Einskráning (SSO)

Yfirlit

Með einskráningu (e. Single Sign-On, SSO) skrá starfsmenn ykkar sig inn í Manor í gegnum miðlæga auðkennisveitu (e. identity provider, IdP) fyrirtækisins. Þegar Manor er tengt við auðkenniskerfi fyrirtækisins nota notendur sömu innskráningarupplýsingar og annars staðar í fyrirtækinu og þurfa ekki sérstakt notandanafn og lykilorð fyrir Manor.

Af hverju að nota SSO með Manor?

• Miðlæg auðkennastjórnun: Auðkenningu notenda, lykilorðareglum og líftíma aðganga er stjórnað á einum stað.
• Aukið öryggi: Öryggisreglur fyrirtækisins gilda um alla notendur, þar á meðal fjölþátta auðkenning (MFA), skilyrtur aðgangur (Conditional Access) og kröfur um flókin lykilorð.
• Einfaldari aðgangur: Notendur þurfa ekki að muna fleiri lykilorð. Þeir skrá sig einu sinni inn á gátt fyrirtækisins og komast svo beint inn í Manor.
• Sjálfvirk nýliðun: Aðgangur nýs starfsmanns er stofnaður sjálfkrafa (JIT) þegar hann skráir sig inn í fyrsta sinn.
• Tafarlaus lokun aðgangs: Aðgangi að Manor er lokað um leið og aðgangur starfsmanns er gerður óvirkur eða úthlutun hans afturkölluð í auðkennisveitunni.

Studdar auðkennisveitur

Manor styður staðalinn SAML 2.0 (Security Assertion Markup Language). Hægt er að tengja Manor við hvaða auðkennisveitu sem styður SAML 2.0, til dæmis:

• Microsoft Entra ID (áður Azure Active Directory)
• Okta
• Google Workspace
• PingIdentity / PingFederate
• OneLogin

Uppsetning

Ekki er hægt að setja upp einskráningu sjálfur inni í Manor. Til að tryggja hámarksöryggi, staðfesta auðkennalén og tryggja rétta leiðsögn innskráninga er öll SSO-tenging fyrirtækja sett upp í samvinnu við þjónustuver Manor.

Yfirlit yfir uppsetningarferlið

+--------------------------+     SAML-lýsigögn og upplýsingar um tenant     +--------------------------+
|                          | ---------------------------------------------> |                          |
|  Kerfisstjóri fyrirtækis |                                                |    Þjónustuver Manor     |
| (Microsoft Entra / IdP)  | <--------------------------------------------- | (uppsetning auðkenninga) |
+--------------------------+        SP Entity ID og ACS Reply URL           +--------------------------+

1. Það sem fyrirtækið þarf að undirbúa

Áður en þið hafið samband við þjónustuver Manor skuluð þið taka saman eftirfarandi upplýsingar úr auðkennisveitunni:

1. Lýsigögn auðkennisveitu:
   • Skrána Federation Metadata XML (mælt með) eða opinberu slóðina App Federation Metadata URL.
2. Entity ID / Issuer URL:
   • Einkvæmt auðkenni auðkennisveitunnar (t.d. https://sts.windows.net/<tenant-id>/).
3. Netfangalén:
   • Netfangalén sem starfsmenn nota (t.d. @example.com).
4. Tæknilegur tengiliður:
   • Nafn og netfang kerfisstjórans sem ber ábyrgð á tengingunni.
5. Óskir um einútskráningu (SLO):
   • Hvort notendur eigi að vera sendir á miðlæga útskráningu (SLO) þegar þeir skrá sig út úr Manor.

Sendið þessar upplýsingar til þjónustuvers Manor til að hefja tenginguna.

2. Það sem þjónustuver Manor sendir til baka

Þegar þjónustuver Manor hefur sett fyrirtækið upp í auðkenningarkerfi Manor fær kerfisstjórinn ykkar sendar þær stillingar sem þarf fyrir Manor sem þjónustuveitu (e. Service Provider, SP):

• Service Provider Entity ID / Identifier: Einkvæm URI-slóð sem auðkennir Manor sem traustan aðila (e. relying party).
• Assertion Consumer Service (ACS) / Reply URL: Slóðin sem auðkennisveitan sendir SAML-staðfestingar á (t.d. https://auth.manor.app/login/callback eða sérstök slóð fyrir fyrirtækið).
• Relay State / Sign-On URL: Upphafsslóð fyrir innskráningu sem hefst hjá þjónustuveitunni (SP) fyrir ykkar Manor-uppsetningu.

