--- translated_from: en/administration/single-sign-on.md translated_at: "2026-10-03T04:12:10+00:00" source_updated_at: "2026-10-03T04:07:40+00:00" title: Einskráning (SSO) keywords: einskráning, SSO, SAML 2.0, Microsoft Entra ID, Azure Active Directory, Okta, Google Workspace, auðkennisveita, IdP, auðkenning, JIT-stofnun notenda, úthlutun hlutverka, sjálfgefin hlutverk, innbyggð hlutverk, Gera innbyggð hlutverk óvirk, Stillingar hlutverka, fyrirtækjaöryggi summary: Ítarlegar leiðbeiningar um uppsetningu og notkun SAML 2.0 einskráningar (SSO) í Manor. Fjallað er um uppsetningu Microsoft Entra ID, sjálfvirka stofnun notenda (JIT), sjálfgefin hlutverk, hvernig fela má innbyggð hlutverk og bestu starfsvenjur í öryggismálum. --- # Einskráning (SSO) ## Yfirlit Með einskráningu (e. Single Sign-On, SSO) skrá starfsmenn ykkar sig inn í Manor í gegnum miðlæga auðkennisveitu (e. identity provider, IdP) fyrirtækisins. Þegar Manor er tengt við auðkenniskerfi fyrirtækisins nota notendur sömu innskráningarupplýsingar og annars staðar í fyrirtækinu og þurfa ekki sérstakt notandanafn og lykilorð fyrir Manor. ### Af hverju að nota SSO með Manor? - **Miðlæg auðkennastjórnun**: Auðkenningu notenda, lykilorðareglum og líftíma aðganga er stjórnað á einum stað. - **Aukið öryggi**: Öryggisreglur fyrirtækisins gilda um alla notendur, þar á meðal fjölþátta auðkenning (MFA), skilyrtur aðgangur (Conditional Access) og kröfur um flókin lykilorð. - **Einfaldari aðgangur**: Notendur þurfa ekki að muna fleiri lykilorð. Þeir skrá sig einu sinni inn á gátt fyrirtækisins og komast svo beint inn í Manor. - **Sjálfvirk nýliðun**: Aðgangur nýs starfsmanns er stofnaður sjálfkrafa (JIT) þegar hann skráir sig inn í fyrsta sinn. - **Tafarlaus lokun aðgangs**: Aðgangi að Manor er lokað um leið og aðgangur starfsmanns er gerður óvirkur eða úthlutun hans afturkölluð í auðkennisveitunni. ### Studdar auðkennisveitur Manor styður staðalinn **SAML 2.0** (Security Assertion Markup Language). Hægt er að tengja Manor við hvaða auðkennisveitu sem styður SAML 2.0, til dæmis: - **Microsoft Entra ID** (áður Azure Active Directory) - **Okta** - **Google Workspace** - **PingIdentity / PingFederate** - **OneLogin** --- ## Uppsetning Ekki er hægt að setja upp einskráningu sjálfur inni í Manor. Til að tryggja hámarksöryggi, staðfesta auðkennalén og tryggja rétta leiðsögn innskráninga er öll SSO-tenging fyrirtækja sett upp í samvinnu við **þjónustuver Manor**. ### Yfirlit yfir uppsetningarferlið ``` +--------------------------+ SAML-lýsigögn og upplýsingar um tenant +--------------------------+ | | ---------------------------------------------> | | | Kerfisstjóri fyrirtækis | | Þjónustuver Manor | | (Microsoft Entra / IdP) | <--------------------------------------------- | (uppsetning auðkenninga) | +--------------------------+ SP Entity ID og ACS Reply URL +--------------------------+ ``` ### 1. Það sem fyrirtækið þarf að undirbúa Áður en þið hafið samband við þjónustuver Manor skuluð þið taka saman eftirfarandi upplýsingar úr auðkennisveitunni: 1. **Lýsigögn auðkennisveitu**: - Skrána **Federation Metadata XML** (mælt með) eða opinberu slóðina **App Federation Metadata URL**. 