Integrare cu furnizorul de identitate (SSO/SAML)

Integrare fără cusur cu infrastructura dvs. de identitate

Instrumentele de colaborare pentru întreprinderi trebuie să se încadreze în infrastructura existentă de gestionare a identității și a accesului. Solicitarea utilizatorilor să gestioneze încă un set de credențiale nu este doar incomodă — este o vulnerabilitate de securitate. Parolele uitate, reutilizarea credențialelor și accesul neguvernat cresc cu toate suprafața de atac.

Mandraki suportă integrarea cu furnizorul de identitate (IdP) al organizației dvs. prin protocoale standard din industrie, permițând autentificarea unică, aprovizionarea automatizată a utilizatorilor și guvernanța centralizată a accesului.

Protocoale suportate

SAML 2.0

Mandraki acționează ca furnizor de servicii (SP) SAML, integrându-se cu orice furnizor de identitate compatibil SAML 2.0. Acesta include Microsoft Entra ID (fostul Azure AD), Okta, OneLogin, Ping Identity, Keycloak și ADFS.

Configurarea necesită schimbul de metadate între IdP-ul dvs. și Mandraki. Odată configurat, utilizatorii se autentifică prin fluxul de autentificare al IdP-ului dvs. și sunt redirecționați către Mandraki cu o aserțiune semnată. Mandraki validează aserțiunea, aprovizionează sau actualizează înregistrarea utilizatorului și stabilește o sesiune.

OpenID Connect (OIDC)

Pentru organizațiile care preferă OIDC, Mandraki suportă fluxul Authorization Code cu PKCE. Acest lucru este deosebit de relevant pentru organizațiile care folosesc platforme moderne de identitate sau servicii personalizate de autentificare care expun endpoint-uri OIDC.

Aprovizionarea automatizată a utilizatorilor

Aprovizionare Just-in-Time (JIT)

Atunci când un utilizator se autentifică prin SSO pentru prima dată, Mandraki îi creează automat contul și îl atribuie organizației corecte pe baza atributelor de identitate din aserțiunea SAML sau din declarațiile OIDC. Nu este necesară crearea manuală a contului.

Atributele mapate de la IdP includ de obicei:

• Adresa de e-mail (obligatoriu)
• Numele afișat
• Departamentul sau apartenența la grup
• Rolul (mapat la rolurile Mandraki: Owner, Admin sau Member)

Aprovizionare SCIM

Pentru organizațiile care au nevoie de gestionarea ciclului de viață — crearea conturilor înainte de prima autentificare, actualizarea atributelor și dezactivarea conturilor atunci când angajații pleacă — Mandraki suportă protocolul SCIM 2.0. IdP-ul dvs. trimite modificările de utilizatori și grupuri către endpoint-ul SCIM al Mandraki, menținând directorul de utilizatori sincronizat automat.

Astfel, atunci când un angajat este dezactivat în IdP-ul dvs., accesul său la Mandraki este revocat imediat, fără a aștepta ca un administrator să își amintească să dezactiveze manual contul.

Verificarea domeniului și auto-captura

Organizațiile își pot revendica și verifica domeniul de e-mail în Mandraki. Odată verificat, devin disponibile mai multe funcții puternice de guvernanță.

Auto-captură. Utilizatorii noi care se înregistrează cu o adresă de e-mail care se potrivește cu domeniul dvs. verificat sunt adăugați automat la organizația dvs., în loc să creeze un cont personal autonom. Acest lucru previne shadow IT-ul — utilizatorii care adoptă Mandraki în afara guvernanței organizației dvs.

Blocarea înregistrării personale. Puteți împiedica complet utilizatorii cu domeniul dvs. să creeze conturi personale, garantând că toată utilizarea Mandraki de către angajații dvs. se face în cadrul organizației dvs. gestionate.

Verificare DNS. Proprietatea domeniului este verificată prin adăugarea unei înregistrări TXT la DNS-ul domeniului dvs. Aceasta este o configurare unică care oferă control continuu de guvernanță.

Suport pentru organizații multiple

Modelul de identitate al Mandraki suportă utilizatorii care aparțin mai multor organizații. Un consultant care lucrează cu trei clienți, fiecare cu propria sa organizație Mandraki, poate comuta între ele fără a se deconecta și a se reconecta. Integrarea SSO respectă acest model — fiecare organizație poate avea propria configurare IdP, iar utilizatorii se autentifică în fața IdP-ului corespunzător pentru fiecare organizație.

Considerații de securitate

Fără stocarea parolelor pentru utilizatorii SSO. Atunci când SSO este activat, Mandraki nu stochează parole pentru utilizatorii federați. Autentificarea este delegată în întregime IdP-ului dvs., iar Mandraki stochează doar identificatorul extern și atributele mapate.

SSO obligatoriu. Organizațiile pot solicita ca toți membrii să se autentifice prin SSO, împiedicând utilizarea autentificării cu e-mail/parolă. Acest lucru garantează că politicile de autentificare ale IdP-ului dvs. — autentificare cu factori multipli, acces condiționat, durata sesiunii — se aplică în mod consecvent.

Gestionarea sesiunii. Mandraki emite propriile token-uri JWT după autentificarea SSO, cu expirare configurabilă. Atunci când sesiunea unui utilizator în IdP este revocată, sesiunea sa Mandraki expiră la următoarea reîmprospătare a token-ului, garantând revocarea promptă a accesului.

Cum începeți

Configurarea SSO durează de obicei mai puțin de treizeci de minute. Administratorul dvs. IT adaugă Mandraki ca aplicație SAML sau OIDC în IdP-ul dvs., schimbă metadate și activează SSO în setările organizației Mandraki. Ghiduri detaliate de configurare pentru fiecare furnizor major de identitate sunt disponibile în baza noastră de cunoștințe.