Nastavení a správa
Firemní přihlášení (SSO)
Jak se mohou zaměstnanci přihlašovat firemním účtem Microsoft nebo Google?
Firma, která má Microsoft 365, Google Workspace nebo vlastního poskytovatele identity (Okta, Keycloak), na něj napojí Ledgio. Zaměstnanci se pak přihlašují stejným účtem jako do pošty a kdo z firmy odejde, toho správce IT zablokuje na jednom místě.
Potřebuje plán Firma nebo Enterprise.
1
Zaregistrujte Ledgio u poskytovatele identity
Nastavení → Zabezpečení → Firemní přihlášení (SSO)
Správce IT založí u poskytovatele aplikaci typu web s adresou přesměrování, kterou ukazuje obrazovka firemního přihlášení. U Microsoft Entra ID přidá do tokenu volitelné nároky email, xms_edov, acct a amr — bez xms_edov Ledgio adresu nepřijme, protože Microsoft e-mail v tokenu sám za ověřený nepovažuje. U Google Workspace zvolí interní typ aplikace, aby se přihlásily jen účty organizace. Postup krok za krokem je přímo na obrazovce.
2
Vložte údaje připojení
Nastavení → Zabezpečení → Firemní přihlášení (SSO)
Vyberete poskytovatele a vložíte identifikátor klienta a tajemství, u Microsoftu i identifikátor adresáře, u jiného poskytovatele adresu vydavatele. Tajemství se ukládá šifrované a zpět ho už nikdo neuvidí.
3
Ověřte doménu záznamem v DNS
Nastavení → Zabezpečení → Firemní přihlášení (SSO)
Přidáte doménu, na které máte firemní e-maily, a do jejího DNS vložíte TXT záznam ledgio-verify=…, který obrazovka ukáže. Firemním přihlášením se pak přihlásí jen adresa z ověřené domény — jinak by si kdokoli mohl nastavit přihlášení na cizí doménu. Jednu doménu má ověřenou vždy jen jedna firma.
4
Vyzkoušejte přihlášení a zapněte ho
Nastavení → Zabezpečení → Firemní přihlášení (SSO)
Tlačítko Vyzkoušet přihlášení projde celé přihlášení u poskytovatele, ale nikoho nepřihlásí — jen zapíše, zda prošlo a s jakou adresou. Zapnout lze až připojení, jehož zkouška prošla. Od té chvíle přihlašovací obrazovka po zadání e-mailu z vaší domény nabídne Pokračovat přes firemní účet.
5
Rozhodněte o zakládání účtů
Nastavení → Zabezpečení → Firemní přihlášení (SSO)
Bez zakládání se firemním účtem přihlásí jen ten, koho jste do Ledgia pozvali nebo kdo už je členem. Se zapnutým zakládáním vznikne člověku z ověřené domény účet při prvním přihlášení s rolí Jen pro čtení nebo Uživatel — správce tak založit nelze. Nový člověk zabírá licenci; když jsou vyčerpané, účet nevznikne.
6
Vynuťte firemní přihlášení
Nastavení → Zabezpečení → Firemní přihlášení (SSO)
Po vynucení se lidé z ověřené domény nepřihlásí heslem, osobním Googlem ani odkazem z e-mailu. Nouzový přístup pro případ výpadku poskytovatele má správce firmy — heslem s kódem z aplikace nebo přihlašovacím klíčem. Proto si ho před vynucením zapněte; bez něj Ledgio vynutit nedovolí.
Časté chyby
- Vynucení bez dvoufázového přihlášení u správce — při výpadku poskytovatele by se do firmy nedostal nikdo. Ledgio to proto nedovolí.
- U Microsoftu chybí v tokenu nárok xms_edov: přihlášení skončí hláškou, že e-mail není ověřený. Doplní se v Token configuration registrace aplikace.
- Tajemství klienta s krátkou platností: po jeho vypršení přihlášení přestane fungovat pro všechny. Datum si poznamenejte a nové vložte předem.
- Čekání, že zablokovaný zaměstnanec vypadne hned — přihlášení přes firemní účet platí nejvýše 10 hodin. Kdo má být venku okamžitě, toho odeberte i v Nastavení → Uživatelé.
- Ověřovací TXT záznam po ověření smazaný — ověření platí, ale při změně domény nebo jejím přechodu k jiné firmě ho budete potřebovat znovu.