OpenID Single Sign On

Uppdaterad av Victor Jespersen

OpenID single sign-on (SSO) leverantörskonfiguration

Quinyx stöder Single Sign-On (SSO) via OpenID Connect-specifikationen (version 1.0). Detta gör det möjligt för användare att logga in på Quinyx med sina befintliga inloggningsuppgifter från er organisations Identity Provider (IdP).

Denna guide täcker konfigurationen för både webb- och mobilapp-SSO.

Förutsättningar

Innan du börjar konfigurationen, se till att du har:

  • Åtkomsträttigheter: Du måste ha rollen Account Manager i Quinyx för att få åtkomst till autentiseringsinställningar.
  • Identity Provider (IdP): En Identity Provider som stöder OpenID Connect-ramverket (t.ex. Azure AD, Okta, Google Workspace).
  • Klientuppgifter: Client ID och Client Secret genererade av din Identity Provider.

1. Lägg till en ny leverantör

För att skapa en ny konfiguration eller redigera en befintlig:

  1. Navigera till kontoinställningar > autentiseringsinställningar > OpenID-leverantörer.
  2. Klicka på Lägg till för att skapa en ny konfiguration.

2. Allmän information

Konfigurera de grundläggande anslutningsdetaljerna. Dessa värden matchar inställningarna i din Identity Provider.

  • Namn: Visningsnamnet för denna inloggningsmetod (t.ex. "Okta Login"). Detta namn är synligt för administratörer och, om Global Login Alias används, för slutanvändare.
  • Attributnamn: Den specifika fordran i OpenID-tokenet som fungerar som användarens unika identifierare (t.ex. email, sub eller upn). Detta är skiftlägeskänsligt och måste exakt matcha din IdP.
  • Omfattningar: De behörigheter som Quinyx begär.
    • Obligatoriskt: openid
    • Vanliga tillägg: profile, email (separera flera omfattningar med mellanslag).
  • Identifieringstyp: Välj vilket fält i Quinyx användarprofil som matchar Attributnamn från leverantören.
    • Exempel: Om du väljer Email matchar Quinyx IdP:s email fordran med användarens e-postadress i Quinyx.
  • Klient-ID: Den offentliga identifieraren för Quinyx-applikationen som tillhandahålls av din IdP.
  • Klienthemlighet: Den privata nyckeln/lösenordet som tillhandahålls av din IdP.
  • Logout-URI: URL:en där användare omdirigeras efter att ha loggat ut från Quinyx. Detta pekar vanligtvis på din IdP:s utloggningsendpoint.

3. Konfigurationsalternativ

Dessa kryssrutor styr specifika autentiseringsbeteenden.

  • Global inloggningsalias:
    • Aktiverad: Tillåter användare att ange Namnet på denna leverantör (t.ex. "MyCompanyLogin") i användarnamnsfältet i Quinyx Mobile App. De omdirigeras automatiskt till er SSO-inloggningssida utan att behöva välja en specifik region.
    • Obs: Namnet måste vara globalt unikt inom Quinyx (EU och USA). Valideras vid sparande.
  • Använd PKCE:
    • Aktiverad: Aktiverar Proof Key for Code Exchange (PKCE) för ökad säkerhet. Säkerställ att din IdP stöder detta innan aktivering.
  • Logga ut från IDP:
    • Aktiverad: När en användare loggar ut från Quinyx, loggas de också ut från sin Identity Provider-session.
  • Aktivera felsökningsläge:
    • Aktiverad: Visar detaljerade felloggar på inloggningssidan. Rekommendation: Aktivera endast under initial inställning/felsökning och inaktivera för produktion.

Klicka på Fortsätt för att gå vidare till de Avancerade inställningarna.

4. Avancerade förinställda värden

Denna avdelning definierar de tekniska ändpunkterna. Du kan fylla i detta automatiskt eller manuellt.

Metod A: Hämta förinställning (rekommenderas)

De flesta Identity Providers erbjuder en metadata-URL (Discovery URL).

