Pojedyncze logowanie (SSO)

Dzięki SSO opartemu na SAML użytkownicy mogą uzyskać dostęp do Miro za pośrednictwem wybranego dostawcy tożsamości (IdP).

Dostępne dla: planów Business i Enterprise
Wymagana rola: administrator firmy

Jak działa SSO oparte na SAML

1. Gdy użytkownik Miro próbuje zalogować się do Miro przy użyciu SSO, Miro wysyła do dostawcy tożsamości (IdP) żądanie SAML (Security Assertion Markup Language)
2. Dostawca tożsamości weryfikuje dane dostępowe użytkownika i wysyła odpowiedź do Miro, aby potwierdzić tożsamość członka
3. Miro potwierdza odpowiedź i przyznaje dostęp, pozwalając członkowi zalogować się na swoje konto Miro

Co się stanie po włączeniu SSO?

Włączanie SSO po raz pierwszy

Gdy po raz pierwszy skonfigurujesz SSO, istniejący użytkownicy mogą nadal pracować w Miro bez przerwy. Jednak przy następnym wylogowaniu, wygaśnięciu sesji lub próbie logowania z nowego urządzenia będą musieli zalogować się przez SSO.

Inne opcje logowania zostaną wyłączone dla użytkowników, w tym magiczny link, Google, Facebook, Slack, AppleID i O365.

Limit czasu bezczynności

Jeśli włączyłeś Limit czasu bezczynności, użytkownicy zostaną automatycznie wylogowani ze swoich profili w Miro i będą musieli ponownie uwierzytelnić się przez SSO.

Wiele zespołów i organizacji

Jeśli Twoi użytkownicy należą do kilku zespołów lub organizacji w Miro, możesz je skonfigurować tak, by korzystały z tego samego dostawcy tożsamości (IdP) do uwierzytelniania.

Kto musi logować się przez SSO

Logowanie przez SSO jest wymagane dla aktywnych użytkowników, którzy są członkami Twojej subskrypcji Enterprise i mają domenę wymienioną w ustawieniach SSO.

• Użytkownicy korzystający z Miro z domen, które nie zostały dodane do ustawień SSO, nie muszą logować się przez SSO — zamiast tego powinni używać standardowych metod logowania.
  
• Użytkownicy z weryfikowanej domeny, którzy nie należą do Twojej subskrypcji Enterprise, muszą logować się przez SSO tylko wtedy, gdy obsługa administracyjna just-in-time (JIT) jest włączona. Ci użytkownicy zostaną automatycznie dodani do wstępnie skonfigurowanego zespołu i będą musieli korzystać z SSO podczas logowania.
• Użytkownicy zarządzani, czyli każdy użytkownik w obrębie zweryfikowanej domeny, w tym także ci, którzy są członkami zespołu spoza Twojej subskrypcji Enterprise. Aby ograniczyć dostęp do konkretnych zespołów, zaktualizuj ustawienia zarządzania domeną.

  ✏️ W subskrypcji Enterprise organizacja może mieć domeny zweryfikowane i niezweryfikowane. Dla domen zweryfikowanych użytkownicy stają się użytkownikami zarządzanymi i muszą uwierzytelniać się za pomocą SSO. Dla użytkowników z domen niezweryfikowanych w tej samej organizacji do uwierzytelniania używa się magicznego linku lub konta społecznościowego.

Zarządzanie danymi użytkownika

Dane użytkownika są automatycznie przypisywane w Miro przez Twojego dostawcę tożsamości po pomyślnym zalogowaniu. Niektórych parametrów, takich jak imię, nie można zmienić. Inne parametry, takie jak dział i zdjęcie profilowe, są opcjonalne.

• Nazwy użytkowników Miro są aktualizowane po każdym pomyślnym uwierzytelnieniu użytkownika. Więcej informacji o konfiguracji nazw użytkowników Miro znajdziesz w zaawansowanych ustawieniach SSO. Jeśli musisz zmienić adres e-mail użytkownika, możesz to zrobić tylko za pomocą SCIM. Jeśli nie korzystasz ze SCIM, skontaktuj się z zespołem pomocy.

