Hur man konfigurerar Single Sign-On (SSO)

SSO-tilläggstjänsten är utformad för att förenkla inloggningen och stärka informationssäkerheten. Som ett valfritt tillägg gör SSO det möjligt för användare att logga in på Trail med en enda inloggning, utan att behöva hantera flera separata lösenord.

Microsoft Entra ID Aktivering av Single Sign-On (SSO)

Denna guide hjälper dig att aktivera Microsoft Entra ID SSO-tilläggstjänsten och göra nödvändiga inställningar för att säkerställa en smidig och säker inloggning. Om du är intresserad av att aktivera SSO i din Trail-miljö, kontakta sales@trail.fi.

Microsoft Entra ID: SSO-autentisering och synkronisering av användarkataloger

❗ Observera att denna guide innehåller steg och beskrivningar för hur man använder administratörsportalen i ett annat program. Guiden baseras på det programmets användargränssnitt och funktionalitet vid tidpunkten för skrivandet. Eftersom programmet utvecklats av en tredje part ansvarar Trail Systems Oy inte för eventuella ändringar, uppdateringar eller omläggningar av användargränssnittet som kan påverka riktigheten i denna guide. Om ändringar sker i användargränssnittet för en annan programvara kan vissa av de steg eller menyvägar som beskrivs i denna guide inte längre stämma överens med den aktuella situationen.

 Ämnen:

  1. Microsoft Entra ID SSO Authentication for web application

        1.1. Skapa en applikation (Application (non-gallery)) för Trail i Microsoft Entra ID

        1.2. Konfigurera hur användare autentiserar sig (SSO)

        1.3. Konfigurera SAML som SSO-metod (SAML)

  1. Microsoft Entra ID SSO Authentication for mobile application

        2.1. Skapa en applikation (Application (non-gallery)) för Trail i Microsoft Entra ID

        2.2. Skapa Client Secret (OAuth/OIDC)

  1. Autentisering av Trail för att hämta användardata från Microsoft Entra ID

        3.1. Konfigurera API-behörigheter

  1. Manuell koppling av användargrupper i Microsoft Entra ID till användargrupper i Trail samt aktivering av manuell inaktivering av användare

        4.1. Konfigurera Group Claim för behörighet för Microsoft Entra ID

        4.2. Välj relevanta grupper och extrahera UUID-identifieraren

        4.3. Koppla Microsoft Entra ID-grupper till användargrupper i Trail

        4.4. Aktivering av manuell borttagning av användare

1. Microsoft Entra ID SSO Authentication for web application

1.1. Skapa en applikation (Application (non-gallery)) för Trail i Microsoft Entra ID

Steg:

  1. Öppna Microsoft Entra ID -portalen
  2. Gå till Applicatios -> App registrations
  3. Välj New registration
  4. Ange:
    1. Applikationens namn: t.ex. ‘Trail Asset Management’
    2. Stödda account type
  5. Välj Register

Resultat: Microsoft Entra ID skapar en applikation (client) med (1) Application (Client) ID:n och (2) Directory (Tenant) ID.

➡️ Vänligen skicka Application (Client) ID och Directory (Tenant) ID till e-postadressen support@trail.fi

1.2. Konfigurera hur användare autentiserar sig (SSO)

Steg:

  1. Öppna App registration och gå till Authentication
  2. Lägg till Redirect URI
  3. Aktivera (enable)
    1. ID tokens
    2. Access tokens (om API-anrop krävs)

Resultat: När användarna klickar på ”Logga in med Microsoft” omdirigeras de till inloggningen för Microsoft Entra ID.

1.3. Konfigurera SAML som SSO-metod (SAML)

Steg:

  1. Välj Enterprise Applications -> Single sign-on
  2. Välj metod: SAML
  3. Konfigurera
    1. Identifier (Entity ID) – tjänsteleverantörens unika ID:: https://youraddress.trail.fi/saml/metadata
    2. Reply URL (Assertion Consumer Service URL) – dit SAML-svar skickas: https://youraddress.trail.fi/saml/acs
    3. Sign-on URL – valfri URL för att starta inloggningen
    4. Spara
  4. Kopiera följande IdP-slutpunkter (in the Set up <Application Name> section)
    1. Login URL
    2. SAML-sertifikaatti
    3. Logout URL

➡️ Vänligen skicka Login URL, SAML-sertifikaatti ja Logout URL till e-postadressen support@trail.fi


Hur hittar man ett SAML-certifikat?

Gå till Application -> Single Sign On. Bläddra ner till ”SAML-certifikates”. Ladda antingen ner XML-filen med federationsmetadata och skicka den till support@trail.fi, eller skicka bara länken till URL:en för App Federation Metadata.

2. Microsoft Entra ID SSO Authentication for mobile application

Steg:

  1. Öppna Microsoft Entra ID -portalen
  2. Gå till Applicatios -> App registrations
  3. Välj New registration (Det rekommenderas att skapa en ny registrering för mobilen även om det redan finns en för samma tjänst.)
  4. Ange:
    1. Applikationens namn
    2. Konto typer som stöds (account types): Endast konton i denna organisationskatalog (trail.fi only - Single tenant) eller konton i valfri organisationskatalog (Any Microsoft Entra ID directory - Multitenant)
  5. Välj Register
  6. Gå till Manage -> Authentication

IOS:

  1. Välj Add a platform
  2. Välj iOS /macOS
  3. Lägga till bundle ID: fi.trail.Trail
  4. Välj Configure

Android:

  1. Välj Add a platform
  2. Välj Android
  3. Lägga till Package name: fi.trail.Trail
  4. Lägga till Signature hash: pXqTwDZFxc7DtzbQqnmjDGnwdHI=
  5. Välj Configure

Därefter:

  1. Manage -> Token configuration
  2. Välj Add optional claim
  3. Välj ID som Token-typ och välj email i kolumnen claim
  4. Välj Add
  5. Manage -> Overview
  6. Vänligen skicka värdena från följande fält till support@trail.fi
    1. Application (Client) ID
    2. Directory (Tenant) ID

❗ Viktigt: Användarna måste ha en e-postadress angiven under ”Kontaktinformation för användare” i Tenant. Denna e-postadress används som e-postadress i Trail. Se bilden nedan för att ställa in e-postadressen för användarna.


