Integrering av identitetsleverantör (SSO/SAML)

Sömlös integration med din identitetsinfrastruktur

Verktyg för företagssamarbete måste passa in i befintlig infrastruktur för identitets- och åtkomsthantering. Att kräva att användarna hanterar ännu en uppsättning inloggningsuppgifter är inte bara besvärligt – det är en säkerhetsrisk. Glömda lösenord, återanvända inloggningsuppgifter och oreglerad åtkomst ökar alla angreppsytan.

Mandraki stöder integration med din organisations identitetsleverantör (IdP) via branschstandardprotokoll, vilket möjliggör enkel inloggning, automatiserad provisionering av användare och centraliserad åtkomststyrning.

Stödda protokoll

SAML 2.0

Mandraki fungerar som en SAML-tjänsteleverantör (SP) och integrerar med alla SAML 2.0-kompatibla identitetsleverantörer. Det inkluderar Microsoft Entra ID (tidigare Azure AD), Okta, OneLogin, Ping Identity, Keycloak och ADFS.

Konfigurationen kräver att metadata utbyts mellan din IdP och Mandraki. När konfigurationen är klar autentiserar användarna via din IdP:s inloggningsflöde och omdirigeras till Mandraki med ett signerat SAML-påstående. Mandraki validerar påståendet, skapar eller uppdaterar användarposten och upprättar en session.

OpenID Connect (OIDC)

För organisationer som föredrar OIDC stöder Mandraki auktoriseringskodflödet med PKCE. Detta är särskilt relevant för organisationer som använder moderna identitetsplattformar eller anpassade autentiseringstjänster som exponerar OIDC-slutpunkter.

Mandraki som er identitetsleverantör

Mandraki kan också vara identitetsleverantör för era andra system. Mandraki är en standardkompatibel OpenID Connect-leverantör: varje applikation som erbjuder “logga in med Okta”, “logga in med Microsoft” eller generisk OIDC-inloggning kan i stället pekas mot Mandraki, så att era HR-, tidrapporterings- eller ärendesystem använder samma konton, samma MFA-policy och samma sessionskontroll som Mandraki självt.

Administratörer registrerar varje applikation i Säkerhetscentret, väljer vilka uppgifter den får (identifierare, namn, e-post, organisationsroll) och kan när som helst rotera dess uppgifter eller återkalla den. Discovery, signeringsnycklar och användarinformation publiceras på standardadresserna, så integrationen består av att ange issuer-URL och ett klient-ID. All identitetsdata stannar på Mandrakis infrastruktur inom EU.

Automatiserad provisionering av användare

Just-in-time-provisionering (JIT)

När en användare autentiserar via SSO för första gången skapar Mandraki automatiskt ett konto och kopplar användaren till rätt organisation baserat på identitetsattributen i SAML-påståendet eller OIDC-anspråken. Inga konton behöver skapas manuellt.

Attribut som mappas från IdP inkluderar vanligtvis:

• E-postadress (obligatorisk)
• Visningsnamn
• Avdelning eller gruppmedlemskap
• Roll (mappad till Mandraki-roller: Ägare, Admin eller Medlem)

SCIM-provisionering

För organisationer som behöver livscykelhantering – skapa konton före första inloggningen, uppdatera attribut och inaktivera konton när anställda slutar – stöder Mandraki SCIM 2.0-protokollet. Din IdP skickar användar- och gruppändringar till Mandrakis SCIM-slutpunkt, vilket håller användarkatalogen automatiskt synkroniserad.

På så sätt återkallas den anställdes Mandraki-åtkomst omedelbart när kontot avaktiveras i din IdP, utan att en administratör behöver komma ihåg att inaktivera kontot manuellt.

Domänverifiering och automatisk anslutning

Organisationer kan göra anspråk på och verifiera sin e-postdomän i Mandraki. När domänen har verifierats blir flera kraftfulla styrningsfunktioner tillgängliga.

Automatisk anslutning. Nya användare som registrerar sig med en e-postadress som matchar din verifierade domän läggs automatiskt till i din organisation i stället för att skapa ett fristående personligt konto. Det förhindrar skugg-IT – att användare börjar använda Mandraki utanför din organisations styrning.

Blockera personlig registrering. Du kan helt hindra användare med din domän från att skapa personliga konton, vilket säkerställer att alla anställdas användning av Mandraki sker inom din hanterade organisation.

DNS-verifiering. Domänägarskapet verifieras genom att en TXT-post läggs till i din domäns DNS. Det är en engångsåtgärd som ger fortlöpande styrningskontroll.

Stöd för flera organisationer

Mandrakis identitetsmodell stöder användare som tillhör flera organisationer. En konsult som arbetar med tre kunder, var och en med sin egen Mandraki-organisation, kan växla mellan dem utan att logga ut och in igen. SSO-integrationen respekterar den här modellen – varje organisation kan ha sin egen IdP-konfiguration, och användarna autentiserar mot rätt IdP för respektive organisation.

Säkerhetsaspekter

Ingen lösenordslagring för SSO-användare. När SSO är aktiverat lagrar Mandraki inga lösenord för federerade användare. Autentiseringen delegeras helt till din IdP, och Mandraki lagrar endast den externa identifieraren och de mappade attributen.

Påtvingad SSO. Organisationer kan kräva att alla medlemmar autentiserar via SSO och därmed blockera inloggning med e-post och lösenord. Det säkerställer att din IdP:s autentiseringsregler – multifaktorautentisering, villkorsstyrd åtkomst och sessionslängd – tillämpas konsekvent.

Sessionshantering. Mandraki utfärdar egna JWT-token efter SSO-autentisering, med konfigurerbar giltighetstid. När en användares IdP-session återkallas upphör Mandraki-sessionen att gälla vid nästa tokenförnyelse, vilket säkerställer att åtkomsten återkallas i tid.

Komma igång

Att konfigurera SSO tar vanligtvis mindre än trettio minuter. Din IT-administratör lägger till Mandraki som en SAML- eller OIDC-applikation i din IdP, utbyter metadata och aktiverar SSO i organisationsinställningarna i Mandraki. Detaljerade konfigurationsguider för varje större identitetsleverantör finns i vår kunskapsbas.