Integrazione con identity provider (SSO/SAML)

Integrazione fluida con la Sua infrastruttura di identità

Gli strumenti di collaborazione aziendale devono inserirsi nell’infrastruttura esistente di gestione delle identità e degli accessi. Costringere gli utenti a gestire un ennesimo set di credenziali non è solo scomodo — è una vulnerabilità di sicurezza. Password dimenticate, riuso delle credenziali e accessi non governati aumentano tutti la superficie di attacco.

Mandraki supporta l’integrazione con l’identity provider (IdP) della Sua organizzazione tramite protocolli standard del settore, abilitando single sign-on, provisioning automatizzato degli utenti e governance centralizzata degli accessi.

Protocolli supportati

SAML 2.0

Mandraki agisce come Service Provider (SP) SAML, integrandosi con qualsiasi Identity Provider conforme a SAML 2.0. Tra questi rientrano Microsoft Entra ID (precedentemente Azure AD), Okta, OneLogin, Ping Identity, Keycloak e ADFS.

La configurazione richiede lo scambio di metadati tra il Suo IdP e Mandraki. Una volta configurato, gli utenti si autenticano attraverso il flusso di login del Suo IdP e vengono reindirizzati a Mandraki con un’asserzione firmata. Mandraki valida l’asserzione, crea o aggiorna il record utente e stabilisce una sessione.

OpenID Connect (OIDC)

Per le organizzazioni che preferiscono OIDC, Mandraki supporta il flusso Authorization Code con PKCE. Ciò è particolarmente rilevante per le organizzazioni che usano piattaforme di identità moderne o servizi di autenticazione su misura che espongono endpoint OIDC.

Provisioning automatizzato degli utenti

Provisioning Just-in-Time (JIT)

Quando un utente si autentica tramite SSO per la prima volta, Mandraki crea automaticamente il suo account e lo assegna all’organizzazione corretta in base agli attributi di identità presenti nell’asserzione SAML o nei claim OIDC. Non è richiesta alcuna creazione manuale dell’account.

Gli attributi mappati dall’IdP includono tipicamente:

• Indirizzo e-mail (obbligatorio)
• Nome visualizzato
• Reparto o appartenenza a gruppi
• Ruolo (mappato sui ruoli Mandraki: Owner, Admin o Member)

Provisioning SCIM

Per le organizzazioni che richiedono una gestione del ciclo di vita — creare account prima del primo login, aggiornare gli attributi e disattivare gli account alla cessazione del rapporto — Mandraki supporta il protocollo SCIM 2.0. Il Suo IdP invia le modifiche di utenti e gruppi all’endpoint SCIM di Mandraki, mantenendo la directory utenti sincronizzata automaticamente.

Ciò garantisce che, quando un dipendente viene rimosso dal Suo IdP, il suo accesso a Mandraki venga revocato immediatamente, senza attendere che un amministratore si ricordi di disattivare manualmente l’account.

Verifica del dominio e auto-cattura

Le organizzazioni possono rivendicare e verificare il proprio dominio e-mail all’interno di Mandraki. Una volta verificato, diventano disponibili diverse potenti funzionalità di governance.

Auto-cattura. I nuovi utenti che si registrano con un indirizzo e-mail corrispondente al Suo dominio verificato vengono automaticamente aggiunti alla Sua organizzazione, anziché creare un account personale autonomo. Ciò previene lo shadow IT — utenti che adottano Mandraki al di fuori della governance della Sua organizzazione.

Blocco della registrazione personale. È possibile impedire del tutto agli utenti con il Suo dominio di creare account personali, garantendo che ogni utilizzo di Mandraki da parte dei Suoi dipendenti avvenga all’interno della Sua organizzazione gestita.

Verifica DNS. La proprietà del dominio viene verificata aggiungendo un record TXT al DNS del Suo dominio. È una configurazione una tantum che fornisce un controllo di governance continuo.

Supporto multi-organizzazione

Il modello di identità di Mandraki supporta utenti che appartengono a più organizzazioni. Un consulente che lavora con tre clienti, ciascuno con la propria organizzazione Mandraki, può passare dall’una all’altra senza disconnettersi e riconnettersi. L’integrazione SSO rispetta questo modello — ogni organizzazione può avere la propria configurazione IdP e gli utenti si autenticano contro l’IdP appropriato per ciascuna organizzazione.

Considerazioni di sicurezza

Nessuna conservazione di password per gli utenti SSO. Quando SSO è abilitato, Mandraki non conserva password per gli utenti federati. L’autenticazione è completamente delegata al Suo IdP e Mandraki conserva soltanto l’identificatore esterno e gli attributi mappati.

SSO obbligatorio. Le organizzazioni possono imporre che tutti i membri si autentichino tramite SSO, impedendo l’uso del login con e-mail e password. Ciò garantisce che le policy di autenticazione del Suo IdP — autenticazione a più fattori, accesso condizionato, durata della sessione — siano applicate in modo coerente.

Gestione delle sessioni. Mandraki emette i propri token JWT dopo l’autenticazione SSO, con scadenza configurabile. Quando la sessione di un utente nell’IdP viene revocata, la sua sessione Mandraki scade al successivo refresh del token, garantendo una revoca tempestiva dell’accesso.

Per iniziare

La configurazione di SSO richiede tipicamente meno di trenta minuti. Il Suo amministratore IT aggiunge Mandraki come applicazione SAML o OIDC nel Suo IdP, scambia i metadati e abilita SSO nelle impostazioni dell’organizzazione Mandraki. Guide di configurazione dettagliate per ciascuno dei principali identity provider sono disponibili nella nostra base di conoscenza.