Þegar þessar stillingar eru komnar inn í auðkennisveituna og notendum hefur verið úthlutað aðgangi er hægt að prófa tenginguna.

Uppsetning Microsoft Entra ID (Azure Active Directory)

Hér eru leiðbeiningar skref fyrir skref fyrir kerfisstjóra sem setja upp Microsoft Entra ID sem SAML 2.0 auðkennisveitu fyrir Manor. Heiti í viðmóti Microsoft eru höfð á ensku eins og þau birtast þar.

Skref 1: Stofna Enterprise Application

1. Skráðu þig inn í Microsoft Entra admin center eða Azure Portal sem Cloud Application Administrator eða Global Administrator.
2. Farðu í Identity → Applications → Enterprise applications.
3. Smelltu á + New application efst á síðunni.
4. Smelltu á Create your own application.
5. Í forminu sem birtist:
   • Gefðu forritinu heiti (t.d. Manor).
   • Veldu Integrate any other application you don't find in the gallery (Non-gallery).
6. Smelltu á Create.

Skref 2: Grunnstillingar SAML

1. Á yfirlitssíðu forritsins skaltu velja Single sign-on í hliðarvalmyndinni vinstra megin.
2. Veldu SAML sem einskráningaraðferð.
3. Smelltu á Edit (blýantstáknið) í reitnum Basic SAML Configuration.
4. Sláðu inn gildin sem þú fékkst frá þjónustuveri Manor:
   • Identifier (Entity ID): Límdu inn Service Provider Entity ID frá þjónustuveri Manor og hakaðu við Default.
   • Reply URL (Assertion Consumer Service URL): Límdu inn ACS-slóðina frá þjónustuveri Manor og hakaðu við Default.
   • Sign on URL (valkvætt): Sláðu inn beina innskráningarslóð fyrirtækisins í Manor fyrir innskráningu sem hefst hjá Manor (SP).
   • Relay State (valkvætt): Sláðu inn Relay State ef þjónustuver Manor hefur gefið það upp.
5. Smelltu á Save efst í glugganum og lokaðu honum.

Skref 3: Eigindi og fullyrðingar notenda (Attributes & Claims)

Manor þarf tilteknar fullyrðingar (e. claims) um notendur til að bera kennsl á þá og fylla út notandasnið við innskráningu.

1. Smelltu á Edit í reitnum Attributes & Claims.
2. Staðfestu eða uppfærðu eftirfarandi fullyrðingar:

Mikilvægt: Netfangið í fullyrðingunni verður að vera vinnunetfang notandans. Manor notar þetta netfang til að para notendur við núverandi aðganga og til að stofna nýja.

3. Smelltu á Save og lokaðu glugganum.

Skref 4: Sækja lýsigögn (Federation Metadata)

1. Í reitnum SAML Certificates:
   • Finndu Federation Metadata XML og smelltu á Download, eða afritaðu App Federation Metadata Url.
2. Sendu skrána eða slóðina á öruggan hátt til þjónustuvers Manor ef það hefur ekki þegar verið gert.

Skref 5: Úthluta notendum og hópum

Notendur geta ekki skráð sig inn í gegnum Entra ID fyrr en þeim hefur sérstaklega verið úthlutað aðgangi að forritinu.

1. Veldu Users and groups í hliðarvalmynd forritsins.
2. Smelltu á + Add user/group.
3. Undir Users skaltu smella á None Selected til að opna notendavalið.
4. Veldu þá starfsmenn eða öryggishópa sem eiga að fá aðgang að Manor.
5. Smelltu á Select og síðan á Assign.

Ábending: Með því að úthluta öryggishópum (t.d. „Allir starfsmenn“ eða „Notendur Manor“) verður auðveldara að veita nýju starfsfólki aðgang eftir því sem fyrirtækið stækkar.