Wybór domeny w ustawieniach SSO

💡 Aby uniknąć utraty dostępu, utwórz awaryjnego użytkownika 'break the glass' z adresem e-mail należącym do domeny innej niż domena podana w ustawieniach SSO, np. acmebreaktheglass@gmail.com. W przeciwnym razie możesz skontaktować się z pomocą, która może wyłączyć SSO dla całej organizacji.

Konfigurowanie SSO

Dostawcy tożsamości (IdP)

Możesz użyć dowolnego dostawcy tożsamości. Poniżej znajdują się najpopularniejsze platformy dostawców tożsamości:

• Okta
• Entra ID firmy Microsoft
• OneLogin
• ADFS firmy Microsoft
• Auth0
• Google SSO
• Jumpcloud SSO

Jak skonfigurować swojego dostawcę tożsamości (IdP)

💡 Jeśli Twoja organizacja Enterprise chce dodać wielu dostawców tożsamości (IdP), zapisz się do naszej prywatnej bety.

1. Przejdź do sekcji konfiguracyjnej swojego dostawcy tożsamości i postępuj zgodnie z instrukcjami dostawcy, aby skonfigurować pojedyncze logowanie.
2. Dodaj poniższe metadane. Zalecamy pominięcie pól opcjonalnych i pozostawienie domyślnych wartości bez zmian.

Specyfikacja (metadane)

⚠️ Szyfrowanie i Single Log Out nie są obsługiwane.

Plik metadanych SP Miro

Skopiuj poniższe metadane SP Miro i zapisz je jako plik XML.

   urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress    Miro Miro https://miro.com/   Zespół pomocy support@help.miro.com  

Dane dostępowe użytkownika

Wszystkie dodatkowe pola poza poniższymi nie są wymagane. Zalecamy pominięcie pól opcjonalnych i pozostawienie wartości domyślnych.

Jak włączyć SSO w ustawieniach Miro

⚠️ Włączenie SSO w ustawieniach nie powoduje natychmiastowego udostępnienia SSO użytkownikom. Logowanie przez SSO będzie dostępne po tym, jak domeny zostaną zweryfikowane. Następnie, konfigurując SSO w następnej sekcji, upewnij się, że dodasz zweryfikowane domeny.

Jak skonfigurować SSO w ustawieniach Miro

Po włączeniu funkcji SSO/SAML w ustawieniach pojedynczego logowania wypełnij następujące pola:

1. Adres URL logowania SAML (w większości przypadków otwiera stronę Twojego dostawcy tożsamości, na której Twoi użytkownicy wprowadzą swoje dane dostępowe)
2. Certyfikat x.509 (klucz publiczny) (wydany przez Twojego dostawcę tożsamości)
3. Wszystkie domeny i subdomeny dozwolone lub wymagane (ACME.com lub ACME.dev.com) do uwierzytelniania przez Twój serwer SAML
4. Dodaj swoje zweryfikowane domeny. Aby ustawić, że użytkownicy z tych domen będą logować się za pomocą SSO, kliknij Wybierz domenę i wybierz dowolną z Twoich domen, aby dodać ją do listy.

Ustawienia SSO w Miro

Wygaśnięcie i odnawianie certyfikatu SSO/SAML

Jeśli certyfikat klucza publicznego x.509 wygasł, SSO będzie nadal działać, jednak zdecydowanie zalecamy jego odnowienie, aby dalej bezpiecznie korzystać z Miro.

Certyfikaty klucza publicznego x.509 zapewniają bezpieczeństwo, poufność, autentyczność i integralność informacji wymienianych między Twoim dostawcą tożsamości a Miro.

Certyfikaty te są ważne tylko przez określony czas, który może być ustalony (i zweryfikowany) przez Twojego dostawcę tożsamości. Skontaktuj się z dostawcą tożsamości, aby zweryfikować datę wygaśnięcia.

✏️ Miro wysyła administratorom przypomnienia e-mail na 60, 30 i 7 dni przed wygaśnięciem ich certyfikatu SSO. Administratorzy otrzymują także jednorazowy e-mail po wygaśnięciu certyfikatu.