2. **Entity ID / Issuer URL**: - Einkvæmt auðkenni auðkennisveitunnar (t.d. `https://sts.windows.net//`). 3. **Netfangalén**: - Netfangalén sem starfsmenn nota (t.d. `@example.com`). 4. **Tæknilegur tengiliður**: - Nafn og netfang kerfisstjórans sem ber ábyrgð á tengingunni. 5. **Óskir um einútskráningu (SLO)**: - Hvort notendur eigi að vera sendir á miðlæga útskráningu (SLO) þegar þeir skrá sig út úr Manor. Sendið þessar upplýsingar til **þjónustuvers Manor** til að hefja tenginguna. ### 2. Það sem þjónustuver Manor sendir til baka Þegar þjónustuver Manor hefur sett fyrirtækið upp í auðkenningarkerfi Manor fær kerfisstjórinn ykkar sendar þær stillingar sem þarf fyrir Manor sem þjónustuveitu (e. Service Provider, SP): - **Service Provider Entity ID / Identifier**: Einkvæm URI-slóð sem auðkennir Manor sem traustan aðila (e. relying party). - **Assertion Consumer Service (ACS) / Reply URL**: Slóðin sem auðkennisveitan sendir SAML-staðfestingar á (t.d. `https://auth.manor.app/login/callback` eða sérstök slóð fyrir fyrirtækið). - **Relay State / Sign-On URL**: Upphafsslóð fyrir innskráningu sem hefst hjá þjónustuveitunni (SP) fyrir ykkar Manor-uppsetningu. Þegar þessar stillingar eru komnar inn í auðkennisveituna og notendum hefur verið úthlutað aðgangi er hægt að prófa tenginguna. --- ## Uppsetning Microsoft Entra ID (Azure Active Directory) Hér eru leiðbeiningar skref fyrir skref fyrir kerfisstjóra sem setja upp Microsoft Entra ID sem SAML 2.0 auðkennisveitu fyrir Manor. Heiti í viðmóti Microsoft eru höfð á ensku eins og þau birtast þar. ### Skref 1: Stofna Enterprise Application 1. Skráðu þig inn í **[Microsoft Entra admin center](https://entra.microsoft.com/)** eða Azure Portal sem Cloud Application Administrator eða Global Administrator. 2. Farðu í **Identity** → **Applications** → **Enterprise applications**. 3. Smelltu á **+ New application** efst á síðunni. 4. Smelltu á **Create your own application**. 5. Í forminu sem birtist: - Gefðu forritinu heiti (t.d. `Manor`). - Veldu **Integrate any other application you don't find in the gallery (Non-gallery)**. 6. Smelltu á **Create**. ### Skref 2: Grunnstillingar SAML 1. Á yfirlitssíðu forritsins skaltu velja **Single sign-on** í hliðarvalmyndinni vinstra megin. 2. Veldu **SAML** sem einskráningaraðferð. 3. Smelltu á **Edit** (blýantstáknið) í reitnum **Basic SAML Configuration**. 4. Sláðu inn gildin sem þú fékkst frá þjónustuveri Manor: - **Identifier (Entity ID)**: Límdu inn Service Provider Entity ID frá þjónustuveri Manor og hakaðu við **Default**. - **Reply URL (Assertion Consumer Service URL)**: Límdu inn ACS-slóðina frá þjónustuveri Manor og hakaðu við **Default**. - **Sign on URL** (valkvætt): Sláðu inn beina innskráningarslóð fyrirtækisins í Manor fyrir innskráningu sem hefst hjá Manor (SP). - **Relay State** (valkvætt): Sláðu inn Relay State ef þjónustuver Manor hefur gefið það upp. 5. Smelltu á **Save** efst í glugganum og lokaðu honum. ### Skref 3: Eigindi og fullyrðingar notenda (Attributes & Claims) Manor þarf tilteknar fullyrðingar (e. claims) um notendur til að bera kennsl á þá og fylla út notandasnið við innskráningu. 