Identità e SSO
Configurare il single sign-on per la propria organizzazione Certivant con Google, Microsoft, GitHub, SAML 2.0 o OIDC, in modo che il team si autentichi con la propria identità aziendale esistente.
Cosa fa
Il single sign-on (SSO) consente ai membri del team di accedere a Certivant con la propria identità aziendale esistente (Google Workspace, Microsoft 365, Okta, OneLogin e così via), invece di ricordare un'altra password. Lo stesso perimetro di sicurezza del proprio provider di identità (IdP): quando una persona viene rimossa lì, perde anche l'accesso a Certivant.
Tre modalità SSO:
- Provider social: Google, Microsoft, GitHub. Accesso con un clic per i singoli utenti. Ogni utente fa clic una volta su "Accedi con Google" e viene collegato al proprio record di membro dell'organizzazione tramite l'email.
- SAML 2.0: per i provider di identità aziendali (Okta, OneLogin, Azure AD, ADFS). Si configura un'applicazione aziendale sul loro lato, si incolla nei metadati in Certivant, ed è fatto.
- OIDC: OpenID Connect per i provider che lo preferiscono a SAML (Auth0, Keycloak, tenant Okta moderni).
Dove si trova
Impostazioni → Identità e SSO nella barra laterale sinistra.
Provider social (la modalità più semplice)
Sono configurati dal super amministratore a livello di piattaforma. Non si configurano per singola organizzazione: sono attivi o disattivati per l'intera installazione. Se sono attivi, i membri del team vedono i pulsanti "Accedi con Google" / "Accedi con Microsoft" / "Accedi con GitHub" nella pagina di accesso.
Quando un collega accede con un provider social:
- Il provider restituisce la sua email verificata.
- Certivant abbina quell'email al record del membro invitato in precedenza.
- Entra nella propria organizzazione, senza passaggi aggiuntivi.
Se l'email del provider non corrisponde a nessun membro invitato, compare il messaggio "Account non trovato: chieda al proprio amministratore di invitarla".
Se tutti nell'organizzazione usano Google Workspace, chiedere al super amministratore di attivare l'SSO di Google e di disattivare l'accesso con email e password. Una password in meno da gestire, una superficie di phishing in meno.
SAML 2.0
Per le aziende medie e grandi con un provider di identità che già gestisce il provisioning delle applicazioni.
In Certivant: aprire Identità e SSO
Impostazioni → Identità e SSO → SAML. Attivare Abilita SAML. La schermata mostra:
- Il proprio URL ACS (Assertion Consumer Service):
https://app.certivant.com/api/auth/saml/callback/{your-org-id}. Copiarlo. - Il proprio Entity ID (ID entità SP):
urn:certivant:org:{your-org-id}. Copiarlo. - Carica i metadati dell'IdP: dove incollare l'XML del proprio IdP dopo il passaggio 2.
Sul proprio IdP: creare una nuova applicazione SAML per Certivant
I diversi IdP usano termini diversi, ma i campi sono gli stessi:
- ID entità SP: incollare l'Entity ID del passaggio 1.
- URL ACS / URL di risposta: incollare l'URL ACS del passaggio 1.
- Formato del Name ID:
EmailAddress(abbiniamo i membri tramite l'email). - Dichiarazioni di attributi (facoltative ma utili):
firstName,lastName: usati per precompilare il profilo del membro.groups: elenco dei gruppi di appartenenza. Si associano ai ruoli di Certivant tramite il menu a tendina sul lato dell'IdP.
Scaricare il file XML dei metadati dell'IdP.
Di nuovo in Certivant: caricare i metadati
Incollare l'XML nel campo Carica i metadati dell'IdP della pagina Identità e SSO. Salvare.
Verificare
Aprire una nuova finestra in incognito. Fare clic su Accedi con SAML, inserire la propria email. Si viene reindirizzati al proprio IdP, si accede e si torna nella propria organizzazione Certivant.
(Facoltativo) Limitare l'accesso al solo SAML
Una volta confermato il funzionamento, è possibile richiedere SAML per ogni membro dell'organizzazione: Impostazioni → Identità e SSO → Richiedi SSO attivato. L'accesso con email e password resta disponibile per il proprietario dell'organizzazione (come via di emergenza), ma è bloccato per tutti gli altri.
