SSO con Microsoft Entra ID (Azure AD)

Con deskbird, puoi integrare il Single Sign-on (SSO) utilizzando Microsoft Entra ID (precedentemente Azure AD). Questo garantisce un'autenticazione sicura e un accesso comodo in tutta la tua organizzazione.

1. Configura SSO con Entra ID
2. Configurazione manuale OIDC (nessuna Enterprise Application richiesta)
3. Limita i permessi tramite Application Assignment
4. FAQ

1. Configura SSO con Entra ID

Per attivare il SSO, un amministratore IT deve installare la Microsoft Entra ID Enterprise Application e concedere i permessi richiesti.

👉 Clicca qui per installare e concedere l'accesso:
https://login.microsoftonline.com/common/adminConsent?client_id=60e10e49-86e8-4755-ac34-2804c82237c6&redirect_uri=https://www.deskbird.com/single-sign-on-via-azure-ad

⚠️ Nota su Microsoft Conditional Access: Da giugno 2026, Microsoft applica il Conditional Access in modo più restrittivo per alcuni accessi (modifica Microsoft MC1223829). Se una delle tue policy riguarda Tutte le risorse e ha almeno un'esclusione di risorsa, gli accessi che richiedono solo gli scope di base (come openid, profile, email o User.Read) ora vengono valutati rispetto a quella policy. L'accesso a deskbird richiede solo questi scope (openid, profile, email, User.Read), quindi escludere deskbird da una policy di questo tipo non evita più questi controlli. Gli utenti potrebbero quindi dover eseguire MFA, utilizzare un dispositivo conforme o essere bloccati durante l'accesso a deskbird, anche se prima funzionava. Microsoft descrive le opzioni per il tuo team IT in Enforcement for baseline scopes in Conditional Access.

Se i tuoi utenti sono interessati e il tuo team IT non può modificare la policy, puoi passare deskbird a un accesso configurato direttamente dalla tua organizzazione: Configurazione manuale OIDC (vedi sotto) oppure SSO con SAML 2.0. Per distinguere un blocco di Conditional Access da una mancanza di riconoscimento da parte dell'admin, consulta le FAQ.

I permessi richiesti sono:

• User.Read: Consente agli utenti di accedere a deskbird e permette a deskbird di leggere i profili degli utenti autenticati. Nota: deskbird non ha accesso ai dati del profilo degli utenti che non hanno mai effettuato l'accesso.
• Group.Read.All: Consente a deskbird di leggere tutti i gruppi di utenti. Questo viene utilizzato, ad esempio, per importare i gruppi di utenti nel portale amministratore o per sincronizzare i gruppi quando gli utenti accedono.

Ci sono altri permessi standard che vengono aggiunti automaticamente e non richiedono il riconoscimento da parte dell'admin.

• offline_access: Consente a deskbird di utilizzare i refresh token per recuperare dati tramite Microsoft Graph API.
• email, openid e profile: Permessi aggiunti automaticamente che concedono a deskbird permessi simili a User.Read ma con meno informazioni sul profilo.

Il tipo di permesso è delegato, il che significa che deskbird accede alla Graph API come l'utente autenticato ma con accesso limitato dai permessi selezionati.

💡 Nota: Le foto del profilo degli utenti vengono sincronizzate automaticamente durante la prima autenticazione SSO, se disponibili.

💡 Se il SSO è configurato come unico metodo di accesso per la tua organizzazione, questa restrizione si applica solo agli utenti interni. Gli utenti esterni (ad esempio collaboratori) possono comunque essere aggiunti a deskbird e possono accedere tramite email e password, poiché sono al di fuori dell'ambito del tuo identity provider.

2. Configurazione manuale OIDC (nessuna Enterprise Application richiesta)

Se la tua organizzazione non può installare la Enterprise Application di deskbird dalla Microsoft app gallery, o preferisce una registrazione dell'app che possiede e controlla direttamente, puoi configurare il SSO creando una tua App Registration in Entra ID e condividendo le credenziali con deskbird. L'integrazione verrà poi configurata dal team di supporto deskbird.

Passaggio 1: Crea la App Registration

1. Vai su Azure Portal > Microsoft Entra ID > App registrations > New registration.
2. Inserisci un nome, ad esempio deskbird SSO.
3. In Supported account types, seleziona Accounts in this organizational directory only (single tenant).
4. In Redirect URI, seleziona la piattaforma Web e inserisci: https://api.deskbird.app/v2/auth/oAuthRedirectHandler.
5. Clicca su Register.

⚠️ Nota: Assicurati che il Redirect URI corrisponda esattamente a quello sopra. Una mancata corrispondenza (o una voce mancante) causerà un errore AADSTS50011 quando un utente tenta di accedere.

Passaggio 2: Prendi nota degli ID

1. Dalla pagina Overview dell'app, copia l'Application (client) ID e il Directory (tenant) ID.

Passaggio 3: Crea un Client Secret

1. Vai su Certificates & secrets > Client secrets > New client secret.
2. Inserisci una descrizione, ad esempio deskbird production, e scegli una durata di scadenza.
3. Clicca su Add e copia subito il Value — non verrà più mostrato.

Passaggio 4: Configura i permessi API

1. Vai su API permissions > Add a permission > Microsoft Graph > Delegated permissions.
2. Aggiungi i seguenti permessi: openid, profile, email, User.Read.
3. Clicca su Grant admin consent for [Organization].

Passaggio 5: Condividi le credenziali con deskbird

Contatta il supporto deskbird e fornisci i seguenti tre valori:

• Directory (tenant) ID
• Application (client) ID
• Client Secret value

Condividi tutti e tre i valori in un unico messaggio così la configurazione potrà essere completata senza ulteriori scambi: Directory (tenant) ID, Application (client) ID e Client Secret value.

Il team di supporto deskbird completerà la configurazione per te.

⚠️ Nota: Il Client Secret value è sensibile. Condividilo in modo sicuro ed evita di inviarlo tramite canali non criptati.

3. Limita i permessi tramite Application Assignment

Puoi limitare quali utenti o gruppi possono accedere a deskbird tramite SSO.

• Nel centro di amministrazione Entra, apri la Enterprise App di deskbird.
• In Properties, imposta Assignment required su "Yes".
• Aggiungi utenti o gruppi specifici in Users and groups.

💡 Application Assignment non è la stessa cosa della definizione dell'ambito di una policy di Conditional Access. Application Assignment controlla chi può accedere. Conditional Access controlla in quali condizioni possono accedere (conformità del dispositivo, posizione, MFA). Per Conditional Access, vedi la nota in Configura SSO con Entra ID e le FAQ.

⚠️ Application Assignment limita l'accesso, ma non effettua il provisioning degli utenti. Per il provisioning automatico, è necessaria una configurazione SCIM separata.

⚠️ Errore AADSTS50105: Questo errore si verifica quando qualcuno tenta di accedere ma non è assegnato a un gruppo che ha l'accesso. Chiedi al tuo team IT interno di aggiungere l'utente al gruppo di accesso corretto (o di aggiornare i suoi permessi), quindi riprova.

4. FAQ