Nastavenia a správa

Firemné prihlásenie (SSO)

Ako sa môžu zamestnanci prihlasovať firemným účtom Microsoft alebo Google?

Firma, ktorá má Microsoft 365, Google Workspace alebo vlastného poskytovateľa identity (Okta, Keycloak), napojí naň Ledgio. Zamestnanci sa potom prihlasujú tým istým účtom ako do pošty a kto z firmy odíde, toho správca IT zablokuje na jednom mieste.

Potrebuje plán Firma alebo Enterprise.

1. 1

   Zaregistrujte Ledgio u poskytovateľa identity

   Nastavenia → Bezpečnosť → Firemné prihlásenie (SSO)

   Správca IT založí u poskytovateľa aplikáciu typu web s adresou presmerovania, ktorú ukazuje obrazovka firemného prihlásenia. Pri Microsoft Entra ID pridá do tokenu voliteľné nároky email, xms_edov, acct a amr — bez xms_edov Ledgio adresu neprijme, lebo Microsoft e-mail v tokene sám za overený nepovažuje. Pri Google Workspace zvolí interný typ aplikácie, aby sa prihlásili len účty organizácie. Postup krok za krokom je priamo na obrazovke.

2. 2

   Vložte údaje pripojenia

   Nastavenia → Bezpečnosť → Firemné prihlásenie (SSO)

   Vyberiete poskytovateľa a vložíte identifikátor klienta a tajomstvo, pri Microsofte aj identifikátor adresára, pri inom poskytovateľovi adresu vydavateľa. Tajomstvo sa ukladá šifrované a späť ho už nikto neuvidí.

3. 3

   Overte doménu záznamom v DNS

   Nastavenia → Bezpečnosť → Firemné prihlásenie (SSO)

   Pridáte doménu, na ktorej máte firemné e-maily, a do jej DNS vložíte TXT záznam ledgio-verify=…, ktorý obrazovka ukáže. Firemným prihlásením sa potom prihlási len adresa z overenej domény — inak by si ktokoľvek mohol nastaviť prihlásenie na cudziu doménu. Jednu doménu má overenú vždy len jedna firma.

4. 4

   Vyskúšajte prihlásenie a zapnite ho

   Nastavenia → Bezpečnosť → Firemné prihlásenie (SSO)

   Tlačidlo Vyskúšať prihlásenie prejde celé prihlásenie u poskytovateľa, ale nikoho neprihlási — len zapíše, či prešlo a s akou adresou. Zapnúť sa dá až pripojenie, ktorého skúška prešla. Odvtedy prihlasovacia obrazovka po zadaní e-mailu z vašej domény ponúkne Pokračovať cez firemný účet.

5. 5

   Rozhodnite o zakladaní účtov

   Nastavenia → Bezpečnosť → Firemné prihlásenie (SSO)

   Bez zakladania sa firemným účtom prihlási len ten, koho ste do Ledgia pozvali alebo kto už je členom. So zapnutým zakladaním vznikne človeku z overenej domény účet pri prvom prihlásení s rolou Len na čítanie alebo Používateľ — správcu tak založiť nemožno. Nový človek zaberá licenciu; keď sú vyčerpané, účet nevznikne.

6. 6

   Vynúťte firemné prihlásenie

   Nastavenia → Bezpečnosť → Firemné prihlásenie (SSO)

   Po vynútení sa ľudia z overenej domény neprihlásia heslom, osobným Googlom ani odkazom z e-mailu. Núdzový prístup pre prípad výpadku poskytovateľa má správca firmy — heslom s kódom z aplikácie alebo prihlasovacím kľúčom. Preto si ho pred vynútením zapnite; bez neho Ledgio vynútiť nedovolí.

Časté chyby

• Vynútenie bez dvojfaktorového prihlásenia u správcu — pri výpadku poskytovateľa by sa do firmy nedostal nikto. Ledgio to preto nedovolí.
• Pri Microsofte chýba v tokene nárok xms_edov: prihlásenie skončí hláškou, že e-mail nie je overený. Doplní sa v Token configuration registrácie aplikácie.
• Tajomstvo klienta s krátkou platnosťou: po jeho vypršaní prihlásenie prestane fungovať pre všetkých. Dátum si poznačte a nové vložte vopred.
• Čakanie, že zablokovaný zamestnanec vypadne hneď — prihlásenie cez firemný účet platí najviac 10 hodín. Kto má byť vonku okamžite, toho odoberte aj v Nastavenia → Používatelia.
• Overovací TXT záznam po overení zmazaný — overenie platí, ale pri zmene domény alebo jej prechode inej firme ho budete potrebovať znova.

Súvisí