1. Smelltu á **Edit** í reitnum **Attributes & Claims**. 2. Staðfestu eða uppfærðu eftirfarandi fullyrðingar: | Heiti fullyrðingar | Merking | Ráðlagt upprunaeigindi | |--------------------|---------|------------------------| | **Name ID** (`nameidentifier`) | Einkvæmt auðkenni notanda | `user.userprincipalname` eða `user.mail` | | **email** | Netfang notanda | `user.mail` (eða `user.userprincipalname`) | | **givenname** | Fornafn | `user.givenname` | | **surname** | Eftirnafn | `user.surname` | | **displayname** / **name** | Fullt birtingarnafn | `user.displayname` | > **Mikilvægt:** Netfangið í fullyrðingunni verður að vera vinnunetfang notandans. Manor notar þetta netfang til að para notendur við núverandi aðganga og til að stofna nýja. 3. Smelltu á **Save** og lokaðu glugganum. ### Skref 4: Sækja lýsigögn (Federation Metadata) 1. Í reitnum **SAML Certificates**: - Finndu **Federation Metadata XML** og smelltu á **Download**, eða afritaðu **App Federation Metadata Url**. 2. Sendu skrána eða slóðina á öruggan hátt til **þjónustuvers Manor** ef það hefur ekki þegar verið gert. ### Skref 5: Úthluta notendum og hópum Notendur geta ekki skráð sig inn í gegnum Entra ID fyrr en þeim hefur sérstaklega verið úthlutað aðgangi að forritinu. 1. Veldu **Users and groups** í hliðarvalmynd forritsins. 2. Smelltu á **+ Add user/group**. 3. Undir **Users** skaltu smella á **None Selected** til að opna notendavalið. 4. Veldu þá starfsmenn eða öryggishópa sem eiga að fá aðgang að Manor. 5. Smelltu á **Select** og síðan á **Assign**. > **Ábending:** Með því að úthluta öryggishópum (t.d. „Allir starfsmenn“ eða „Notendur Manor“) verður auðveldara að veita nýju starfsfólki aðgang eftir því sem fyrirtækið stækkar. ### Skref 6: Prófa einskráningu 1. Í SAML-stillingum einskráningar skaltu skruna niður að skrefi 5: **Test single sign-on with Manor**. 2. Smelltu á **Test** til að prófa innskráningu. 3. Gakktu úr skugga um að Entra ID skili gildu SAML-svari og að aðgangur sé veittur. --- ## Stofnun notenda og hegðun aðganga ### Sjálfvirk stofnun notenda (JIT) Manor styður **sjálfvirka stofnun notenda við fyrstu innskráningu** (e. Just-In-Time, JIT). Þegar notandi með heimild skráir sig inn með SSO í fyrsta sinn: 1. Kannar Manor hvort til sé aðgangur með sama netfang og kemur fram í fullyrðingunni. 2. Ef enginn slíkur aðgangur finnst stofnar Manor sjálfkrafa nýtt notandasnið út frá nafni, netfangi og öðrum auðkennisupplýsingum í SAML-staðfestingunni. 