Skref 6: Prófa einskráningu

1. Í SAML-stillingum einskráningar skaltu skruna niður að skrefi 5: Test single sign-on with Manor.
2. Smelltu á Test til að prófa innskráningu.
3. Gakktu úr skugga um að Entra ID skili gildu SAML-svari og að aðgangur sé veittur.

Stofnun notenda og hegðun aðganga

Sjálfvirk stofnun notenda (JIT)

Manor styður sjálfvirka stofnun notenda við fyrstu innskráningu (e. Just-In-Time, JIT). Þegar notandi með heimild skráir sig inn með SSO í fyrsta sinn:

1. Kannar Manor hvort til sé aðgangur með sama netfang og kemur fram í fullyrðingunni.
2. Ef enginn slíkur aðgangur finnst stofnar Manor sjálfkrafa nýtt notandasnið út frá nafni, netfangi og öðrum auðkennisupplýsingum í SAML-staðfestingunni.
3. Notandinn er skráður inn strax, án þess að kerfisstjóri hafi þurft að stofna aðganginn fyrir fram.

Upphafleg úthlutun hlutverka

Þegar notandaaðgangur er stofnaður sjálfkrafa (JIT):

• Fyrsti notandi kerfisins: Ef notandinn er sá allra fyrsti sem stofnaður er í Manor-uppsetningunni fær hann sjálfkrafa öll þrjú grunnhlutverkin: Kerfisstjóri, Stjórnandi og Starfsmaður. Þannig hefur sá sem setur kerfið upp fullan aðgang til að stilla það fyrir fyrirtækið.
• Síðari notendur: Hægt er að stilla hvaða hlutverk nýir notendur fá sjálfgefið. Kerfisstjórar finna stillingarnar á hlutverkasíðunni (Kerfisstjórn → Hlutverk → Stillingar). Sjálfgefið er aðeins hlutverkið Starfsmaður valið.
  • Í glugganum Stillingar hlutverka geta kerfisstjórar valið, undir Sjálfgefin hlutverk, hvaða hlutverkum (innbyggðum eða sérsniðnum) er úthlutað sjálfkrafa. Hægt er að velja fleiri en eitt sjálfgefið hlutverk ef þörf krefur. Undir stillingunni stendur: „Nýir notendur eru stofnaðir með sjálfgefin hlutverk virk.“
  • Í sama glugga er einnig stillingin Gera innbyggð hlutverk óvirk, sem gerir þér kleift að fela innbyggðu hlutverkin alveg (sjá Fela innbyggð hlutverk hér að neðan).
  • Leiðbeiningar skref fyrir skref um sjálfgefin hlutverk eru í greininni Sjálfgefnar hlutverkastillingar.
  • Kerfisstjórar geta hvenær sem er úthlutað hvaða notanda sem er fleiri innbyggðum hlutverkum eða sérsniðnum hlutverkum undir Notendur.

Sömu sjálfgefnu hlutverkin gilda þegar kerfisstjóri stofnar notanda handvirkt í gegnum Kerfisstjórn → Notendur → Nýr notandi. Í hlutanum Hlutverk í forminu Nýr notandi er aðeins hakað fyrir fram við hlutverkið Starfsmaður, í samræmi við sjálfgefnu stillinguna í Stillingar hlutverka hér að ofan. Önnur hlutverk þarf að velja handvirkt ef þeirra er þörf. Nýir SSO/JIT-notendur og handvirkt stofnaðir notendur byrja því með sömu sjálfgefnu hlutverkin og fleiri hlutverkum er bætt við síðar undir Kerfisstjórn → Notendur.

Fela innbyggð hlutverk

Í glugganum Stillingar hlutverka er einnig stillingin Gera innbyggð hlutverk óvirk, sem gerir þér kleift að koma alveg í veg fyrir að innbyggð hlutverk séu notuð.

• Nei (sjálfgefið): Innbyggðu hlutverkin Starfsmaður, Stjórnandi og Kerfisstjóri eru áfram tiltæk og hægt að úthluta þeim til notenda.
• Já: Hlutverkin Starfsmaður, Stjórnandi og Kerfisstjóri eru falin í kerfinu, þannig að aðeins sérsniðin hlutverk eru tiltæk. Þá er aðeins hægt að úthluta notendum sérsniðnum hlutverkum.

