SAML SSO con Microsoft Entra

Microsoft Entra (ex Azure) è un Identity Provider (IdP) che offre un servizio di single sign-on (SSO) sicuro, permettendo agli utenti di un’azienda di accedere a più applicazioni con un unico login.

Con il Security Assertion Markup Language (SAML) SSO, i dipendenti effettuano l’accesso una sola volta utilizzando le proprie credenziali aziendali (in genere email e password). L’IdP, Microsoft Entra, verifica la loro identità e garantisce un accesso continuo e sicuro a tutti i servizi connessi, senza richiedere login separati per ogni applicazione.

I proprietari dell’azienda o gli amministratori IT possono collegare il dominio email dell’organizzazione (ad esempio, @mycompany.com) all’IdP in modo che chiunque abbia un indirizzo email aziendale venga riconosciuto automaticamente e possa accedere in modo sicuro agli strumenti abilitati SAML.

Utilizzando Kinsta SAML SSO, è possibile collegare Microsoft Entra a MyKinsta creando un’applicazione SAML all’interno di Microsoft Entra, verificando il dominio email dell’azienda e aggiungendo i dati necessari di Microsoft Entra in MyKinsta. In questo modo il team aziendale potrà accedere con le credenziali esistenti, senza dover creare o gestire account MyKinsta separati.

Abilitare l’SSO in MyKinsta

Quando si configura SAML SSO, è possibile cliccare su Salva e esci dalla configurazione in qualsiasi momento per memorizzare i progressi e tornare in un secondo momento.

In MyKinsta, si va su nome utente > Impostazioni aziendali > Single sign-on e si clicca su Abilita.

L’introduzione spiega come verrà impostato l’SSO. Quindi cliccare su Continua.

Nella pagina successiva, si troveranno tutte le informazioni necessarie per configurare la propria app SAML all’interno di Microsoft Entra.

Configurazione dell’app in Microsoft Entra

In MyKinsta, la scheda Crea app SAML fornisce tutte le informazioni necessarie per configurare la propria app SAML in Microsoft Entra. I passaggi che seguono spiegano dove aggiungere queste informazioni.

Accedere a Microsoft Entra come utente admin e, nel centro di amministrazione di Microsoft Entra, cliccare su Entra ID > Enterprise applications > New application.

Cliccare su Create your own application, inserire il nome dell’applicazione, ad esempio MyKinsta Dashboard, e cliccare su Create.

Una volta creata l’applicazione, cliccare su Single sign-on e selezionare SAML.

Nella sezione Basic SAML Configuration, clicca su Modifica.

Completare la Basic SAML Configuration in Microsoft Entra come segue:

• Identifier (Entity ID): cliccare su Add identifier e copiare e incollare l’Entity ID da MyKinsta.
• Reply URL (Assertion Consumer Service URL): cliccare su Add reply URL e copiare e incollare l’URL SSO/ACS da MyKinsta.
• Sign on URL: copia e incollare l’URL di avvio da MyKinsta.

Lasciare tutti gli altri campi come predefiniti e cliccare su Salva.

All’interno di Attributes & Claims, cliccare su Edit.

Selezionare la richiesta di givenname, cambiare il Name e il Namespace in firstName e cliccare su Salva.

Selezionare la richiesta del surname, cambiare il Name e il Namespace in lastName e cliccare su Salva.

Selezionare la richiesta di emailaddress, cambiare il Name e il Namespace in email e cliccare su Salva.

Rimuovere tutte le altre rivendicazioni in modo che Attributes & Claims sia visualizzato come segue:

Ora bisogna configurare l’applicazione SAML all’interno di MyKinsta.

Configurazione di Kinsta

In MyKinsta, alla voce Crea app SAML, cliccare su Continua per accedere alla pagina di Configurazione di Kinsta.

Dominio email

In Nome dominio, inserire il dominio email che gli utenti utilizzeranno per accedere con SAML SSO e cliccare su Aggiungi dominio.

Solo gli account MyKinsta con un indirizzo email corrispondente al dominio verificato possono autenticarsi tramite SAML. Ad esempio, se SAML è abilitato per example.com, solo gli utenti con un indirizzo email @example.com potranno accedere per quell’azienda.

Se il dominio è già stato verificato in MyKinsta attraverso la gestione dei DNS o come dominio di un sito, verrà verificato automaticamente. In caso contrario, verrà richiesto di aggiungere un record TXT al servizio di gestione del DNS per confermare la proprietà del dominio.

Dato che le modifiche al DNS possono richiedere del tempo per propagarsi, è possibile fare clic su Salva e esci dalla configurazione per memorizzare i progressi e tornare in un secondo momento.

Configurazione di Kinsta SAML

In Microsoft Entra, si va su Enterprise apps, si seleziona l’applicazione impostata per la dashboard MyKinsta e si clicca su Single sign-on.

In MyKinsta, nella scheda di Configurazione di Kinsta di Single sign-on, compilare i campi come segue:

• URL SSO: copiare e incollare l’URL di accesso dalla sezione Set up MyKinsta Dashboard in Microsoft Entra.
• Entity ID: copiare e incollare il Microsoft Entra Identifier dalla sezione Set up MyKinsta Dashboard di Microsoft Entra.

• Certificato pubblico: in Microsoft Entra, all’interno di SAML Certificates, cliccare su Download su Certificate (Base64). Aprire questo file in un qualsiasi editor di testo e copiare e incollare il contenuto in MyKinsta.

Cliccare su Continua.

Assegnazione degli utenti all’applicazione Microsoft Entra

In Microsoft Entra, si va su Enterprise apps, si seleziona l’applicazione impostata per la dashboard MyKinsta, si clicca su Users and groups e poi su Add user/group.

Cliccare su None selected, selezionare gli utenti o i gruppi a cui si vuol concedere l’accesso a MyKinsta tramite SSO e poi si clicca su Select.

Cliccare su Assign e poi su Assign to People. Se gli utenti sono organizzati in gruppi, cliccare su Assign to Groups. Cliccare su Assign per ogni utente o gruppo che si vuole assegnare all’applicazione Kinsta SAML SSO e poi su Done.

Per testare l’autenticazione, assicurarsi che l’account utente MyKinsta con cui è stato effettuato l’accesso sia assegnato.

Verificare l’autenticazione in MyKinsta

Non è possibile attivare SAML SSO in MyKinsta senza aver prima testato l’autenticazione.

In MyKinsta, nella scheda Single sign-on Verifica e termina, cliccare su Verifica autenticazione.

Una notifica comunica all’utente se il test ha avuto successo o se è fallito.

Se il test fallisce, cliccare su Indietro e controllare le impostazioni SAML in Microsoft Entra e in MyKinsta.

Se il test ha avuto successo e si desidera abilitare SAML, cliccare su Salva e attiva le modifiche.

Gli utenti della propria azienda MyKinsta potranno ora accedere con SAML SSO o inserendo nome utente e password. Gli utenti che accedono tramite un IdP non devono autenticarsi con la 2FA di Kinsta perché l’autenticazione è gestita direttamente dall’IdP.

Se si vogliono obbligare gli utenti ad accedere tramite SAML, è possibile attivare l’SSO obbligatorio e aggiungere delle eccezioni. È anche possibile abilitare il provisioning JIT per consentire agli utenti autorizzati dall’IdP di accedere all’azienda MyKinsta senza richiedere un invito.

Modifica della durata della sessione

La durata e la scadenza della sessione SSO sono controllate dall’identity provider (IdP). Per informazioni su come modificarle in Microsoft Entra, consultare la Documentazione di Microsoft Entra.