3. Notandinn er skráður inn strax, án þess að kerfisstjóri hafi þurft að stofna aðganginn fyrir fram. ### Upphafleg úthlutun hlutverka Þegar notandaaðgangur er stofnaður sjálfkrafa (JIT): - **Fyrsti notandi kerfisins**: Ef notandinn er sá allra fyrsti sem stofnaður er í Manor-uppsetningunni fær hann sjálfkrafa öll þrjú grunnhlutverkin: **Kerfisstjóri**, **Stjórnandi** og **Starfsmaður**. Þannig hefur sá sem setur kerfið upp fullan aðgang til að stilla það fyrir fyrirtækið. - **Síðari notendur**: Hægt er að stilla hvaða hlutverk nýir notendur fá sjálfgefið. Kerfisstjórar finna stillingarnar á hlutverkasíðunni (**Kerfisstjórn** → **Hlutverk** → **Stillingar**). Sjálfgefið er aðeins hlutverkið **Starfsmaður** valið. - Í glugganum **Stillingar hlutverka** geta kerfisstjórar valið, undir **Sjálfgefin hlutverk**, hvaða hlutverkum (innbyggðum eða sérsniðnum) er úthlutað sjálfkrafa. Hægt er að velja fleiri en eitt sjálfgefið hlutverk ef þörf krefur. Undir stillingunni stendur: „Nýir notendur eru stofnaðir með sjálfgefin hlutverk virk.“ - Í sama glugga er einnig stillingin **Gera innbyggð hlutverk óvirk**, sem gerir þér kleift að fela innbyggðu hlutverkin alveg (sjá [Fela innbyggð hlutverk](#fela-innbyggð-hlutverk) hér að neðan). - Leiðbeiningar skref fyrir skref um sjálfgefin hlutverk eru í greininni [Sjálfgefnar hlutverkastillingar](default-role-settings.md). - Kerfisstjórar geta hvenær sem er úthlutað hvaða notanda sem er fleiri innbyggðum hlutverkum eða [sérsniðnum hlutverkum](custom-roles.md) undir [Notendur](users.md). ![Glugginn Stillingar hlutverka, þar sem Sjálfgefin hlutverk er stillt á Starfsmaður og Gera innbyggð hlutverk óvirk er stillt á Nei](../screenshots/single-sign-on-default-role-settings-modal.png) Sömu sjálfgefnu hlutverkin gilda þegar kerfisstjóri stofnar notanda handvirkt í gegnum **Kerfisstjórn** → **Notendur** → **Nýr notandi**. Í hlutanum **Hlutverk** í forminu **Nýr notandi** er aðeins hakað fyrir fram við hlutverkið **Starfsmaður**, í samræmi við sjálfgefnu stillinguna í **Stillingar hlutverka** hér að ofan. Önnur hlutverk þarf að velja handvirkt ef þeirra er þörf. Nýir SSO/JIT-notendur og handvirkt stofnaðir notendur byrja því með sömu sjálfgefnu hlutverkin og fleiri hlutverkum er bætt við síðar undir **Kerfisstjórn** → **Notendur**. ![Notendalistinn, sem sýnir hlutverk, síðustu innskráningu og virknistöðu hvers notanda](../screenshots/single-sign-on-users-list.png) ### Fela innbyggð hlutverk Í glugganum **Stillingar hlutverka** er einnig stillingin **Gera innbyggð hlutverk óvirk**, sem gerir þér kleift að koma alveg í veg fyrir að innbyggð hlutverk séu notuð. - **Nei** (sjálfgefið): Innbyggðu hlutverkin **Starfsmaður**, **Stjórnandi** og **Kerfisstjóri** eru áfram tiltæk og hægt að úthluta þeim til notenda. - **Já**: Hlutverkin **Starfsmaður**, **Stjórnandi** og **Kerfisstjóri** eru falin í kerfinu, þannig að aðeins sérsniðin hlutverk eru tiltæk. Þá er aðeins hægt að úthluta notendum sérsniðnum hlutverkum. Undir stillingunni stendur: „Fela hlutverk starfsmanns, stjórnanda og kerfisstjóra úr kerfinu, þannig að aðeins sérsniðin hlutverk séu leyfð.