Undir stillingunni stendur: „Fela hlutverk starfsmanns, stjórnanda og kerfisstjóra úr kerfinu, þannig að aðeins sérsniðin hlutverk séu leyfð.“

Smelltu á Vista til að vista breytingar.

Persónulegur tímataxti stofnaður

Ef persónulegir tímataxtar eru virkir í reikningsstillingum fyrirtækisins er persónulegur taxti nýrra JIT-notenda stofnaður sjálfkrafa. Starfsmaðurinn getur þá strax skráð tíma og tekið þátt í verkáætlunum án þess að setja þurfi upp reikningsupplýsingar handvirkt.

Persónulegi taxtinn er vistaður á notandaskrá starfsmannsins, í hlutanum Persónulegur tímataxti í forminu Nýr notandi (og í samsvarandi breytingaformi). Hlutinn inniheldur þrjá reiti:

• Upphafsverð (skylda): Upphaflegt útseljanlegt verð starfsmannsins.
• Kostnaðarverð: Innra kostnaðarverð starfsmannsins, notað við arðsemisútreikninga.
• Vörunúmer: Vörunúmerið sem tími starfsmannsins fylgir inn í bókhaldskerfið þegar hann er reikningsfærður.

Fyrir neðan reitinn Vörunúmer birtist hjálpartexti um að ef reiturinn er skilinn eftir tómur sé sjálfgefið vörunúmer notað, og að sjálfgefið vörunúmer megi stilla undir Stjórnun → Taxtar. Því er í lagi að skilja Vörunúmer eftir autt; Manor notar þá sjálfgefna vörunúmerið sem stillt er þar.

Notandasnið og lykilorð

Þar sem auðkenning fer fram hjá auðkennisveitu fyrirtækisins:

• Engin lykilorð vistuð í Manor: Engin staðbundin lykilorð eru vistuð í Manor fyrir notendur sem skrá sig inn með SSO.
• Lykilorðsform óvirkt: Flipinn til að breyta lykilorði (/profile/password) er sjálfkrafa falinn í valmynd notandasniðsins í SSO-lotum.
• Miðlæg stjórnun innskráningarupplýsinga: Endurstilling lykilorða, kröfur um flókin lykilorð, læsing aðganga og reglur um gildistíma lykilorða fara alfarið fram í auðkennisveitu fyrirtækisins (t.d. Entra admin center).

Eyddir og óvirkir aðgangar

Manor meðhöndlar óvirka og eydda aðganga á eftirfarandi hátt:

• Sjálfvirk endurvirkjun aðgangs: Ef starfsmaður hefur áður verið gerður óvirkur eða honum eytt (e. soft delete) í Manor en skráir sig síðan inn með gildri SSO-innskráningu fyrirtækisins, endurvirkjar Manor aðganginn sjálfkrafa (deleted_at er hreinsað) og notandinn fær strax aðgang.
• Algjör lokun aðgangs: Þar sem gildar SAML-staðfestingar endurvirkja eydda notendur sjálfkrafa verður að loka aðgangi í auðkennisveitunni. Þegar starfsmaður hættir skal fjarlægja hann úr Enterprise Application í Entra ID / Okta eða gera aðgang hans í notendaskrá fyrirtækisins óvirkan. Auk þess skal gera aðgang hans í Manor óvirkan undir Notendur svo að hann teljist ekki lengur til virkra notendaleyfa í áskriftinni.

Innskráning og útskráning notenda

Innskráningarleiðir

Manor styður báðar hefðbundnu SAML-innskráningarleiðirnar:

1. Innskráning sem hefst hjá Manor (SP-initiated)

1. Notandinn fer á innskráningarsíðu Manor.
2. Manor greinir lénið eða biður notandann um að slá inn vinnunetfangið sitt.
3. Manor vísar vafranum á auðkennisveitu fyrirtækisins (t.d. Microsoft Entra ID).
4. Notandinn lýkur auðkenningu (þ.m.t. fjölþátta auðkenningu eða lykilorðslausri innskráningu ef krafist er).
5. Auðkennisveitan sendir undirritað SAML-svar til baka á ACS-slóð Manor.
6. Manor staðfestir svarið og skráir notandann inn á persónulegt yfirlit hans.