Proces obejmuje dwa kroki:

1. Odnów certyfikat u dostawcy tożsamości. Sprawdź instrukcje dostawcy, jak to zrobić.
2. Dodaj odnowiony certyfikat do konfiguracji SSO w Miro.

Dodawanie odnowionych certyfikatów do Miro

⚠️ Zalecamy wymianę certyfikatu x.509 w mniej obciążonych okresach w Twojej organizacji (np. w weekend lub po godzinach pracy), aby uniknąć przerw w logowaniu.

1. Przejdź do Ustawienia firmy > Uwierzytelnianie > Pojedyncze logowanie
2. Usuń zawartość pola Certyfikat x.509
3. Wklej nowy certyfikat w to pole
4. Przewiń w dół i kliknij Zapisz
   Odnawianie certyfikatu x.509 w Miro

Testowanie konfiguracji SSO

Przetestuj konfigurację SSO przed jej włączeniem, aby zmniejszyć ryzyko problemów z logowaniem dla Twoich użytkowników.

1. Wykonaj powyższe kroki, aby skonfigurować ustawienia SSO.
2. Kliknij przycisk Przetestuj konfigurację SSO.
3. Sprawdź wyniki:

• Jeśli nie zostaną wykryte żadne problemy, zostanie wyświetlony komunikat potwierdzający: Test konfiguracji SSO zakończony pomyślnie.
• Jeśli zostaną wykryte problemy, pojawi się komunikat: Test konfiguracji SSO nie powiódł się, a następnie szczegółowe komunikaty o błędach wskażą, co trzeba naprawić.

Testowanie konfiguracji SSO

Opcjonalne zaawansowane ustawienia SSO

Sekcja opcjonalnych ustawień jest przeznaczona dla zaawansowanych użytkowników, którzy znają konfigurację SSO.

Obsługa administracyjna Just-in-Time (JIT) dla nowych użytkowników

Ułatw użytkownikom szybkie rozpoczęcie pracy z Miro — bez czekania na zaproszenie i długiego procesu wdrażania. Zapewnij też, że zespoły Free nie będą tworzone poza Twoją zarządzaną subskrypcją (wymaga zarządzania domeną). Aby włączyć obsługę administracyjną Just-in-Time (JIT) dla nowych użytkowników, wymagane jest SSO. Wszystkim użytkownikom utworzonym w ramach JIT zostanie przypisana domyślna licencja Twojej subskrypcji:

Jak włączyć obsługę administracyjną Just-in-Time

Po włączeniu obsługi administracyjnej Just-in-Time będzie ona automatycznie stosowana do wszystkich nowych użytkowników, którzy zarejestrują się w Miro. Jednak istniejący użytkownicy Miro nadal będą potrzebować zaproszenia, aby dołączyć do Twojego abonamentu.

1. Przejdź do ustawień SSO
2. Zaznacz pole Automatycznie dodawaj wszystkich nowo zarejestrowanych użytkowników z domen z listy do konta Enterprise
3. Wybierz domyślny zespół dla nowo zarejestrowanych użytkowników z rozwijanego menu
4. Kliknij Zapisz

Jeśli w ustawieniach pojedynczego logowania (SSO) wpiszesz określone domeny, wszyscy użytkownicy, którzy zarejestrują się przy użyciu tych domen, zostaną automatycznie dodani do Twojej subskrypcji Enterprise. Zostaną przypisani do zespołu wybranego w ustawieniach Just-in-Time (JIT).

Włącz funkcję Just in Time provisioning na stronie integracji Enterprise

Wszyscy nowo zarejestrowani użytkownicy z domen, które wpiszesz w ustawieniach, zostaną automatycznie dodani w ramach Twojego abonamentu Enterprise do tego zespołu, gdy zarejestrują się w Miro.

⚠️ W abonamencie Enterprise ten zespół będzie również widoczny na liście odnajdywalnych zespołów, jeśli włączysz widoczność zespołu.

Ustawienie DisplayName jako domyślnej nazwy użytkownika

Domyślnie Miro będzie używać atrybutów FirstName + LastName. Alternatywnie możesz poprosić o użycie DisplayName zamiast nich. W takim przypadku Miro użyje DisplayName gdy będzie on obecny w odpowiedzi SAML użytkownika.