Provisioning just-in-time (JIT)
Quando un nuovo utente dell'IdP accede per la prima volta, Certivant può:
- Bloccare: entrano solo i membri invitati in precedenza.
- Creare automaticamente come Membro: ogni utente dell'IdP con una risposta SAML valida diventa automaticamente membro dell'organizzazione.
- Creare automaticamente con il ruolo derivato dal gruppo: legge l'attributo
groupsdalla risposta SAML e assegna Proprietario / Amministratore / Membro in base a una mappatura configurata.
Si sceglie in Impostazioni → Identità e SSO → SAML → Provisioning dei nuovi utenti. Il JIT è comodo ma riduce il controllo: se l'IdP è configurato per inviare OGNI dipendente, si inseriscono automaticamente tutti, che abbiano o meno bisogno di Certivant.
OIDC
OIDC funziona in modo simile, ma con un JSON più semplice al posto dell'XML.
Impostazioni → Identità e SSO → OIDC. Attivare.
Copiare l'URI di reindirizzamento: https://app.certivant.com/api/auth/oidc/callback/{your-org-id}.
Creare un'applicazione OIDC sul proprio IdP. Incollare l'URI di reindirizzamento. Configurare gli ambiti: openid, email, profile, più groups se si vuole la mappatura dei ruoli.
In Certivant: incollare l'Issuer URL, il Client ID e il Client Secret dell'IdP.
Salvare. Verificare da una finestra in incognito tramite Accedi con SSO.
Rimuovere l'SSO
Disattivare il provider interessato in Impostazioni → Identità e SSO. I membri già connessi restano autenticati finché la loro sessione non scade; il loro prossimo accesso dovrà avvenire con email e password (o con un altro provider attivo).
Se in precedenza era richiesto l'SSO e lo si vuole eliminare, disattivare anche Richiedi SSO, così i membri possono tornare all'accesso con email e password.
Risoluzione dei problemi
"SSO non configurato per questa organizzazione"
Il provider è stato attivato ma la configurazione è incompleta. Aprire la sezione SAML/OIDC e verificare che ogni campo obbligatorio sia compilato.
"Risposta SAML non valida" / "Token OIDC non valido"
Cause comuni:
- Disallineamento dell'orologio tra il proprio IdP e i nostri server. La maggior parte degli IdP usa un orologio sincronizzato via NTP; la propria installazione potrebbe non farlo.
- Entity ID / Audience errati sul lato IdP. Verificare che i valori mostrati da Certivant corrispondano a quelli dell'applicazione sul proprio IdP.
- Mancata corrispondenza della firma: si sono rigenerati i certificati sull'IdP senza ricaricare i metadati in Certivant. Incollare di nuovo i metadati più recenti.
"Account non trovato"
L'IdP ha restituito un'email che non corrisponde a nessun membro invitato. Occorre:
- Invitare prima l'utente da Impostazioni → Membri (con la stessa email restituita dall'IdP).
- Oppure attivare il provisioning JIT per la creazione automatica.
Il proprietario dell'organizzazione non riesce ad accedere tramite SAML
È una scelta progettuale: il proprietario può sempre accedere con email e password, anche quando Richiedi SSO è attivo, così c'è una via di emergenza se l'SSO si interrompe. Se anche questa fallisce, contattare il super amministratore per intervenire dal lato della piattaforma.
Correlati
- Invitare i colleghi: l'elenco dei membri supporta l'abbinamento delle email nell'SSO.
- Ruoli in sintesi: mappatura dal gruppo al ruolo.
- Zona pericolosa: la disattivazione dell'SSO è reversibile dall'account del proprietario.
Fatturazione e crediti
Gestire il proprio abbonamento Certivant, acquistare crediti pay-as-you-go, comprendere la scadenza della prova e gli stati di fatturazione, e risolvere fatture e problemi di pagamento.
Team e ruoli
Organizzare il proprio spazio di lavoro Certivant in team con modalità di isolamento dei dati (rigorosa, aperta, solo proprietario) e creare ruoli personalizzati con insiemi di permessi granulari.