“ Smelltu á **Vista** til að vista breytingar. ### Persónulegur tímataxti stofnaður Ef persónulegir tímataxtar eru virkir í reikningsstillingum fyrirtækisins er persónulegur taxti nýrra JIT-notenda stofnaður sjálfkrafa. Starfsmaðurinn getur þá strax skráð tíma og tekið þátt í verkáætlunum án þess að setja þurfi upp reikningsupplýsingar handvirkt. Persónulegi taxtinn er vistaður á notandaskrá starfsmannsins, í hlutanum **Persónulegur tímataxti** í forminu **Nýr notandi** (og í samsvarandi breytingaformi). Hlutinn inniheldur þrjá reiti: - **Upphafsverð** (skylda): Upphaflegt útseljanlegt verð starfsmannsins. - **Kostnaðarverð**: Innra kostnaðarverð starfsmannsins, notað við arðsemisútreikninga. - **Vörunúmer**: Vörunúmerið sem tími starfsmannsins fylgir inn í bókhaldskerfið þegar hann er reikningsfærður. Fyrir neðan reitinn **Vörunúmer** birtist hjálpartexti um að ef reiturinn er skilinn eftir tómur sé sjálfgefið vörunúmer notað, og að sjálfgefið vörunúmer megi stilla undir **Stjórnun** → **Taxtar**. Því er í lagi að skilja **Vörunúmer** eftir autt; Manor notar þá sjálfgefna vörunúmerið sem stillt er þar. ### Notandasnið og lykilorð Þar sem auðkenning fer fram hjá auðkennisveitu fyrirtækisins: - **Engin lykilorð vistuð í Manor**: Engin staðbundin lykilorð eru vistuð í Manor fyrir notendur sem skrá sig inn með SSO. - **Lykilorðsform óvirkt**: Flipinn til að breyta lykilorði (`/profile/password`) er sjálfkrafa falinn í valmynd notandasniðsins í SSO-lotum. - **Miðlæg stjórnun innskráningarupplýsinga**: Endurstilling lykilorða, kröfur um flókin lykilorð, læsing aðganga og reglur um gildistíma lykilorða fara alfarið fram í auðkennisveitu fyrirtækisins (t.d. Entra admin center). ### Eyddir og óvirkir aðgangar Manor meðhöndlar óvirka og eydda aðganga á eftirfarandi hátt: - **Sjálfvirk endurvirkjun aðgangs**: Ef starfsmaður hefur áður verið gerður óvirkur eða honum eytt (e. soft delete) í Manor en skráir sig síðan inn með gildri SSO-innskráningu fyrirtækisins, endurvirkjar Manor aðganginn sjálfkrafa (`deleted_at` er hreinsað) og notandinn fær strax aðgang. - **Algjör lokun aðgangs**: Þar sem gildar SAML-staðfestingar endurvirkja eydda notendur sjálfkrafa **verður að loka aðgangi í auðkennisveitunni**. Þegar starfsmaður hættir skal fjarlægja hann úr Enterprise Application í Entra ID / Okta eða gera aðgang hans í notendaskrá fyrirtækisins óvirkan. Auk þess skal gera aðgang hans í Manor óvirkan undir [Notendur](users.md) svo að hann teljist ekki lengur til virkra notendaleyfa í áskriftinni. --- ## Innskráning og útskráning notenda ### Innskráningarleiðir Manor styður báðar hefðbundnu SAML-innskráningarleiðirnar: #### 1. Innskráning sem hefst hjá Manor (SP-initiated) 1. Notandinn fer á innskráningarsíðu Manor. 2. Manor greinir lénið eða biður notandann um að slá inn vinnunetfangið sitt. 3. Manor vísar vafranum á auðkennisveitu fyrirtækisins (t.d. Microsoft Entra ID). 4. Notandinn lýkur auðkenningu (þ.m.t. fjölþátta auðkenningu eða lykilorðslausri innskráningu ef krafist er). 5. Auðkennisveitan sendir undirritað SAML-svar til baka á ACS-slóð Manor. 6. Manor staðfestir svarið og skráir notandann inn á persónulegt yfirlit hans. #### 2. Innskráning sem hefst hjá auðkennisveitu (IdP-initiated) 1. Notandinn opnar forritagátt fyrirtækisins, til dæmis: - **Microsoft My Apps** (`https://myapplications.microsoft.com`) - **Forritaval Microsoft 365** - **Okta End-User Dashboard** - **Forritaskúffu Google Workspace** 2. Notandinn smellir á **Manor**-reitinn. 