Veiledning for SAML SSO-integrasjon

​

Oversikt

Denne veiledningen er for IT-administratorer som kobler en SAML 2.0-identitetsleverandør til Legoras globale autentisering. Medlemmer logger deretter på Legora med jobblegitimasjonen sin. De samme stegene gjelder når du velger SAML, ADFS eller PingFederate i Legora. Microsoft Entra ID på Legoras globale autentisering bruker OpenID Connect. Se Integrasjonsoversikt – Entra ID enkeltpålogging.

​

Slik fungerer det

Du oppretter en SAML-applikasjon i identitetsleverandøren din og gir den Legoras tjenesteleverandørdetaljer. Deretter skriver du inn identitetsleverandørens detaljer i Legora. Den utvekslingen er det som lar Legora stole på påloggingen.

​

Forutsetninger

Du trenger begge disse før du starter:

• Administrator tilgang til organisasjonens SAML 2.0-identitetsleverandør.
• Manage authentication security i Legora-organisasjonen.

​

Sett opp tilkoblingen

Gjør stegene i identitetsleverandøren først, deretter stegene i Legora. Tjenesteleverandørverdiene er de samme for alle organisasjoner på Legoras globale autentisering.

​

Opprett SAML-applikasjonen

Start i administrasjonskonsollen til identitetsleverandøren din.

1. Opprett en ny SAML 2.0-applikasjon for Legora.
2. Hvis organisasjonen allerede har en Legora SAML-app, behold den appen og opprett denne ved siden av. Migrasjonsdelen nedenfor sier når det gjelder.

​

Skriv inn Legoras tjenesteleverandørdetaljer

Kopier disse verdiene inn i den nye applikasjonen. De endres ikke etter region.

• Entity ID, Audience URI eller Identifier: https://sso.legora.com
• ACS URL, Single Sign-On URL eller Reply URL: https://sso.legora.com/api/oauth/saml

https://sso.legora.com er en påloggingstjeneste, ikke et nettsted. Å åpne den rotadressen viser 404 Not Found med vilje. Bruk den fulle ACS-URL-en. Når du har opprettet tilkoblingen, viser ACS URL på tilkoblingen samme svar-URL. Entity ID på tilkoblingen viser identitetsleverandørens identifikator. Skriv inn https://sso.legora.com i identitetsleverandøren som Legoras Entity ID. Legora krever et email-krav. given_name og family_name anbefales. Tilordne identitetsleverandørens attributter til disse navnene.

​

Legg til identitetsleverandøren i Legora

Skriv inn identitetsleverandørens detaljer, slik at Legora kan sende medlemmer til riktig påloggingsside.

1. Fra navnet ditt på menyen velger du Innstillinger > Personer > Authentication.
2. Under SSO velger du Legg til, og deretter SAML, ADFS eller PingFederate.
3. Skriv inn et Display Name. Medlemmer ser dette navnet på påloggingsskjermen.
4. Skriv inn identitetsleverandørens detaljer. Bruk ett av disse:
   • Metadata URL: Legora henter påloggingsendepunktet og sertifikatet fra denne adressen. Dette er det vanlige valget.
   • Eller skriv inn identitetsleverandørens Entity ID, Sign-In Endpoint URL og Signing Certificate (PEM).
5. Velg Create connection. Legora åpner den nye tilkoblingen.

Edit på en SAML-tilkobling endrer bare visningsnavnet. For å endre metadata oppretter du en ny tilkobling.

​

Test og slå på tilkoblingen

Bekreft tilkoblingen før medlemmene stoler på den.

1. I identitetsleverandøren tildeler du en testbruker til Legora SAML-applikasjonen.
2. I Legora åpner du tilkoblingen og velger Test connection. Et påloggingsvindu åpnes.
3. Logg på med testbrukeren. Du bør komme tilbake til Legora.
4. Slå på Status, slik at medlemmer kan logge på med denne tilkoblingen.

Hvis testen mislykkes, sammenlign ACS URL og Entity ID i identitetsleverandøren med verdiene i de forrige stegene. Bekreft også at assertionen inkluderer email.

​

Migrering til Legoras globale autentisering

Bruk denne delen bare når organisasjonen allerede har en SAML-app for Legora, og du flytter den organisasjonen til Legoras globale autentisering. Et førstegangsoppsett er ferdig når du har slått på Status. En SAML-app er knyttet til tjenesteleverandørens Entity ID. Du kan ikke peke den eksisterende appen mot Legoras globale autentisering. Opprett en ny SAML-app med verdiene ovenfor. La den eksisterende appen være uendret til migrasjonen er fullført. For å teste under migrasjonen: fra navnet ditt på menyen velger du Innstillinger > Personer > Authentication migration. Kjør tilkoblingstesten og bekreft at den viser Passed. Legora støtter ikke mer enn én SAML-app i samme Microsoft Entra-tenant. Flytt de tilkoblingene til OpenID Connect. Se Integrasjonsoversikt – Entra ID enkeltpålogging. For integrasjons-callback-URL-er, brannmurregler og resten av flyttingen, se IT-administrasjonsveiledning: Legoras globale autentisering.

​

Feilsøking

Start med assertionen og de to Legora-URL-ene.

​

Pålogging mislykkes, eller brukeren blir ikke funnet

Legora krever et email-krav, og den avviser en assertion som markerer e-posten som neverifisert. Bekreft at identitetsleverandøren sender email, og at given_name og family_name bruker de navnene når du sender dem. Bekreft også at testbrukeren er tildelt applikasjonen.

​

Svar-URL eller Entity ID avvises

ACS URL og Entity ID i identitetsleverandøren må matche verdiene i denne veiledningen nøyaktig. Bruk https://sso.legora.com uten etterfølgende skråstrek, og bruk den fulle ACS-URL-en https://sso.legora.com/api/oauth/saml. Hvis disse sjekkene ikke fikser det, kontakt support@legora.com.