2. Innskráning sem hefst hjá auðkennisveitu (IdP-initiated)

1. Notandinn opnar forritagátt fyrirtækisins, til dæmis:
   • Microsoft My Apps (https://myapplications.microsoft.com)
   • Forritaval Microsoft 365
   • Okta End-User Dashboard
   • Forritaskúffu Google Workspace
2. Notandinn smellir á Manor-reitinn.
3. Auðkennisveitan býr til undirritaða SAML-staðfestingu og sendir hana beint á Assertion Consumer Service-slóð Manor.
4. Manor auðkennir notandann og opnar forritið.

Útskráning

Þegar SSO-notandi skráir sig út úr Manor:

• Lotunni í Manor er lokið og vefkökur hennar ógiltar.
• Notandanum er vísað á útskráningarslóð auðkenningarkerfisins.
• Ef einútskráning (SLO) er uppsett lýkur auðkennisveitan einnig sameiginlegu lotunni, sem eykur öryggi á sameiginlegum tölvum.

Bestu starfsvenjur og öryggisatriði

1. Hafið neyðaraðgang kerfisstjóra

Hafið að minnsta kosti einn kerfisstjóraaðgang með staðfestum aðgangi sem er óháður SSO-auðkennisveitunni. Ef auðkennisveitan liggur niðri, SAML-undirritunarskírteini rennur út eða tenging við auðkennisveituna bregst getur þessi neyðarkerfisstjóri áfram sinnt nauðsynlegri umsjón með kerfinu.

2. Krefjist fjölþátta auðkenningar (MFA)

Virkið fjölþátta auðkenningu og reglur um skilyrtan aðgang (Conditional Access) beint í Microsoft Entra ID eða annarri auðkennisveitu. Þar sem Manor felur auðkennisveitunni auðkenninguna gilda allar öryggisráðstafanir fyrirtækisins, svo sem FIDO2-öryggislyklar, tilkynningar í Microsoft Authenticator og kröfur um samþykkt tæki, einnig um aðgang að Manor.

3. Samræmið verklag við starfslok

Setjið upp formlegan gátlista fyrir starfslok:

1. Afturkallið aðgang í auðkennisveitu: Fjarlægið starfsmanninn tafarlaust úr úthlutun Manor-forritsins í Microsoft Entra ID eða gerið aðgang hans í notendaskránni óvirkan.
2. Gerið aðganginn óvirkan í Manor: Farið í Kerfisstjórn → Notendur í Manor og gerið notandaaðganginn óvirkan til að loka virkum lotum og stöðva gjaldtöku fyrir notendaleyfið.

4. Fylgist með gildistíma SAML-skírteina

SAML-undirritunarskírteini í Microsoft Entra ID gilda yfirleitt í 1 eða 3 ár.

• Setjið áminningu í dagatal áður en skírteinið rennur út.
• Áður en skírteinið rennur út skal búa til nýtt undirritunarskírteini í Entra ID og senda uppfærð lýsigögn til þjónustuvers Manor.
• Hægt er að skipuleggja skiptin þannig að notendur verði ekki fyrir neinni truflun.

5. Samræmið lén

Gangið úr skugga um að netföng notenda í Entra ID samsvari nákvæmlega aðallén fyrirtækisins. Misræmi á milli userPrincipalName og mail getur leitt til þess að tvöfaldir aðgangar verði til ef lénum er breytt.

Tengdar greinar

• Notendur: Stofnun, breyting og óvirkjun notendaaðganga í Manor.
• Kerfisnotendur: Stofnun þjónustuaðganga fyrir sjálfvirkar samþættingar sem nota ekki notendaleyfi í áskriftinni.
• Sjálfgefnar hlutverkastillingar: Hvaða hlutverkum er úthlutað sjálfkrafa til nýrra SSO-notenda.
• Notendahlutverk: Yfirlit yfir innbyggð hlutverk og heimildir kerfisins.
• Sérsniðin hlutverk: Stofnun og aðlögun sérsniðinna hlutverka fyrir tiltekin störf.
• Kerfisstjórn: Miðlæg stjórnstöð fyrir öryggi, notendur og stillingar fyrirtækisins.