Single Sign-On (SSO)

Con il Single Sign-On i tuoi utenti accedono con l'account che usano già per lavoro: su Microsoft Entra ID (Microsoft 365), Google Workspace o un tuo provider OpenID Connect come Okta, Keycloak o Auth0. Così non serve più una password separata per allverto.

#Cosa ti serve

• L'autorizzazione Gestire gli utenti (solo un titolare attiva o disattiva l'SSO obbligatorio).
• Per Microsoft l'ID tenant della tua directory, per Google il dominio Workspace, per un tuo provider l'URL dell'emittente (Issuer), il Client ID e il Client secret.
• I domini e-mail con cui accedono le tue persone (ad es. azienda.it).

#Configurazione

Apri Ingranaggio → Sicurezza e scorri fino alla scheda Single Sign-On.

1. Attiva il Single Sign-On.
2. In Provider scegli Microsoft Entra ID, Google Workspace o Provider OpenID Connect personalizzato. Se un provider è in grigio, allverto non l'ha ancora configurato: toccandolo vedi il motivo.
3. Inserisci i dati del provider (vedi sotto).
4. In Domini e-mail consentiti aggiungi i tuoi domini. Solo gli indirizzi con questi domini accedono tramite Single Sign-On. Provider pubblici come gmail.com o web.de non sono possibili.
5. Salva e poi Prova accesso.

#Microsoft Entra ID

allverto ha una propria app multi-tenant presso Microsoft. Indichi solo quale directory vale:

1. Nell'interfaccia di amministrazione di Microsoft Entra copia l'ID tenant in Panoramica.
2. Incollalo in allverto in ID tenant (ID directory).
3. Al primo accesso Microsoft chiede il consenso per l'app «allverto». Se le persone non possono darlo da sole, un'amministratrice lo concede una volta per tutta l'organizzazione (Applicazioni aziendali → allverto → Autorizzazioni → Concedi il consenso amministratore).

Come indirizzo e-mail allverto usa il nome di accesso (UPN) dell'account, ad es. erika@azienda.it. Deve corrispondere all'indirizzo con cui la persona è invitata in allverto. allverto rifiuta gli account di altre directory, anche gli account guest.

#Google Workspace

1. In Dominio Google Workspace inserisci il dominio principale del tuo Workspace, ad es. azienda.it.
2. Fatto: allverto usa una propria app presso Google. L'accesso Google mostra solo gli account di questa organizzazione; gli account Gmail privati vengono rifiutati.

#Provider OpenID Connect personalizzato (Okta, Keycloak, Auth0 …)

1. Presso il provider crea una nuova applicazione di tipo Web (Authorization Code con PKCE).
2. Come URI di reindirizzamento inserisci l'indirizzo della scheda (pulsante Copia accanto a URI di reindirizzamento).
3. Consenti gli ambiti (scope) openid, email e profile.
4. In allverto inserisci l'URL dell'emittente (Issuer) (indirizzo https, ad es. https://azienda.okta.com), il Client ID e il Client secret e, se vuoi, un'Etichetta del pulsante (ad es. «Okta»).
5. Salva. Ogni dominio mostra poi un record TXT: crealo presso il tuo provider DNS e fai clic su Verifica. Solo i domini confermati possono accedere.

Il Client secret è conservato cifrato presso allverto e non viene più mostrato. Lasciando il campo vuoto resta quello salvato.

#Prova accesso

Prova accesso apre l'accesso del provider in un popup. Poi allverto mostra cosa è arrivato (ad es. e-mail, nome, directory) e se l'accesso funzionerebbe: tu non vieni connesso. I motivi di un rifiuto compaiono nel risultato, ad es. «Questo dominio e-mail non è abilitato per il Single Sign-On di questa azienda».

Salva prima di provare; dopo modifiche alle impostazioni serve una nuova prova prima che valga l'SSO obbligatorio.

#Accedere

• Nella pagina di accesso inserisci prima l'indirizzo e-mail. Se il dominio appartiene alla tua azienda, compare Accedi con Microsoft (o Google, o la tua etichetta).
• In Link diretto di accesso trovi un indirizzo come allverto.cloud/login/sso/tua-azienda che porta direttamente al provider: comodo come segnalibro o nella intranet.
• allverto associa l'account tramite l'indirizzo e-mail (maiuscole e minuscole non contano). La persona deve essere membro della tua azienda oppure essere creata automaticamente (vedi sotto). Chi lavora in più aziende cambia come sempre dal menu delle aziende.
• La sessione dura come con l'accesso tramite password; vale anche la disconnessione automatica per inattività.

#SSO obbligatorio

Con SSO obbligatorio tutti gli utenti dell'azienda accedono solo tramite Single Sign-On. All'attivazione terminano le sessioni con password in corso degli altri utenti. Chi lavora anche in un'azienda senza SSO obbligatorio può continuare ad accedervi con password; il passaggio alla tua azienda richiede però il Single Sign-On.

Requisiti:

Accesso di emergenza: i titolari possono continuare ad accedere con password nonostante l'SSO obbligatorio, ma solo con l'accesso a due fattori configurato. Così entrate in allverto anche se il provider ha problemi. Nella pagina di accesso c'è per questo Accedi come titolare con password (accesso di emergenza).

#Creare utenti automaticamente

Di norma accedono solo le persone invitate in allverto. Con Crea utenti automaticamente chiunque abbia un dominio consentito riceve al primo accesso un'utenza con il Ruolo predefinito scelto. Il ruolo Titolare non è selezionabile. Gli utenti disattivati restano disattivati.

Tieni presente: ogni nuovo utente attivo conta per l'abbonamento.

#Registro

Ogni accesso tramite Single Sign-On compare nel Log di sistema. Gli accessi rifiutati compaiono anche nel Firewall, sempre con il motivo, ad es. dominio non consentito, account di un'altra directory o nessun accesso nell'azienda. allverto non salva mai token né secret.

#Domande frequenti

#Nella pagina di accesso non compare il pulsante «Accedi con …».

Verifica che il Single Sign-On sia attivo, che il dominio dell'e-mail sia in Domini e-mail consentiti e, con un provider personalizzato, confermato tramite DNS. Il link diretto funziona comunque.

#«Per questo indirizzo e-mail non c'è un accesso nell'azienda.»

La persona non è invitata. Invitala in Utenti oppure attiva Crea utenti automaticamente. Con Microsoft: il nome di accesso (UPN) corrisponde all'indirizzo e-mail in allverto?

#Cosa succede se cambiamo piano?

Senza il piano Flotte il Single Sign-On è disattivato, anche l'SSO obbligatorio. Tutti accedono di nuovo con password («Password dimenticata?» ne imposta una nuova se serve). Le impostazioni restano salvate.