Workiva-ondersteuningscentrum

Beveiligingsbeheerders van de organisatie kunnen de onderstaande stappen volgen om SAML single sign-on instellingen voor de organisatie te configureren. SAML-gebaseerde single sign-on (SSO) geeft leden toegang tot Workiva via een identiteitsprovider (IdP). Voordat u de instellingen configureert, moet u eerst Wat is SAML single sign-on?hebben bekeken.

Opmerking: Organisatiebeveiligingsbeheerders moeten aan een werkruimte worden toegevoegd om toegang te krijgen tot Organisatiebeheer.

Stap 1: Ga naar de SAML SSO-instellingen

1. Ga naar Organisatiebeheer.
2. Klik op Beveiliging in het menu aan de linkerkant.
3. Klik op het tabblad Single Sign-On.

Als je al een SSO-configuratie hebt, ziet de pagina er als volgt uit:

Stap 2: Maak uw SAML SSO-configuratie aan en selecteer uw identiteitsprovider.

1. Klik op SSO-configuratie maken.
2. Voer een configuratienaam in en selecteer de identiteitsprovider (IdP) uit de vervolgkeuzelijst.
3. Klik op Configuratie maken om verder te gaan.

Stap 3: Stuur de Workiva-metadata naar de beheerder van uw identiteitsprovider.

1. Onder het gedeelte Workiva metadata ziet u de Identifier (Entity ID) en Reply URL.
2. Klik op Geavanceerde opties om de Aanmeld-URL en Afmeld-URLte bekijken.
   Deze URL's zijn uniek voor elke organisatie en kunnen niet worden gewijzigd. Ze bevatten app.wdesk.com, eu.wdesk.com, of apac.wdesk.com.
   
3. Stuur deze Workiva-metadata-URL's naar de beheerder van uw identiteitsprovider.
   U kunt ook klikken op Workiva metadata XML downloaden om het Workiva metadata XML-bestand te downloaden en naar de beheerder van uw identiteitsprovider te sturen.

4. U kunt uw Klokafwijkingstoeslagaanpassen. Clock Skew Allowance is het maximaal toegestane tijdsverschil tussen uw SAML-identiteitsprovider en Workiva. De standaardwaarde is 300 seconden (5 minuten).

   Tip: Een grotere waarde vergroot de "acceptatiemarge" voor tijdsverschillen. Hoewel dit de betrouwbaarheid verbetert door het aantal afgewezen verzoeken te verminderen, brengt het ook risico's met zich mee op het gebied van beveiliging en prestaties. Een kleinere waarde vergroot daarentegen de kans op authenticatiefouten als gevolg van time-outs.

5. Als u Microsoft Azure als uw identiteitsprovider gebruikt, kan uw identiteitsproviderbeheerder Stap 2 onder het tabblad Azure in SAML SSO configureren met uw identiteitsproviderraadplegen.
6. Als u Okta als identiteitsprovider gebruikt, kan de beheerder van uw identiteitsprovider Stap 3 onder het Okta-tabblad in SAML SSO configureren met uw identiteitsproviderraadplegen.
7. Als u een andere identiteitsprovider gebruikt dan Microsoft Azure of Okta, neem dan contact op met de klantenservice van uw identiteitsprovider als u hulp nodig hebt.

Stap 4: Voer de metadata van uw identiteitsprovider in Workiva in.

Vereiste: U moet de benodigde metagegevens van de identiteitsprovider verkrijgen van de beheerder van uw identiteitsprovider voordat u verder kunt gaan.

• Als u Microsoft Azure als uw identiteitsprovider gebruikt, kan de beheerder van uw identiteitsprovider Stap 4 onder het tabblad Azure in SAML SSO configureren met uw identiteitsproviderraadplegen.
• Als u Okta als uw identiteitsprovider gebruikt, kan de beheerder van uw identiteitsprovider Stap 2 onder het Okta-tabblad in SAML SSO configureren met uw identiteitsproviderraadplegen.
• Als u een andere identiteitsprovider dan Microsoft Azure of Okta gebruikt, neem dan contact op met de klantenservice van uw identiteitsprovider voor de benodigde informatie.

Voer onder het gedeelte metagegevens van de identiteitsprovider (bijvoorbeeld Microsoft Azure-metagegevens) de metagegevens van de identiteitsprovider in.

1. Selecteer eerst in het dropdownmenu Voorkeursmethode voor invoer hoe u de metagegevens van de identiteitsprovider wilt invoeren. U kunt een Federatie-metadata-URLinvoeren, een Metadata-XML-bestanduploaden of de metadata handmatig invoeren .
   

2. Selecteer in het dialoogvenster voor bestandsselectie het bestand dat de metagegevens van de identiteitsprovider bevat en klik vervolgens op Importeren.

   

   U kunt de waarden ook handmatig invoeren:
   

Stap 5: Gebruikersmapping instellen

Klik in het gedeelte Gebruikerstoewijzing op het vervolgkeuzemenu en selecteer een van de volgende opties:

• Koppel gebruikers aan hun Workiva-gebruikersnaam (aanbevolen)
• Gebruikers handmatig in kaart brengen

Opmerking: Als u de metagegevens van de identiteitsprovider handmatig hebt ingevoerd, moet u de Geavanceerde opties voor dit gedeelte inschakelen.

Gebruikers koppelen aan hun Workiva-gebruikersnaam

Als je in het dropdownmenu Map users to their Workiva username hebt geselecteerd, verwacht Workiva dat het binnenkomende Primary NameID-attribuut overeenkomt met de Workiva-gebruikersnaam, ongeacht hoofdlettergevoeligheid, wanneer de gebruiker inlogt. Dit maakt het bijvoorbeeld mogelijk dat User.Name.Example overeenkomt met user.name.example.