3. Auðkennisveitan býr til undirritaða SAML-staðfestingu og sendir hana beint á Assertion Consumer Service-slóð Manor. 4. Manor auðkennir notandann og opnar forritið. ### Útskráning Þegar SSO-notandi skráir sig út úr Manor: - Lotunni í Manor er lokið og vefkökur hennar ógiltar. - Notandanum er vísað á útskráningarslóð auðkenningarkerfisins. - Ef einútskráning (SLO) er uppsett lýkur auðkennisveitan einnig sameiginlegu lotunni, sem eykur öryggi á sameiginlegum tölvum. --- ## Bestu starfsvenjur og öryggisatriði ### 1. Hafið neyðaraðgang kerfisstjóra Hafið að minnsta kosti einn kerfisstjóraaðgang með staðfestum aðgangi sem er óháður SSO-auðkennisveitunni. Ef auðkennisveitan liggur niðri, SAML-undirritunarskírteini rennur út eða tenging við auðkennisveituna bregst getur þessi neyðarkerfisstjóri áfram sinnt nauðsynlegri umsjón með kerfinu. ### 2. Krefjist fjölþátta auðkenningar (MFA) Virkið fjölþátta auðkenningu og reglur um skilyrtan aðgang (Conditional Access) beint í Microsoft Entra ID eða annarri auðkennisveitu. Þar sem Manor felur auðkennisveitunni auðkenninguna gilda allar öryggisráðstafanir fyrirtækisins, svo sem FIDO2-öryggislyklar, tilkynningar í Microsoft Authenticator og kröfur um samþykkt tæki, einnig um aðgang að Manor. ### 3. Samræmið verklag við starfslok Setjið upp formlegan gátlista fyrir starfslok: 1. **Afturkallið aðgang í auðkennisveitu**: Fjarlægið starfsmanninn tafarlaust úr úthlutun Manor-forritsins í Microsoft Entra ID eða gerið aðgang hans í notendaskránni óvirkan. 2. **Gerið aðganginn óvirkan í Manor**: Farið í **Kerfisstjórn** → **Notendur** í Manor og gerið notandaaðganginn óvirkan til að loka virkum lotum og stöðva gjaldtöku fyrir notendaleyfið. ### 4. Fylgist með gildistíma SAML-skírteina SAML-undirritunarskírteini í Microsoft Entra ID gilda yfirleitt í 1 eða 3 ár. - Setjið áminningu í dagatal áður en skírteinið rennur út. - Áður en skírteinið rennur út skal búa til nýtt undirritunarskírteini í Entra ID og senda uppfærð lýsigögn til þjónustuvers Manor. - Hægt er að skipuleggja skiptin þannig að notendur verði ekki fyrir neinni truflun. ### 5. Samræmið lén Gangið úr skugga um að netföng notenda í Entra ID samsvari nákvæmlega aðallén fyrirtækisins. Misræmi á milli `userPrincipalName` og `mail` getur leitt til þess að tvöfaldir aðgangar verði til ef lénum er breytt. --- ## Tengdar greinar - [Notendur](users.md): Stofnun, breyting og óvirkjun notendaaðganga í Manor. - [Kerfisnotendur](system-users.md): Stofnun þjónustuaðganga fyrir sjálfvirkar samþættingar sem nota ekki notendaleyfi í áskriftinni. - [Sjálfgefnar hlutverkastillingar](default-role-settings.md): Hvaða hlutverkum er úthlutað sjálfkrafa til nýrra SSO-notenda. - [Notendahlutverk](user-roles.md): Yfirlit yfir innbyggð hlutverk og heimildir kerfisins. - [Sérsniðin hlutverk](custom-roles.md): Stofnun og aðlögun sérsniðinna hlutverka fyrir tiltekin störf. - [Kerfisstjórn](administration.md): Miðlæg stjórnstöð fyrir öryggi, notendur og stillingar fyrirtækisins.