Centro assistenza di Workiva

Gli amministratori della sicurezza dell'organizzazione possono seguire i passi seguenti per configurare le impostazioni SAML single sign-on dell'organizzazione. Il single sign-on (SSO) basato su SAML consente ai membri di accedere a Workiva attraverso un provider di identità (IdP). Prima di configurare le impostazioni, assicurati di aver controllato Cos'è SAML single sign-on?.

Nota: gli amministratori della sicurezza dell'organizzazione devono essere aggiunti a un workspace per poter accedere all'amministrazione dell'organizzazione.

Passo 1: accedi alle impostazioni di SAML SSO

1. Vai all'Amministratore dell'organizzazione.
2. Fai clic su Gestione identità e accessi nel menu di sinistra.
3. Assicurati di essere nella scheda Autenticazione.
4. Fai clic sulla pagina Configurazione SSO.
   

Se disponi di una configurazione SSO esistente, la pagina apparirà così:

Passo 2: crea la tua configurazione SAML SSO e seleziona il tuo provider di identità

1. Fai clic su Crea configurazione SSO.
   
2. Inserisci un Nome configurazione e seleziona il Provider di identità (IdP) dal menu a discesa.
3. Fai clic su Crea configurazione per procedere.

Passo 3: invia i metadati Workiva all'amministratore del tuo provider di identità

1. Nella sezione Metadati Workiva, trovi l'Identificatore (Entity ID) e l'URL di risposta.
2. Fai clic su Opzioni avanzate per visualizzare l'URL di accesso e l'URL di logout.
   Questi URL sono unici per ciascuna organizzazione, non possono essere modificati e conterranno uno dei seguenti indicatori di regione: app.wdesk.com, apac.wdesk.com, ca.wdesk.com o eu.wdesk.com.
3. Invia questi URL dei metadati Workiva all'amministratore del provider di identità.
   Puoi anche fare clic su Scarica XML metadati Workiva per scaricare e inviare invece il file XML dei metadati Workiva all'amministratore del provider di identità.

4. Puoi regolare la Tolleranza disallineamento orologio. La tolleranza disallineamento orologio è la differenza di tempo massima consentita tra il tuo provider di identità SAML e Workiva. Il valore predefinito è 300 secondi (5 minuti).

   Suggerimento: un valore maggiore amplia la "finestra di accettazione" per le differenze di tempo. Sebbene questo migliori l'affidabilità riducendo le richieste rifiutate, introduce anche dei rischi per la sicurezza e le prestazioni. In alternativa, un valore più piccolo aumenta la probabilità di errori di autenticazione dovuti a timeout.

5. Se utilizzi Microsoft Azure come provider di identità, l'amministratore del provider di identità può fare riferimento al Passo 2 nella scheda Azure in Configurare SAML SSO con il provider di identità.
6. Se utilizzi Okta come provider di identità, l'amministratore del provider di identità può fare riferimento al Passo 3 nella scheda Okta in Configurare SAML SSO con il provider di identità.
7. Se usi un provider di identità diverso da Microsoft Azure o Okta, contatta il supporto clienti del tuo provider di identità se hai bisogno di assistenza.

Passo 4: inserisci i metadati del provider di identità in Workiva

Prerequisito: prima di procedere, devi ottenere le informazioni richieste sui metadati del provider di identità dall'amministratore del provider di identità.

• Se utilizzi Microsoft Azure come provider di identità, l'amministratore del provider di identità può fare riferimento al Passo 4 nella scheda Azure in Configurare SAML SSO con il provider di identità.
• Se utilizzi Okta come provider di identità, l'amministratore del provider di identità può fare riferimento al Passo 2 nella scheda Okta in Configurare SAML SSO con il provider di identità.
• Se utilizzi un provider di identità diverso da Microsoft Azure o Okta, contatta l'assistenza clienti del tuo provider di identità per ottenere le informazioni.

Nella sezione dei metadati del provider di identità (ad esempio, Metadati Microsoft Azure), inserisci i metadati del provider di identità.

1. Per prima cosa, nel menu a discesa Metodo di inserimento preferito seleziona come vuoi inserire i metadati del provider di identità. Puoi inserire un URL metadati federazione, caricare un file XML metadati o inserire i metadati tramite l'Inserimento manuale.
   

2. Nella finestra di dialogo di selezione file, seleziona il file contenente le informazioni sui metadati del provider di identità, quindi fai clic su Importa.

   

   In alternativa, puoi inserire i valori manualmente:
   

Passaggio 5: impostare la mappatura utenti

Nella sezione Mappatura utenti, fai clic sul menu a discesa e seleziona una di queste opzioni:

• Mappare gli utenti con il loro nome utente Workiva (consigliato)
• Mappare gli utenti manualmente

Nota: se hai inserito le informazioni sui metadati del provider di identità manualmente, devi attivare le Opzioni avanzate per questa sezione.

Mappare gli utenti con il loro nome utente Workiva

Se hai selezionato Mappa gli utenti al loro nome utente Workiva nel menu a discesa, al momento dell'accesso dell'utente Workiva si aspetterà che l'attributo Primary NameID in entrata corrisponda al nome utente Workiva, ignorando la distinzione tra maiuscole e minuscole. Ad esempio, questo permette a User.Name.Example di corrispondere a user.name.example.

