Integracja z dostawcą tożsamości (SSO/SAML)

Płynna integracja z Państwa infrastrukturą tożsamości

Korporacyjne narzędzia współpracy muszą wpasować się w istniejącą infrastrukturę zarządzania tożsamością i dostępem. Wymaganie od użytkowników zarządzania kolejnym zestawem poświadczeń to nie tylko niedogodność — to luka bezpieczeństwa. Zapomniane hasła, ponowne użycie poświadczeń i niezarządzany dostęp zwiększają powierzchnię ataku.

Mandraki obsługuje integrację z dostawcą tożsamości (IdP) Państwa organizacji poprzez standardy branżowe, umożliwiając jednokrotne logowanie, automatyczne provisionowanie użytkowników i scentralizowane zarządzanie dostępem.

Obsługiwane protokoły

SAML 2.0

Mandraki działa jako dostawca usług (SP) SAML, integrując się z dowolnym dostawcą tożsamości zgodnym z SAML 2.0. Obejmuje to Microsoft Entra ID (dawniej Azure AD), Okta, OneLogin, Ping Identity, Keycloak i ADFS.

Konfiguracja wymaga wymiany metadanych między Państwa IdP a Mandraki. Po skonfigurowaniu użytkownicy uwierzytelniają się przez przepływ logowania Państwa IdP i są przekierowywani do Mandraki z podpisaną asercją. Mandraki waliduje asercję, tworzy lub aktualizuje rekord użytkownika i ustanawia sesję.

OpenID Connect (OIDC)

Dla organizacji, które wolą OIDC, Mandraki obsługuje przepływ Authorization Code z PKCE. Jest to szczególnie istotne dla organizacji korzystających z nowoczesnych platform tożsamości lub własnych usług uwierzytelniania udostępniających punkty końcowe OIDC.

Automatyczne provisionowanie użytkowników

Provisionowanie just-in-time (JIT)

Gdy użytkownik uwierzytelnia się przez SSO po raz pierwszy, Mandraki automatycznie tworzy jego konto i przypisuje go do właściwej organizacji na podstawie atrybutów tożsamości w asercji SAML lub roszczeniach OIDC. Nie jest wymagane ręczne tworzenie konta.

Atrybuty mapowane z IdP zazwyczaj obejmują:

• Adres e-mail (wymagany)
• Wyświetlana nazwa
• Przynależność do działu lub grupy
• Rola (mapowana na role Mandraki: Owner, Admin lub Member)

Provisionowanie SCIM

Dla organizacji wymagających zarządzania cyklem życia — tworzenia kont przed pierwszym logowaniem, aktualizowania atrybutów i dezaktywacji kont po odejściu pracowników — Mandraki obsługuje protokół SCIM 2.0. Państwa IdP wypycha zmiany użytkowników i grup do punktu końcowego SCIM Mandraki, automatycznie utrzymując katalog użytkowników w synchronizacji.

Dzięki temu, gdy pracownik zostaje zwolniony w Państwa IdP, jego dostęp do Mandraki jest natychmiast cofany, bez konieczności pamiętania administratora o ręcznym wyłączeniu konta.

Weryfikacja domeny i auto-capture

Organizacje mogą zgłaszać i weryfikować swoją domenę pocztową w Mandraki. Po zweryfikowaniu udostępnianych jest kilka potężnych funkcji zarządzania.

Auto-capture. Nowi użytkownicy rejestrujący się z adresem e-mail pasującym do Państwa zweryfikowanej domeny są automatycznie dodawani do Państwa organizacji, zamiast tworzyć samodzielne konto osobiste. Zapobiega to shadow IT — przyjmowaniu Mandraki przez użytkowników poza zarządzaniem Państwa organizacji.

Blokowanie rejestracji osobistych. Można uniemożliwić użytkownikom z Państwa domeny tworzenie kont osobistych całkowicie, zapewniając, że całe użycie Mandraki przez Państwa pracowników odbywa się w ramach zarządzanej organizacji.

Weryfikacja DNS. Własność domeny jest weryfikowana poprzez dodanie rekordu TXT w DNS Państwa domeny. Jest to jednorazowa konfiguracja zapewniająca trwałą kontrolę zarządzania.

Obsługa wielu organizacji

Model tożsamości Mandraki obsługuje użytkowników należących do wielu organizacji. Konsultant pracujący z trzema klientami, z których każdy ma własną organizację Mandraki, może przełączać się między nimi bez wylogowywania i ponownego logowania. Integracja SSO szanuje ten model — każda organizacja może mieć własną konfigurację IdP, a użytkownicy uwierzytelniają się względem właściwego IdP dla każdej organizacji.

Względy bezpieczeństwa

Brak przechowywania haseł dla użytkowników SSO. Gdy SSO jest włączone, Mandraki nie przechowuje haseł dla użytkowników federowanych. Uwierzytelnianie jest w całości delegowane do Państwa IdP, a Mandraki przechowuje jedynie zewnętrzny identyfikator i zmapowane atrybuty.

Wymuszone SSO. Organizacje mogą wymagać, aby wszyscy członkowie uwierzytelniali się przez SSO, uniemożliwiając logowanie poprzez e-mail i hasło. Zapewnia to spójne stosowanie polityk uwierzytelniania Państwa IdP — uwierzytelniania wieloskładnikowego, dostępu warunkowego, czasu trwania sesji.

Zarządzanie sesją. Mandraki wystawia własne tokeny JWT po uwierzytelnieniu SSO, z konfigurowalnym czasem wygaśnięcia. Gdy sesja użytkownika w IdP zostaje unieważniona, jego sesja w Mandraki wygasa przy następnym odświeżeniu tokenu, zapewniając terminowe cofnięcie dostępu.

Pierwsze kroki

Konfiguracja SSO zajmuje zwykle mniej niż trzydzieści minut. Państwa administrator IT dodaje Mandraki jako aplikację SAML lub OIDC w Państwa IdP, wymienia metadane i włącza SSO w ustawieniach organizacji Mandraki. Szczegółowe przewodniki konfiguracji dla każdego głównego dostawcy tożsamości są dostępne w naszej bazie wiedzy.