Single sign-on (SSO) — Impostazioni

"Settings" → "Administration" → "Single sign-on (SSO)" collega la tua organizzazione a Microsoft Entra ID, così i membri possono accedere con il proprio account Microsoft di lavoro. Microsoft Entra ID è l'unico provider in questa schermata. Contiene anche l'interruttore che rende obbligatorio l'accesso con Microsoft.

Chi può modificarlo

Solo un amministratore può aprire questa schermata e modificarvi qualcosa.

Prima di iniziare

Ti serve una registrazione dell'app nella tua directory Microsoft Entra. Tre cose contano lì:

Incolla il "Redirect URI" mostrato in questa schermata nella registrazione dell'app, come reindirizzamento della piattaforma Web. È lo stesso indirizzo per ogni organizzazione Flowtly.
Abilita la rivendicazione facoltativa email nella registrazione dell'app. Senza di essa il primo accesso spesso fallisce in modo confuso.
Crea un segreto client e conserva il suo valore, che Entra mostra una sola volta.

I controlli di questa schermata

La schermata si apre in modalità di configurazione finché non è stato inserito nulla. Dopo il salvataggio di una configurazione mostra invece un riepilogo, e "Edit configuration" riporta il modulo di configurazione.

"Microsoft Entra ID": l'intestazione del collegamento. Sotto di essa la schermata dice che i membri possono accedere con il proprio account Microsoft di lavoro (prima della configurazione) oppure la parola "Directory:" seguita dall'ID della tua directory.

L'etichetta di stato in alto a destra mostra a che punto è il collegamento:

Stato	Significato
"Not configured"	Non è ancora stato inserito nulla.
"Pending first sign-in"	Una configurazione è salvata, ma nessuno ha ancora effettuato l'accesso tramite Microsoft con essa.
"Active"	Un accesso tramite Microsoft è riuscito. La schermata mostra allora "Last verified" con la data.
"Connection error"	Il collegamento è contrassegnato come non riuscito. La schermata mostra il testo dell'errore, oppure "The last sign-in attempt failed." quando non ce n'è uno.

"Redirect URI": l'indirizzo da incollare nella registrazione dell'app Entra. È di sola lettura. Il pulsante di copia accanto ("Copy redirect URI") lo copia negli appunti e mostra brevemente "Copied!".

I campi del modulo:

"Directory (tenant) ID": l'ID della tua directory Entra. Obbligatorio.
"Application (client) ID": l'ID della registrazione dell'app. Obbligatorio.
"Client secret": il valore del segreto generato in Entra. Il campo non mostra mai un segreto salvato. Una volta che ne è presente uno, lascia il campo vuoto per mantenerlo, oppure inserisci un nuovo valore per sostituirlo.
"Verified domains": i domini e-mail i cui membri possono accedere con Microsoft, separati da virgole, per esempio acme.com, acme.eu. Le voci vengono convertite in minuscolo e i duplicati eliminati.
"Add existing users to this organization": un interruttore, disattivato per impostazione predefinita. Vedi sotto.
"Save configuration": salva la configurazione. Resta non disponibile finché non sono compilati entrambi gli ID. Un messaggio "Success" lo conferma.
"Cancel": esce dal modulo senza salvare. Compare solo quando esiste già una configurazione.

Nella vista di riepilogo vedi l'"Application (client) ID" e, quando il collegamento è "Active", i "Verified domains" come etichette. "Edit configuration" riapre il modulo.

"Test sign-in" compare mentre lo stato è in attesa, e "Retry test sign-in" compare quando mostra un errore di collegamento. Apre una finestra di accesso Microsoft per il tuo account, usando il tuo indirizzo e-mail aziendale. Alla chiusura della finestra, la pagina ricarica lo stato dal server. Se la tua e-mail non è in un dominio verificato, o la configurazione non è salvata, un messaggio dice che il test non ha potuto essere eseguito. Se il browser blocca la finestra, un messaggio chiede di consentire i pop-up.

"Require SSO for this organization": un interruttore, disattivato per impostazione predefinita. Resta non disponibile finché lo stato non è "Active". Attivarlo apre una conferma, Require Microsoft sign-in for il nome della tua organizzazione, con "Cancel" e "Require Microsoft sign-in". Disattivarlo ha effetto subito e non richiede conferma.

"Help & Docs": un pannello laterale con tre suggerimenti ("Follow the setup order", "Review security impact", "Get help if stuck"). "Contact support" apre un'e-mail al supporto Flowtly. Il pannello passa tra "Compact" ed "Expand".

Come funziona l'accesso

Una persona accede solo se il suo indirizzo e-mail è in uno dei "Verified domains".
Una persona con un account Flowtly che è già membro dell'organizzazione accede come al solito.
Una persona con un account Flowtly che non è ancora membro viene aggiunta all'organizzazione solo quando "Add existing users to this organization" è attivo. Le persone senza un account Flowtly non possono accedere in questo modo: invitale prima. Una persona che hai già invitato viene ammessa che l'interruttore sia attivo o no.
Cambiare l'ID del tenant, l'ID del client o il segreto client su una configurazione salvata riporta lo stato a "Pending first sign-in", fino al prossimo accesso riuscito. Modificare solo i domini verificati o l'interruttore non lo fa.

Che cosa fa rendere obbligatorio il SSO

Una volta attivo "Require SSO for this organization", l'accesso con password viene rifiutato ai membri il cui indirizzo e-mail è in un dominio verificato, e devono proseguire con Microsoft. Un membro il cui indirizzo è in un altro dominio mantiene il proprio accesso abituale. A chi appartiene a più organizzazioni la password viene rifiutata solo a causa di un'organizzazione che richiede il SSO e i cui domini verificati comprendono il suo indirizzo.

Un membro che non ha mai effettuato l'accesso tramite Microsoft viene escluso dall'accesso con password nel momento in cui confermi. Verifica che tutti possano accedere tramite Microsoft prima di attivarlo, e usa prima "Test sign-in". Disattivare l'interruttore è sempre possibile e ripristina l'accesso con password.

Esempi d'uso

Un amministratore collega la directory Microsoft aziendale, accede una volta tramite "Test sign-in", e lo stato diventa "Active".
Un amministratore aggiunge un secondo dominio a "Verified domains" dopo una fusione.
Un amministratore attiva "Add existing users to this organization" perché i colleghi che hanno già un account Flowtly si uniscano senza un invito individuale.
Un amministratore incolla un nuovo valore in "Client secret" prima che il vecchio scada in Entra, poi prova di nuovo l'accesso.
Dopo aver confermato che tutti possono accedere tramite Microsoft, un amministratore attiva "Require SSO for this organization".