Puoi quindi fare clic sul menu a discesa Imposta mappatura e selezionare Imposta tutti gli ID SSO al nome utente Workiva per popolare la tabella.

Fai clic su Crea configurazione per procedere.

Mappatura manuale degli utenti

Se hai selezionato Mappa utenti manualmente nel menu a discesa, per prima cosa controlla le opzioni avanzate. Sotto Posizione NameIdentifier, per la maggior parte delle configurazioni sarà selezionata l'opzione NameIdentifier è nella dichiarazione Soggetto. Ciò significa che Workiva verificherà la presenza dell'elemento NameIdentifier nella dichiarazione Oggetto.

Tuttavia, puoi selezionare l'opzione NameIdentifier è usato in un attributo di un altro elemento e inserire l'attributo dell'elemento NameIdentifier, in modo che l'applicazione cerchi l'attributo nella risposta SAML.

Nota: la maggior parte degli amministratori della sicurezza dell'organizzazione non modifica la posizione del NameIdentifier rispetto all'impostazione predefinita. Prima di apportare modifiche, contatta il Workiva Support per ricevere assistenza.

Mappa gli utenti tramite importazione file

Fai clic su Imposta mappatura e seleziona Importa ID SSO tramite file per mappare gli utenti agli ID SSO in un file di mappatura .csv (vedi Requisiti del file di mappatura .csv dell'ID SAML).

• Nel file di mappatura non sono necessarie intestazioni.
• Tutte le righe verranno elaborate e le righe non valide verranno ignorate.
• In caso di nomi utente duplicati, verrà usata solo la prima riga con quel nome utente.
• Se un nome utente fornito ha già una mappatura esistente, la mappatura verrà aggiornata con il valore contenuto nel file di mappatura.
• Se le righe vengono saltate, gli errori verranno registrati nel registro delle attività di SAML single sign-on.

Mappa gli utenti singolarmente

Se hai bisogno di impostare o modificare gli ID SSO per gli utenti singolarmente, cerca l'utente o usa il filtro Stato ID SSO per trovare più facilmente l'utente. Poi nella tabella, fai doppio clic sul campo ID SSO accanto all'utente e inserisci l'ID SSO corretto.

Dopo aver impostato la mappatura utenti, fai clic su Crea configurazione per procedere.

Requisiti del file di mappatura ID SAML .csv

Una riga valida nel file di mappatura ID SAML .csv si attiene al seguente formato:

samlId,username

Una riga può essere non valida se:

• Ci sono meno di due elementi nella riga
• L'ID SAML e/o il nome utente non sono stati forniti
• Il nome utente fornito non esiste
• L'utente con il nome utente fornito non è un membro dell'organizzazione
• L'organizzazione principale dell'utente con il nome utente fornito non è la stessa dell'organizzazione che si sta modificando
• L'ID SAML fornito è già stato preso da un altro utente

Un esempio di file di mappatura valido è il seguente:

exampleSamlId,exampleUsername exampleSamlId2,exampleUsername2 exampleSamlId3,exampleUsername3

Passo 6: attiva la tua configurazione SAML SSO

Dopo aver creato la tua configurazione SAML SSO, dovrai attivarla esplicitamente affinché entri in vigore.

Fai clic su Attiva nella configurazione. La tua configurazione apparirà quindi come Attiva.

Passo 7: aggiorna le opzioni di autenticazione SAML SSO

Workiva consiglia vivamente di forzare l'accesso tramite SSO per gli utenti come best practice per semplificare il processo di login e offrire una migliore esperienza complessiva. Dopo aver creato e attivato la tua configurazione SAML SSO:

1. Nella scheda Single sign-on, la sezione Forza SSO ed eccezioni presenta due opzioni di autenticazione:

   • Forza gli utenti ad accedere con SSO (Consigliato): gli utenti non amministratori devono usare SSO, mentre gli amministratori della sicurezza dell'organizzazione possono continuare ad accedere con nome utente e password. Questa opzione funziona meglio se la tua azienda vuole forzare l'SSO ma consentire comunque agli Amministratori della sicurezza dell'organizzazione di accedere alla piattaforma in caso di problemi con l'SSO.

     Nota: assicurati di condurre test completi e di essere completamente sicuro della tua configurazione SAML SSO prima di abilitare questa opzione.

   • Forza gli amministratori della sicurezza dell'organizzazione ad accedere con SSO: gli amministratori della sicurezza dell'organizzazione devono usare SSO. Questa opzione funziona meglio se le politiche di sicurezza dell'azienda non vogliono esentare gli utenti dal requisito SSO. Per abilitare questa opzione, devi anche selezionare Forza gli utenti ad accedere con SSO. Si trova nella pagina Requisiti SSO, nella scheda Autenticazione.
     
2. Dopo aver selezionato le opzioni, fai clic su Salva.

Se lo desideri, puoi consentire a utenti specifici di accedere senza SAML SSO aggiungendoli all'elenco delle eccezioni SSO.

Nota: prima di forzare SAML SSO, assicurati di aggiungere gli utenti necessari all'elenco delle eccezioni SSO per evitare che non possano più accedere ai propri account.