SSO con SAML 2.0

UDM Plus

Il Single Sign-on (SSO) con SAML 2.0 permette ai tuoi utenti di accedere a deskbird utilizzando il loro provider di identità (IdP) esistente. Qui sotto trovi le opzioni rapide per Okta e Keycloak, oltre a una guida completa alla configurazione della federazione (SSO avviato dal Service Provider).

1. SAML con Okta
2. SAML con Keycloak
3. Configurazione della federazione SAML 2.0
4. Rinnovo del certificato SAML
5. Quando usare SAML o OAuth / OIDC

1. SAML con Okta

Usa la nostra guida dedicata a Okta per configurare un'app SAML su Okta, mappare gli attributi richiesti e testare il Single Sign-on (SSO) avviato dal Service Provider su deskbird. Include screenshot, dichiarazioni degli attributi e suggerimenti per la risoluzione dei problemi.
👉 Passo dopo passo: configura SAML SSO con Okta

2. SAML con Keycloak

Preferisci usare Keycloak? Segui la guida Keycloak per avviare il SSO su deskbird.
👉 Passo dopo passo: configura SAML SSO con Keycloak

3. Configurazione della federazione SAML 2.0

SAML 2.0 (Security Assertion Markup Language) è un protocollo basato su XML per scambiare in modo sicuro dati di autenticazione/autorizzazione tra un identity provider (IdP) e un Service Provider (SP). deskbird supporta il Single Sign-on (SSO) avviato dal Service Provider (l'autenticazione deve partire da deskbird).

Se vuoi una tile nel tuo launcher IAM (ad esempio, OneLogin, JumpCloud) su cui gli utenti possono cliccare, aggiungi una Bookmark application che avvia il flusso SP-initiated su deskbird:
https://app.deskbird.com/saml?providerName={saml-provider-ID}
L'ID del provider SAML segue il formato saml.{company-name}. Esempio per "Polaroid": https://app.deskbird.com/saml?providerName=saml.polaroid.

Crea una Federation application separata e nascosta nel tuo IdP per la connessione SAML stessa (non visibile agli utenti).

3.1 Configurazione generale

Configura il tuo IdP con i seguenti dettagli del Service Provider di deskbird:

💡 Per una corretta autenticazione SAML 2.0, imposta NameID sull'indirizzo e-mail dell'utente con formato urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified.

Esempio di snippet di assertion

<saml2:Subject> <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" NameQualifier="<IdP Entity ID>" SPNameQualifier="https://api.deskbird.app/saml/metadata" xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"> email </saml2:NameID> <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> </saml2:Subject> 

Invia a deskbird per la configurazione

Se hai un file di metadata dell'IdP, puoi semplicemente inviare quello.

3.2 Attributi utente

Attributo richiesto (usa il nome esatto):

Attributi consigliati:

3.3 Sincronizzazione del nome dal tuo IdP

Se gli utenti vengono creati al primo accesso SAML (senza SCIM o Sincronizzazione HRIS), deskbird prende nome e cognome dal tuo IdP e li mantiene sincronizzati:

• Primo accesso: l'utente viene creato con nome e cognome dalla assertion SAML.
• Accessi successivi: se il tuo IdP invia un nome diverso, deskbird lo aggiorna. Questo sostituisce anche i nomi modificati manualmente in deskbird.
• Modifica: mentre il nome viene fornito dal tuo IdP, utenti e Admin non possono modificarlo in deskbird (web, iOS e Android). Le modifiche devono essere fatte nel tuo IdP e saranno visibili al prossimo accesso dell'utente.
• SCIM o Sincronizzazione HRIS: se usi anche uno di questi, la sincronizzazione gestisce il nome e SAML non lo sovrascrive mai.
• Nessun nome inviato: se la assertion non include sia nome che cognome, gli utenti inseriscono il nome durante la configurazione e possono comunque modificarlo.

💡 Solo nome e cognome vengono sincronizzati. Altri attributi, come ufficio o dipartimento, non vengono presi da SAML.

3.4 File di metadata

Dopo aver creato l'applicazione SAML nel tuo IdP, inviaci il file di metadata che includa:

• Certificato
• Entity ID
• SSO URL

4. Rinnovo del certificato SAML

I certificati SAML hanno una data di scadenza (tipicamente 1–3 anni dopo la creazione). Quando un certificato sta per scadere, il tuo identity provider ti avviserà. È importante rinnovare il certificato prima della scadenza per evitare interruzioni nell'accesso.

Procedura di rinnovo passo dopo passo (Microsoft Entra ID):

1. Nel portale Microsoft Entra ID, vai alla tua Enterprise Application di deskbird.
2. Vai su Single sign-on > SAML Certificates.
3. Clicca sull'icona Edit (matita).
4. Clicca su New Certificate.
5. Imposta la data di scadenza (il valore predefinito è 3 anni).
6. Clicca su Save. Il nuovo certificato apparirà con stato Inactive.
7. Scarica il nuovo certificato (formato Base64).
8. Invia il certificato al supporto deskbird tramite un ticket di supporto. Includi il nome della tua azienda e specifica che si tratta di un rinnovo certificato SAML.
9. Il supporto deskbird sostituirà il certificato dal nostro lato e ti confermerà quando sarà pronto.
10. Una volta ricevuta la conferma da deskbird, torna su Entra ID e attiva il nuovo certificato (impostalo su Active).

5. Quando usare SAML o OAuth / OIDC

Se stai decidendo tra SAML e OAuth (Microsoft SSO), considera quanto segue: