SAML Single Sign-On (SSO)
Il Security Assertion Markup Language (SAML) Single Sign-On (SSO) consente agli utenti di accedere in modo sicuro a più applicazioni utilizzando un unico set di credenziali, in genere l’email e la password aziendali. Invece di creare login separati per ogni servizio, gli utenti si autenticano una sola volta attraverso un Identity Provider (IdP) gestito dall’azienda come Okta, OneLogin, Microsoft Entra o Google Workspace.
L’IdP verifica l’identità dell’utente e garantisce l’accesso a tutte le applicazioni connesse senza richiedere ulteriori verifiche. L’organizzazione gestisce centralmente il controllo degli accessi, i criteri di autenticazione e le autorizzazioni, garantendo maggiore sicurezza, conformità ed efficienza amministrativa.
Con SAML SSO, i proprietari dell’azienda o gli amministratori IT possono collegare il dominio email aziendale (ad esempio, @mycompany.com) all’IdP dell’organizzazione. In questo modo, chiunque abbia un indirizzo email aziendale viene automaticamente riconosciuto e autenticato in modo sicuro quando accede a strumenti e servizi approvati.
In Kinsta, SAML SSO permette di collegare l’IdP dell’azienda direttamente a MyKinsta. Creando un’applicazione SAML nel proprio IdP e aggiungendo i dati della connessione a MyKinsta, il team può accedere utilizzando le credenziali aziendali esistenti, eliminando la necessità di creare o gestire password di MyKinsta separate. Inoltre, i proprietari dell’azienda possono controllare in modo centralizzato chi può accedere a MyKinsta, direttamente attraverso l’IdP.
Kinsta supporta tutti gli identity provider (IdP) che utilizzano lo standard SAML, tra cui Microsoft Entra ID, Okta, OneLogin, Google Workspace, Auth0, Duo, JumpCloud e altri ancora.
Configurare SAML SSO
Per una guida dettagliata passo-passo sugli IdP più diffusi, si faccia riferimento a una delle seguenti pagine:
Abilitare l’SSO in MyKinsta
Quando si configura SAML SSO, è possibile cliccare su Salva e esci dalla configurazione in qualsiasi momento per memorizzare i progressi e tornare in un secondo momento.
In MyKinsta, si va su nomeutente > Impostazioni azienda > Single sign-on e si clicca su Abilita.
L’introduzione spiega come verrà impostato l’SSO, quindi si clicca su Continua.
Impostare l’integrazione dell’app nell’IdP
Per configurare un’app SAML all’interno del proprio identity provider, bisogna utilizzare le informazioni fornite in Crea app SAML, quindi clicca su Continua.
- App name: copiare e incollare questo campo nel campo Application Name del proprio IdP.
- App description: copiare e incollare questo campo nel campo Application Description del proprio IdP. Questo campo è solitamente facoltativo.
- App icon: cliccare su Download per ottenere l’icona di Kinsta, quindi caricarla nell’applicazione del proprio IdP.
- SSO/ACS URL: è l’endpoint di Kinsta a cui l’IdP reindirizza dopo l’autenticazione. Elabora la risposta SAML, la verifica e stabilisce la sessione dell’utente in MyKinsta. Copiare e incollare questo dato nel campo SSO/ACS/Recipient/Single sign-on URL del proprio IdP.
- Entity ID: è l’identificativo univoco di Kinsta all’interno del proprio IdP, utilizzato per riconoscere Kinsta come provider di servizi. Copiare e incollare questo dato nel campo Entity ID/Audience URI/Audience del proprio IdP.
- Start URL: è l’indirizzo web del portale di accesso SSO di Kinsta. È il punto di ingresso che gli utenti visitano per accedere con l’SSO, attivando la richiesta di autenticazione SAML all’IdP. Copiare e incollare questo indirizzo nel campo Start URL/Login URL del proprio IdP.
- Signed Response: una risposta firmata fornisce una verifica digitale sicura, consentendo a Kinsta di confermare l’identità di un utente e di concedere l’accesso senza richiedere un ulteriore login.
- Name ID format: definisce il modo in cui Kinsta identifica gli utenti. Questo deve essere impostato su un formato di indirizzo email nell’IdP.
- Required attributes: Gli attributi che Kinsta richiede al proprio IdP per completare il processo di login.
Configurazione di Kinsta
Dominio email
In Nome dominio, inserire il dominio email che gli utenti utilizzeranno per accedere tramite SAML SSO e cliccare su Aggiungi dominio.
Solo gli account MyKinsta con un indirizzo email corrispondente al dominio verificato possono autenticarsi tramite SAML. Ad esempio, se SAML è abilitato per example.com, solo gli utenti con un indirizzo email @example.com potranno accedere per quell’azienda.
Se il dominio è già stato verificato in MyKinsta attraverso la gestione dei DNS o come dominio di un sito, verrà verificato automaticamente. In caso contrario, verrà richiesto di aggiungere un record TXT al proprio servizio di gestione DNS per confermare la proprietà del dominio.
Dato che le modifiche al DNS possono richiedere del tempo per propagarsi, è possibile fare clic su Salva e esci dalla configurazione per memorizzare i progressi e tornare in un secondo momento.
Configurare Kinsta SAML
Una volta verificato il dominio, utilizzare le informazioni fornite dal proprio IdP per completare l’URL SSO, l’Entity ID e il Certificato pubblico, quindi cliccare su Continua.
Provare l’autenticazione in MyKinsta
Per verificare che tutto sia configurato correttamente, cliccare su Verifica autenticazione.
Una notifica che comunica se il test ha avuto successo o se è fallito.
Se il test fallisce, cliccare su Indietro e controllare le impostazioni SAML del proprio IdP e di MyKinsta.
Se il test ha avuto successo e si vuole abilitare SAML, cliccare su Salva e attiva le modifiche.
Gli utenti dell’azienda MyKinsta potranno ora accedere con SAML SSO o inserendo nome utente e password. Se si vogliono obbligare gli utenti ad accedere tramite SAML, è possibile attivare l’SSO obbligatorio. Gli utenti che accedono tramite un IdP non devono completare la 2FA di Kinsta, perché l’autenticazione viene gestita direttamente dall’IdP.
Single sign-on obbligatorio
Per richiedere a tutti gli utenti di accedere con l’SSO, attivare l’SSO obbligatorio. Con questa impostazione, viene richiesto a tutti gli utenti di accedere tramite il provider di identità (IdP) anziché con le proprie credenziali MyKinsta. Se un utente si è già autenticato con SAML altrove, verrà automaticamente registrato. Se un utente passa a un’azienda che non ha abilitato l’SSO, deve inserire le proprie credenziali MyKinsta.
Si possono anche aggiungere delle Eccezioni per consentire a determinati utenti di accedere con una password anche quando l’SSO obbligatorio è abilitato. Questo è utile per le terze parti che devono accedere all’azienda ma non hanno un indirizzo email nel proprio dominio, come ad esempio gli sviluppatori.
Se l’SSO obbligatorio è abilitato ma SAML non è abilitato, gli utenti dovranno accedere con le loro credenziali MyKinsta.
Eccezioni
Se è impostato l’SSO obbligatorio, è possibile aggiungere utenti specifici a un elenco di eccezioni, consentendo loro di accedere con le proprie credenziali MyKinsta invece che con l’SSO. Questo è utile per le terze parti che devono accedere all’azienda ma non hanno un indirizzo email nel proprio dominio, come ad esempio gli sviluppatori.
Aggiungere un utente alle eccezioni
Per aggiungere un utente all’elenco delle eccezioni, cliccare su Aggiungi eccezioni. Selezionare l’utente dall’elenco e cliccare su Aggiungi eccezione.
Rimuovere un utente dalle eccezioni
Per rimuovere un utente dall’elenco delle eccezioni, cliccare sull’icona del cestino dell’utente e poi su Rimuovi eccezione.
Rimuovendo l’ultimo utente dall’elenco delle eccezioni, appare un messaggio di avviso. Se tutti gli utenti vengono rimossi e si verifica un problema con l’IdP, si potrebbe perdere l’accesso all’azienda MyKinsta.
Provisioning just-in-time
Il provisioning just-in-time (JIT) consente agli utenti autorizzati dal proprio IdP di accedere all’azienda MyKinsta senza richiedere un invito. Nella maggior parte dei casi, questo significa chiunque abbia un indirizzo email sul proprio dominio. Quando un utente accede a MyKinsta, viene indirizzato attraverso l’IdP SSO e non deve creare un account MyKinsta separato. Di default, agli utenti forniti tramite JIT viene assegnato l’account di Sviluppatore azienda. È possibile modificare il livello di accesso di ciascun utente dopo la sua iscrizione, oppure aggiornare il ruolo predefinito per definire il livello di accesso che i nuovi utenti forniti tramite JIT ricevono al momento dell’iscrizione.
Cambiare il ruolo predefinito
Quando il provisioning JIT è abilitato, agli utenti viene assegnato di default il ruolo di Sviluppatore azienda. Per modificare il livello di accesso predefinito, cliccare su Cambia ruolo predefinito.
Si può quindi scegliere il livello di accesso che si desidera assegnare agli utenti che si uniscono tramite il provisioning JIT e cliccare su Cambia ruolo predefinito.
Abilitare il provisioning JIT
Una volta impostato il ruolo predefinito, per abilitare il provisioning JIT, cliccare su Abilita e poi su Abilita il provisioning JIT.
Disattivare il provisioning JIT
Per disabilitare il provisioning JIT, cliccare su Disabilita e poi su Disabilita provisioning JIT. Disattivando il provisioning JIT e l’SSO, agli utenti creati tramite JIT verrà richiesto di impostare una password al successivo accesso a MyKinsta.
Rimozione degli utenti
Per revocare completamente l’accesso, gli utenti devono essere rimossi sia da MyKinsta che dal proprio provider di identità (IdP).
- Se l’SSO e il provisioning JIT sono abilitati, la sola rimozione di un utente da MyKinsta non bloccherà l’accesso. L’utente può ancora accedere attraverso il proprio IdP.
- Se si rimuove un utente solo dal proprio IdP e l’SSO obbligatorio non è abilitato, l’utente può ancora accedere con le sue credenziali MyKinsta.
Modificare la durata della sessione
Il proprio identity provider (IdP) controlla la durata e la scadenza della sessione SSO. Per informazioni su come modificarla, si consulti la documentazione di supporto del proprio IdP.
Disattivare l’SSO
Disattivando l’SSO, gli utenti non potranno più accedere utilizzando SAML SSO e dovranno invece accedere con il loro indirizzo email e la loro password.
Se il provisioning JIT è stato precedentemente abilitato, alcuni utenti potrebbero non avere una password MyKinsta. In questo caso, possono crearne una selezionando Password dimenticata nella pagina di accesso a MyKinsta.
Una volta disattivato l’SSO, tutti gli utenti dovranno utilizzare l’autenticazione a due fattori (2FA) di Kinsta.
Per sicurezza, più tentativi di accesso falliti possono bloccare l’account. In tal caso, Kinsta invierà un’email contenente un link di accesso temporaneo per consentire all’utente di accedere nuovamente a MyKinsta.
Per disattivare l’SSO, cliccare su Disattiva all’interno di Single sign-on.
Per confermare l’intenzione di disabilitare l’SSO, cliccare su Disabilita SSO.
Qual è la differenza tra SAML SSO e OAuth SSO?
SAML SSO e OAuth SSO consentono entrambi l’accesso singolo, ma sono stati creati per impieghi, tecnologie e tipi di identità diversi.
SAML SSO è utilizzato da aziende e imprese per fornire ai dipendenti un accesso agli strumenti interni sicuro e gestito dall’azienda. Con SAML, si accede una sola volta utilizzando la propria email e la propria password di lavoro e si sarà automaticamente connessi a tutte le app approvate, come MyKinsta, Slack o Salesforce, senza dover ricordare password separate. Di solito, il team IT dell’azienda gestisce l’accesso in modo centralizzato attraverso l’Identity Provider (IdP), decidendo chi può accedere e a quali strumenti può accedere. Questo garantisce maggiore sicurezza, conformità e una gestione più semplice per i team più grandi.
OAuth SSO, invece, è più comune per l’uso personale. Permette di accedere alle app o ai siti web utilizzando un account personale, come quello di Google, Apple o Facebook, invece di crearne uno nuovo. L’account è legato alla propria identità personale e non a quella della propria organizzazione e l’azienda non può controllare chi accede a quali applicazioni. Ciò significa che OAuth SSO è meno adatto per la gestione degli accessi a livello aziendale.