  1. Klistra in din IdP:s metadata-URL i fältet för Förinställd URL .
    • Exempel: https://login.microsoftonline.com/{tenant}/v2.0/.well-known/openid-configuration
  2. Klicka på Hämta förinställning.
  3. Quinyx kommer automatiskt att fylla i fälten nedan.
Metod B: Manuell konfiguration

Om du inte kan använda förinställningshämtaren, ange värdena manuellt baserat på din IdP:s dokumentation:

  • AuthorizationURI: URL:en för inloggningssidan.
  • RedirectURI: Quinyx URL där IdP skickar användaren efter inloggning.
    • Viktigt: Kopiera denna URL efter att ha sparat och lägg till den i din IdP:s "Tillåtna Callback-URL:er".
  • Klientautentiseringsmetod: Hur klientens referenser skickas (t.ex. ingen eller client_secret_basic eller client_secret_post.
  • Avsluta sessionens slutpunkt: URL:en som används för att avsluta IdP-sessionen.
  • Granttyp: Kan ställas in på Refresh tokeneller Client credentialsmen vanligtvis inställd på Authorization Code
  • UtfärdareURI: Den unika identifieraren för identitetsleverantören.
  • JWK set URI: URL:en som innehåller offentliga nycklar för signaturverifiering.
  • Token URI: Slutpunkten för att byta ut auktoriseringskoden mot en åtkomsttoken.
  • Användarinfo-endpoint: URL:en för att hämta användarprofilinformation.

5. Slutföra inställning (omdirigerings-URI)

  1. Spara din konfiguration i Quinyx.
  2. Öppna konfigurationen igen (klicka på hänglåset -ikonen om den avancerade avdelningen är stängd).
  3. Hitta RedirectURI -fältet i avdelningen för avancerade förinställda värden.
  4. Kopiera denna URL.
  5. Logga in på din identitetsleverantörs admin portal och klistra in denna URL i inställningarna för Tillåtna omdirigerings-URI:er (ibland kallade Svars-URL:er eller Callback-URL:er) för Quinyx-applikationen.

Bilaga: Exempelinställning (Azure AD)

Obs: Detta är en allmän guide för Azure Active Directory. Gränssnitt kan ändras.

1. Initial inställning i Azure AD

  1. Gå till Azure Active Directory > App-registreringar > Ny registrering.
  2. Namnge appen (t.ex. "Quinyx").
  3. För Redirect URI, välj Web och ange en tillfällig platshållare (t.ex. https://localhost). Du kommer att uppdatera detta senare.
  4. Klicka på Registrera.

2. Samla in referenser

  1. Klient-ID: På översiktssidan, kopiera applikations-ID:t (klient-ID).
  2. Tenant-ID: Kopiera katalog-ID:t (tenant-ID).
  3. Klienthemlighet: Gå till Certifikat & hemligheter Nytt klienthemlighet. Skapa en och kopiera värdet omedelbart (du kan inte se det senare).

3. Konfigurera Quinyx

  1. I Quinyx, skapa en ny OpenID-leverantör.
  2. Klistra in Client ID och Client Secret från Azure.
  3. I Förinställd URL, ange följande (ersätt {your-tenant-id} med ID:t som kopierades i steg 2.2):
    https://login.microsoftonline.com/{your-tenant-id}/v2.0/.well-known/openid-configuration
  4. Klicka på Hämta förinställning.
  5. Ställ in Scopes till: openid profile.
  6. Klicka på Fortsätt eller Spara.
  7. Viktigt: I de avancerade inställningarna, kopiera RedirectURI som genereras av Quinyx.

4. Slutför i Azure AD

  1. Återgå till din App-registrering i Azure > Autentisering.
  2. Lägg till RedirectURI som du kopierade från Quinyx.
  3. Ta bort den tillfälliga platshållar-URL:en du skapade i steg 1.
  4. Se till att kryssrutan för ID-tokens är markerad (om det krävs av ditt specifika flöde, även om standard OIDC använder Token Endpoint).
  5. Spara ändringar.

Fick du hjälp?