Jeśli DisplayName nie jest obecny, ale FirstName + LastName są, Miro użyje FirstName + LastName. Skontaktuj się z pomocą Miro, aby ustawić DisplayName jako preferowaną nazwę użytkownika SSO.

Jeśli żaden z tych trzech atrybutów nie jest obecny w komunikacji SAML, Miro wyświetli adres e-mail użytkownika jako nazwę użytkownika

Jeśli widzisz coś innego niż oczekiwano, może być konieczne uwierzytelnienie się przez SSO albo możliwe, że odpowiedź SAML nie zawiera wartości potrzebnych do aktualizacji.

Synchronizacja zdjęć profilowych użytkowników z dostawcą tożsamości

⚠️ Zazwyczaj zaleca się włączenie tej opcji, jeśli nie włączasz SCIM lub jeśli Twój dostawca tożsamości nie obsługuje atrybutu ProfilePicture (na przykład ProfilePicture nie jest obsługiwany przez Entra). W innych przypadkach zalecamy przekazywanie atrybutu ProfilePicture za pomocą SCIM z natychmiastowymi aktualizacjami.

Gdy to ustawienie jest włączone:

• zdjęcie profilowe ustawione po stronie dostawcy tożsamości zostanie zastosowane w profilu użytkownika w Miro
• użytkownicy nie będą mogli samodzielnie zmieniać ani usuwać swojego zdjęcia profilowego

Podobnie jak w przypadku atrybutu nazwy użytkownika, użytkownicy nie będą mogli natychmiast zmieniać swoich danych po stronie Miro — synchronizacja nie jest natychmiastowa; aktualizacja z IDP zostanie przesłana do Miro dopiero przy następnym uwierzytelnieniu SSO użytkownika (o ile w tym momencie ustawienie „Synchronizuj zdjęcia profilowe użytkowników z IDP” nadal jest aktywne).

Jeśli zdjęcie profilowe jest ustawione po stronie IDP i chcesz, aby ten atrybut był przekazywany w komunikacji SAML, Miro będzie oczekiwać następującego schematu:

<saml2:Attribute Name="ProfilePicture" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
<saml2:AttributeValue
xmlns:xs="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">https://images.app.goo.gl/cfdeBqKfDKsap1icxecsaHF
</saml2:AttributeValue>
</saml2:Attribute>

SSO i miejsce przechowywania danych

Jeśli korzystasz z obsługi miejsca przechowywania danych w Miro i masz dedykowany adres URL, na przykład workspacedomain.miro.com, musisz dostosować konfigurację dostawcy tożsamości.

✏️ W organizacjach z miejscem przechowywania danych w Australii, Japonii i Stanach Zjednoczonych logowanie przez serwisy społecznościowe jest niedostępne. Aby uzyskać więcej informacji o miejscu przechowywania danych, zobacz Miejsce przechowywania danych w Miro.

W tym celu musisz dodać identyfikator organizacji do adresu URL.

Identyfikator organizacji znajdziesz w pulpicie Miro, klikając w prawym górnym rogu Profil > Ustawienia > jest on widoczny w pasku adresu przeglądarki.

Konfigurowanie uwierzytelniania dwuskładnikowego (2FA) dla użytkowników spoza SSO

Uwierzytelnianie dwuskładnikowe (2FA) zapewnia dodatkową warstwę bezpieczeństwa. Przy 2FA użytkownicy muszą wykonać dodatkowy krok podczas logowania, aby zweryfikować swoją tożsamość. To dodatkowe zabezpieczenie sprawia, że tylko uprawnione osoby mają dostęp do Twojej subskrypcji.
Dowiedz się więcej w naszym Przewodniku administratora dotyczącym uwierzytelniania dwuskładnikowego.

Często zadawane pytania i rozwiązywanie ewentualnych problemów

Jeśli którykolwiek z Twoich użytkowników lub wszyscy napotkają błąd podczas próby zalogowania się do Miro, sprawdź tę listę najczęstszych błędów i sposoby ich rozwiązania.