Logowanie jednokrotne (SSO)

Dzięki logowaniu jednokrotnemu użytkownicy logują się kontem, którego i tak używają w pracy – w Microsoft Entra ID (Microsoft 365), Google Workspace lub u własnego dostawcy OpenID Connect, np. Okta, Keycloak czy Auth0. Nie potrzebują wtedy osobnego hasła do allverto.

#Czego potrzebujesz

• Uprawnienia Zarządzanie użytkownikami (wymagane SSO włącza i wyłącza tylko właściciel).
• W Microsoft identyfikatora dzierżawy katalogu, w Google domeny Workspace, u własnego dostawcy adresu wystawcy (Issuer), identyfikatora klienta i sekretu klienta.
• Domen e-mail, którymi logują się Twoi pracownicy (np. firma.pl).

#Konfiguracja

Otwórz koło zębate → Bezpieczeństwo i przewiń do karty Logowanie jednokrotne.

1. Włącz logowanie jednokrotne.
2. W polu Dostawca wybierz Microsoft Entra ID, Google Workspace lub Własny dostawca OpenID Connect. Jeśli dostawca jest wyszarzony, allverto jeszcze go nie skonfigurowało – po kliknięciu zobaczysz powód.
3. Wpisz dane dostawcy (patrz niżej).
4. W polu Dozwolone domeny e-mail dodaj swoje domeny. Przez logowanie jednokrotne logują się tylko adresy z tymi domenami. Publiczni dostawcy jak gmail.com czy web.de nie są możliwi.
5. Zapisz, a potem Przetestuj logowanie.

#Microsoft Entra ID

allverto ma własną aplikację wielodzierżawczą w Microsoft. Podajesz tylko, który katalog obowiązuje:

1. W centrum administracyjnym Microsoft Entra skopiuj Identyfikator dzierżawy w sekcji Przegląd.
2. Wklej go w allverto w polu Identyfikator dzierżawy (identyfikator katalogu).
3. Przy pierwszym logowaniu Microsoft prosi o zgodę dla aplikacji „allverto”. Jeśli pracownicy nie mogą jej wyrazić sami, administratorka udziela jej raz dla całej organizacji (Aplikacje dla przedsiębiorstw → allverto → Uprawnienia → Udziel zgody administratora).

Jako adres e-mail allverto przyjmuje nazwę logowania (UPN) konta, np. erika@firma.pl. Musi ona odpowiadać adresowi, na który osoba została zaproszona do allverto. allverto odrzuca konta z innych katalogów – także konta gości.

#Google Workspace

1. W polu Domena Google Workspace wpisz główną domenę swojego Workspace, np. firma.pl.
2. Gotowe – allverto korzysta z własnej aplikacji w Google. Logowanie Google pokazuje tylko konta tej organizacji; prywatne konta Gmail są odrzucane.

#Własny dostawca OpenID Connect (Okta, Keycloak, Auth0 …)

1. U dostawcy utwórz nową aplikację typu Web (Authorization Code z PKCE).
2. Jako Redirect URI wpisz adres z karty (przycisk Kopiuj obok Redirect URI).
3. Zezwól na zakresy (scopes) openid, email i profile.
4. W allverto wpisz Adres wystawcy (Issuer) (adres https, np. https://firma.okta.com), Identyfikator klienta i Sekret klienta, a w razie potrzeby Napis na przycisku (np. „Okta”).
5. Zapisz. Każda domena pokaże potem rekord TXT: utwórz go u swojego dostawcy DNS i kliknij Sprawdź. Logować się można tylko z potwierdzonych domen.

Sekret klienta jest przechowywany w allverto w postaci zaszyfrowanej i nigdy więcej nie jest wyświetlany. Puste pole zachowuje zapisany sekret.