A screenshot of a computer AI-generated content may be incorrect.

2.2. Skapa Client Secret (OAuth/OIDC)

Steg:

  1. Gå till Certificates & Secret
  2. Välj New client secret
  3. Ange
  4. Beskrivningen (Description)
  5. Utgångstid (Expiration) (t.ex. 12 eller 24 månad)
  6. Kopiera värdet för Client secret

➡️ Vänligen skicka Client secret till support@trail.fi

3. Autentisering av Trail för att hämta användardata från Microsoft Entra ID

Entra ID-integrationen gör det möjligt att automatiskt uppdatera användaruppgifter för både aktiverade och inaktiverade användare. Detta gör det även möjligt att uppdatera uppgifter om användargrupper.

  • Nya användare: När en ny användare skapas i Microsoft Entra ID skapas användaren automatiskt även i Trail-tjänsten efter integrationskörningen (en gång om dagen)
  • Inaktiverade användare: När en användare har inaktiverats eller tagits bort från Microsoft Entra ID inaktiveras eller tas denne automatiskt bort även från Trail-tjänsten.

I det här alternativet hämtas användarinformationen från AD-användarkatalogen (aktiva användare + användarrättigheter). API:et kräver behörighet för att få tillgång till användarinformationen. Minimikraven för användarinformation är: ID, e-postadress, förnamn, efternamn, information om aktiverat konto (account enabled) och användargrupper. I Microsoft Entra ID finns det dock inte nödvändigtvis någon möjlighet att begränsa den information som hämtas till minimikraven, och därför är åtkomstnivån för att möjliggöra integration vanligtvis User.Read.All.

3.1. Konfigurera API-behörigheter

Steg för att lägga till API-behörigheter:

  1. Välj API Permission i menyn till vänster
  2. Välj Add permission
  3. Välj Microsoft Graph
  4. Välj Application permissions
  5. Lägg till ‘Group.Read.All’ och ‘User.Read.All’
  6. Välj Delegated permissions
  7. Lägg till ’User.Read’
  8. Välj Add permissions
  9. Bevilja behörigheterna vid behov genom att klicka på ‘Grant admin consent for <...>’

Resultat: API-behörigheter har konfigurerats så att Trail kan hämta användardata direkt från Microsoft Entra ID.

4. Manuell koppling av användargrupper i Microsoft Entra ID till användargrupper i Trail samt aktivering av manuell inaktivering av användare

Tillägget för synkronisering av användargrupper är utformat för att förenkla användarhanteringen och säkerställa att dina team alltid har rätt åtkomstbehörigheter i Trail. Som ett valfritt tillägg synkroniserar det automatiskt användargrupper från ditt identitetshanteringssystem, vilket minskar manuellt arbete och håller behörigheterna uppdaterade.

Synkronisering av användargrupper i Microsoft Entra ID

Denna guide hjälper dig att aktivera och konfigurera tilläggsprodukten Synkronisering av användargrupper. Om du är intresserad av att aktivera denna funktion i din Trail-miljö, kontakta sales@trail.fi.

Det här alternativet används när användargruppen (och de åtkomsträttigheter som är kopplade till gruppen) i Trail ska kopplas till användargruppen i Microsoft Entra ID, men det inte går att hämta data direkt från Microsoft Entra ID.

I det här alternativet aktiveras användargrupper vid inloggning. Som standard tillåter det här alternativet inte radering eller inaktivering av användare. Det enda sättet att lägga till inaktivering av användare i det här alternativet är att regelbundet skicka en lista över aktiva användare (xls, csv) till Trail för uppdatering av inaktiveringen. Eftersom användarrättigheterna uppdateras vid inloggning finns det dessutom en risk att användaren inte loggar in, vilket innebär att användarrättigheterna inte uppdateras i enlighet därmed.

4.1. Konfigurera Group Claim för behörighet för Microsoft Entra ID

Steg:

  1. Gå till App registration -> Token configuration
  2. Välj Add group claim
  3. Välj de grupper som ska skickas till Trail vid inloggningen (t.ex. “All groups” eller “Groups assigned to the application”)
  4. Spara

4.2. Välj relevanta grupper och extrahera UUID-identifieraren

Steg:

  1. Gå till Groups
  2. Välj grupper som är relevanta till Trail-användare
  3. Hämta UUID identifieraren (Object ID) (36 tecken) från varje grupp

4.3. Koppla Microsoft Entra ID-grupper till användargrupper i Trail

Steg:

  1. I Trail, öppna Admin -> User groups
  2. Öppna den önskade användargruppen för redigering
  3. Lägg till UUID-identifieraren i fältet ”Identifierare”
  4. Spara

Resultat: Användargrupper i Microsoft Entra ID kopplas samman med användargrupper i Trail, vilket säkerställer att rätt användarrättigheter tillämpas

4.4. Aktivering av manuell borttagning av användare

Skicka regelbundet en lista över aktiva användare (xls, csv) till support@trail.fi för uppdatering av inaktiveringar. Kom överens med support@trail.fi om hur listan ska skickas och hur ofta den ska uppdateras. Listan används för att inaktivera alla icke-aktiva användare.