SSO con SAML 2.0

User and Data Management Plus

Il Single Sign-on (SSO) con SAML 2.0 permette ai tuoi utenti di accedere a deskbird usando il loro provider di identità (IdP) esistente. Qui sotto trovi le opzioni rapide per Okta e Keycloak, oltre a una guida completa per la configurazione della federazione (SSO avviato dal Service Provider).

1. SAML con Okta
2. SAML con Keycloak
3. Configurazione della Federazione SAML 2.0
4. Rinnovo del certificato SAML
5. Quando usare SAML vs. OAuth / OIDC

1. SAML con Okta

Usa la nostra guida dedicata a Okta per configurare un'app SAML su Okta, mappare gli attributi richiesti e testare il Single Sign-on (SSO) avviato da deskbird. Include screenshot, dichiarazioni degli attributi e suggerimenti per la risoluzione dei problemi.
👉 Passo dopo passo: Configura SAML SSO con Okta

2. SAML con Keycloak

Preferisci usare Keycloak? Segui la guida Keycloak per avviare il Single Sign-on (SSO) su deskbird.
👉 Passo dopo passo: Configura SAML SSO con Keycloak

3. Configurazione della Federazione SAML 2.0

SAML 2.0 (Security Assertion Markup Language) è un protocollo basato su XML per scambiare in modo sicuro dati di autenticazione/autorizzazione tra un provider di identità (IdP) e un service provider (SP). deskbird supporta il Single Sign-on (SSO) avviato dal Service Provider (l'autenticazione deve partire da deskbird).

Se vuoi una tile nel tuo launcher IAM (ad esempio, OneLogin, JumpCloud) su cui gli utenti possono cliccare, aggiungi un'applicazione Bookmark che avvia il flusso SP-initiated su deskbird:
https://app.deskbird.com/saml?providerName={saml-provider-ID}
L'ID del provider SAML segue il formato saml.{company-name}. Esempio per "Polaroid": https://app.deskbird.com/saml?providerName=saml.polaroid.

Crea una applicazione di Federazione separata e nascosta nel tuo IdP per la connessione SAML stessa (non visibile agli utenti).

3.1 Configurazione generale

Configura il tuo IdP con i seguenti dettagli del Service Provider di deskbird:

💡 Per un'autenticazione SAML 2.0 corretta, imposta NameID sull'indirizzo email dell'utente con formato urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified.

Esempio di snippet di assertion

<saml2:Subject> <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" NameQualifier="<IdP Entity ID>" SPNameQualifier="https://api.deskbird.app/saml/metadata" xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"> email </saml2:NameID> <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> </saml2:Subject> 

Invia a deskbird per la configurazione

Se hai un file di metadata dell'IdP, puoi semplicemente inviare quello.

3.2 Attributi utente

Attributo richiesto (usa il nome esatto):

Attributi consigliati:

3.3 Sincronizzazione del nome dal tuo IdP

Se gli utenti vengono creati al loro primo accesso SAML (senza sincronizzazione SCIM o HRIS), deskbird prende nome e cognome dal tuo IdP e li mantiene sincronizzati:

• Primo accesso: l'utente viene creato con nome e cognome dalla assertion SAML.
• Accessi successivi: se il tuo IdP invia un nome diverso, deskbird lo aggiorna. Questo sostituisce anche i nomi modificati manualmente in deskbird.
• Modifica: mentre il nome viene fornito dal tuo IdP, utenti e admin non possono modificarlo in deskbird (web, iOS e Android). Le modifiche vanno fatte nel tuo IdP e saranno visibili al prossimo accesso dell'utente.
• Sincronizzazione SCIM o HRIS: se usi anche una di queste, la sincronizzazione gestisce il nome e SAML non lo sovrascrive mai.
• Nessun nome inviato: se la assertion non include sia nome che cognome, gli utenti inseriscono il loro nome durante la configurazione e possono comunque modificarlo.

💡 Solo nome e cognome vengono sincronizzati. Altri attributi, come ufficio o dipartimento, non vengono presi da SAML.

3.4 File di metadata

Dopo aver creato l'applicazione SAML nel tuo IdP, inviaci il file di metadata che includa:

• Certificato
• Entity ID
• SSO URL

4. Rinnovo del certificato SAML

I certificati SAML hanno una data di scadenza (tipicamente 1–3 anni dopo la creazione). Quando un certificato sta per scadere, il tuo provider di identità ti avviserà. È importante rinnovare il certificato prima della scadenza per evitare problemi di accesso.

Procedura di rinnovo passo dopo passo (Microsoft Entra ID):

1. Nel portale Microsoft Entra ID, vai alla tua Enterprise Application di deskbird.
2. Vai su Single sign-on > SAML Certificates.
3. Clicca sull'icona Modifica (matita).
4. Clicca su Nuovo certificato.
5. Imposta la data di scadenza (il valore predefinito è 3 anni).
6. Clicca su Salva. Il nuovo certificato apparirà con stato Inattivo.
7. Scarica il nuovo certificato (formato Base64).
8. Invia il certificato al supporto deskbird tramite un ticket di supporto. Includi il nome della tua azienda e specifica che si tratta di un rinnovo certificato SAML.
9. Il supporto deskbird sostituirà il certificato dal nostro lato e ti confermerà quando sarà pronto.
10. Quando deskbird conferma, torna su Entra ID e attiva il nuovo certificato (impostalo su Attivo).

5. Quando usare SAML vs. OAuth / OIDC

Se stai decidendo tra SAML e OAuth (Microsoft SSO), considera quanto segue: