode-login. Dette sikrer, at jeres IdP’s autentificeringspolitikker — multifaktor-autentificering, conditional access, sessionsvarighed — anvendes konsekvent.

Sessionsstyring. Mandraki udsteder sine egne JWT-tokens efter SSO-autentificering med konfigurerbar udløbstid. Når en brugers IdP-session tilbagekaldes, udløber deres Mandraki-session ved næste token-fornyelse, hvilket sikrer rettidig tilbagekaldelse af adgang.

Kom i gang

Konfiguration af SSO tager typisk under tredive minutter. Jeres IT-administrator tilføjer Mandraki som en SAML- eller OIDC-applikation i jeres IdP, udveksler metadata og aktiverer SSO i Mandrakis organisationsindstillinger. Detaljerede konfigurationsvejledninger for hver større identitetsudbyder findes i vores vidensbase.