#Test logowania

Przetestuj logowanie otwiera logowanie u dostawcy w wyskakującym oknie. Następnie allverto pokazuje, co dotarło (np. e-mail, imię i nazwisko, katalog) i czy logowanie by się udało – nie zostajesz przy tym zalogowany. Powody odrzucenia są widoczne w wyniku, np. „Ta domena e-mail nie jest dozwolona dla logowania jednokrotnego tej firmy”.

Zapisz przed testem; zmienione ustawienia wymagają nowego testu, zanim zacznie obowiązywać wymagane SSO.

#Logowanie

• Na stronie logowania najpierw wpisz adres e-mail. Jeśli domena należy do Twojej firmy, pojawi się Zaloguj przez Microsoft (lub Google albo Twój napis).
• W polu Bezpośredni link do logowania jest adres w rodzaju allverto.cloud/login/sso/twoja-firma, który prowadzi prosto do dostawcy – wygodny jako zakładka lub w intranecie.
• allverto przypisuje konto na podstawie adresu e-mail (wielkość liter nie ma znaczenia). Osoba musi być członkiem Twojej firmy – albo zostać utworzona automatycznie (patrz niżej). Kto pracuje w kilku firmach, przełącza się jak zwykle w menu firm.
• Sesja trwa tak samo długo jak przy logowaniu hasłem; automatyczne wylogowanie przy braku aktywności również obowiązuje.

#Wymagane SSO

Przy włączonym Wymagane SSO wszyscy użytkownicy firmy logują się wyłącznie przez logowanie jednokrotne. Po włączeniu kończą się trwające sesje hasłowe pozostałych użytkowników. Kto pracuje także w firmie bez wymaganego SSO, może się tam dalej logować hasłem; przejście do Twojej firmy wymaga wtedy logowania jednokrotnego.

Warunki:

Dostęp awaryjny: właściciele mogą mimo wymaganego SSO logować się hasłem – ale tylko z skonfigurowanym logowaniem dwuskładnikowym. Dzięki temu dostaniecie się do allverto, nawet gdy dostawca ma awarię. Strona logowania pokazuje do tego Zaloguj się hasłem jako właściciel (dostęp awaryjny).

#Automatyczne tworzenie użytkowników

Domyślnie logować się mogą tylko osoby zaproszone do allverto. Z opcją Twórz użytkowników automatycznie każda osoba z dozwoloną domeną otrzymuje przy pierwszym logowaniu dostęp z wybraną Rolą domyślną. Roli Właściciel nie można wybrać. Dezaktywowani użytkownicy pozostają dezaktywowani.

Pamiętaj: każdy nowy aktywny użytkownik liczy się do subskrypcji.

#Dziennik

Każde logowanie jednokrotne trafia do Dziennika systemowego. Odrzucone logowania są dodatkowo widoczne w Zaporze sieciowej – zawsze z powodem, np. niedozwolona domena, konto z innego katalogu lub brak dostępu w firmie. allverto nigdy nie zapisuje tokenów ani sekretów.

#Najczęstsze pytania

#Na stronie logowania nie ma przycisku „Zaloguj przez …”.

Sprawdź, czy logowanie jednokrotne jest włączone, czy domena adresu e-mail jest w Dozwolone domeny e-mail i – przy własnym dostawcy – czy jest potwierdzona przez DNS. Bezpośredni link działa niezależnie od tego.

#„Dla tego adresu e-mail nie ma dostępu w firmie.”

Osoba nie jest zaproszona. Zaproś ją w Użytkownicy lub włącz Twórz użytkowników automatycznie. W Microsoft: czy nazwa logowania (UPN) odpowiada adresowi e-mail w allverto?

#Co się stanie, gdy zmienimy pakiet?

Bez pakietu Flotte logowanie jednokrotne jest wyłączone, łącznie z wymaganym SSO. Wszyscy logują się znowu hasłem („Nie pamiętasz hasła?” pozwala w razie potrzeby ustawić nowe). Ustawienia pozostają zapisane.