U kunt vervolgens op het vervolgkeuzemenu Mapping instellen klikken en Alle SSO-ID's instellen op Workiva-gebruikersnaam selecteren om de tabel te vullen.

Klik op Configuratie maken om verder te gaan.

Gebruikers handmatig in kaart brengen

Als je in het dropdownmenu Gebruikers handmatig toewijzen hebt geselecteerd, controleer dan eerst de geavanceerde opties. Onder NameIdentifier locationhebben de meeste configuraties de optie NameIdentifier is in Subject statement geselecteerd. Dit betekent dat Workiva zal controleren of het element NameIdentifier in de Subject-verklaring aanwezig is.

U kunt echter de optie NameIdentifier is in a different element attribute selecteren en NameIdentifier element attributeinvoeren, zodat de applicatie naar het attribuut in het SAML-antwoord zoekt.

Opmerking: De meeste beveiligingsbeheerders van organisaties zullen de locatie van de NameIdentifier niet wijzigen van de standaardwaarde. Neem voor het

Gebruikers in kaart brengen via bestandsimport

Klik op Mapping instellenen selecteer SSO-ID's importeren via bestand om gebruikers te koppelen aan de SSO-ID's in een .csv-mappingbestand (zie Vereisten voor SAML ID .csv-mappingbestand).

• Er zijn geen headers nodig in het mappingbestand.
• Alle rijen worden verwerkt en ongeldige rijen worden overgeslagen.
• Als er dubbele gebruikersnamen zijn, wordt alleen de eerste rij met die gebruikersnaam gebruikt.
• Als een opgegeven gebruikersnaam al een bestaande koppeling heeft, wordt deze koppeling bijgewerkt naar de gegevens in het koppelingsbestand.
• Als rijen worden overgeslagen, worden de fouten vastgelegd in het SAML single sign-on activiteitenlogboek.

Kaartgebruikers individueel

Als u SSO-ID's voor individuele gebruikers wilt instellen of bewerken, zoek dan naar de gebruiker en/of gebruik het filter SSO ID-status om de gebruiker gemakkelijker te vinden. Dubbelklik vervolgens in de tabel op het veld SSO ID naast de gebruiker en voer de juiste SSO ID in.

Nadat je de gebruikersmapping hebt ingesteld, klik je op Configuratie maken om verder te gaan.

Vereisten voor het SAML ID .csv-mappingbestand

Een geldige rij in het SAML ID .csv-mappingbestand heeft de volgende indeling:

samlId,gebruikersnaam

Een rij kan ongeldig zijn als:

• Er staan ​​minder dan twee items in de rij.
• De SAML-ID en/of gebruikersnaam wordt niet verstrekt.
• De opgegeven gebruikersnaam bestaat niet.
• De gebruiker met de opgegeven gebruikersnaam is geen lid van de organisatie.
• De primaire organisatie van de gebruiker met de opgegeven gebruikersnaam is niet dezelfde als de organisatie die momenteel wordt gewijzigd.
• De opgegeven SAML-ID is al in gebruik door een andere gebruiker.

Een voorbeeld van een geldig mappingbestand ziet er als volgt uit:

voorbeeldSamlId, voorbeeldGebruikersnaam voorbeeldSamlId2, voorbeeldGebruikersnaam2 voorbeeldSamlId3, voorbeeldGebruikersnaam3

Stap 6: Activeer uw SAML SSO-configuratie

Nadat je je SAML SSO-configuratie hebt aangemaakt, moet je deze expliciet activeren om de configuratie van kracht te laten worden.

Klik op Activeren in de configuratie. Uw configuratie wordt dan weergegeven als Actief.

Stap 7: SAML SSO-authenticatieopties bijwerken

Workiva raadt ten zeerste aan om gebruikers te verplichten in te loggen via SSO. Dit is een goede werkwijze om het inlogproces te vereenvoudigen en een betere algehele gebruikerservaring te bieden. Nadat u uw SAML SSO-configuratie hebt aangemaakt en geactiveerd:

1. Onder het tabblad Single sign-on biedt het gedeelte Force SSO and exceptions twee authenticatieopties:

   • Gebruikers dwingen om in te loggen met SSO (Aanbevolen): Niet-beheerders worden gedwongen om SSO te gebruiken, terwijl beveiligingsbeheerders van de organisatie kunnen blijven inloggen met hun gebruikersnaam en wachtwoord. Deze optie werkt het beste als uw bedrijf SSO wil afdwingen, maar de beveiligingsbeheerders van de organisatie wel toegang tot het platform willen blijven geven als er problemen met SSO optreden.

     Opmerking: Zorg ervoor dat u uitgebreide tests uitvoert en dat u volledig vertrouwd bent met uw SAML SSO-configuratie voordat u deze optie inschakelt.

   • Dwing beveiligingsbeheerders van de organisatie om in te loggen met SSO: Beveiligingsbeheerders van de organisatie worden gedwongen om SSO te gebruiken. Deze optie werkt het beste als het beveiligingsbeleid van het bedrijf gebruikers niet wil vrijstellen van de SSO-vereiste. Om deze optie in te schakelen, moet u ook Gebruikers dwingen zich aan te melden via SSOaanvinken.
     
2. Nadat je je opties hebt geselecteerd, klik je op Opslaan.

Indien gewenst kunt u specifieke gebruikers toestaan ​​zich aan te melden zonder SAML SSO door ze toe te voegen aan deSSO -uitzonderingslijst.

Opmerking: Voordat u SAML SSO forceert, moet u ervoor zorgen dat u de benodigde gebruikers toevoegt aan de lijst met SSO-uitzonderingen om te voorkomen dat gebruikers de toegang tot hun accounts wordt ontzegd.