InterMIND

SSO-opsætning

Forbind Okta, Microsoft Entra ID eller Google Workspace, så dit team logger ind via jeres identitetsudbyder.

SSO-opsætning

Denne vejledning er til IT-administratoren, der forbinder en virksomheds identitetsudbyder (IdP) med InterMIND. Efter opsætningen logger medlemmerne ind fra den almindelige loginside: Sign in with SSO → arbejdsmail → din IdP → tilbage i InterMIND. Du finder det ikke-tekniske overblik på funktionssiden om Single Sign-On.

Tilgængelig i: Business- og Enterprise-abonnementer Konfigureres af: teamets ejer eller administrator Protokol: kun OpenID Connect (OIDC). SAML 2.0 tilbydes ikke – Okta, Microsoft Entra ID og Google Workspace understøtter alle OIDC.

SSO-kortet på siden Integrations

Forudsætninger

  1. Et verificeret domæne – verificér først dit maildomæne via en DNS TXT-record (se Domain Management). SSO-login accepterer kun konti, hvis mailadresse hører til et domæne, som dit team har verificeret. Det er grænsen for din tenant.
  2. En IdP, der understøtter OIDC med discovery – den skal udstille /.well-known/openid-configuration under Issuer URL'en. Det gør Okta, Microsoft Entra ID og Google alle.

Hvad du skal registrere i din IdP

Opret en OIDC Web Application i din IdP med:

IndstillingVærdi
Redirect URI (callback)https://intermind.com/api/auth/sso/callback – vises også i SSO-kortet, når du har valgt OIDC
Grant typeAuthorization Code (PKCE S256 bruges automatisk)
Scopesopenid email profile

Det ID-token, som din IdP udsteder, skal indeholde brugerens email, og mailadressens domæne skal være et af dine verificerede domæner – ellers afvises login.

Udfyld derefter SSO-kortet på siden Integrations:

FeltHvad du skal indsætte
Display NameEn hvilken som helst betegnelse, som dine medlemmer kan genkende
Issuer URLDin IdP's issuer – den URL, der udstiller /.well-known/openid-configuration
Authorization URLauthorization_endpoint fra det pågældende discovery-dokument
Client ID / Client SecretFra den app, du har registreret

Client secret krypteres i hvile (encrypted at rest) og returneres aldrig til browseren efter lagring.

Okta

  1. Admin console → Applications → Create App Integration → sign-in method OIDC, application type Web Application
  2. Sign-in redirect URI: https://intermind.com/api/auth/sso/callback
  3. Tildel de brugere eller grupper, der skal have adgang
  4. Kopiér Client ID og Client Secret
  5. I InterMIND: Issuer URL = din Okta-org-URL (f.eks. https://acme.okta.com, eller din authorization servers issuer som https://acme.okta.com/oauth2/default, hvis du bruger en); Authorization URL = authorization_endpoint fra <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

  1. Entra admin center → App registrations → New registration
  2. Platform Web, redirect URI https://intermind.com/api/auth/sso/callback
  3. Certificates & secrets → New client secret – kopiér secret-Value med det samme
  4. Client ID = Application (client) ID på siden Overview
  5. Sørg for, at ID-tokenet indeholder brugerens mailadresse: Token configuration → Add optional claim → ID → email
  6. I InterMIND: Issuer URL = https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Ingen appregistrering er nødvendig. Vælg udbydertypen Google Workspace i SSO-kortet, og gem – medlemmer på dine verificerede domæner logger ind med deres Google-konto og bliver automatisk en del af dit team. (Google kan også tilsluttes som en generisk OIDC-udbyder med issuer https://accounts.google.com, hvis du foretrækker eksplicitte client credentials.)

Test forbindelsen

  1. Åbn loginsiden i et privat vindue/inkognitovindue
  2. Klik på Sign in with SSO, og indtast en arbejdsmail på dit verificerede domæne
  3. Du bliver sendt videre til din IdP, og efter godkendelse lander du tilbage i InterMIND som logget ind
  4. Login registreres i teamets auditlog (kan eksporteres fra siden Users) som auth.login med metoden sso

Fejlfinding

SymptomÅrsag
"SSO is not configured" efter indtastning af mailadressenIngen aktiv SSO-konfiguration matcher det maildomæne – tjek, at domænet er verificeret, og at SSO-kortet er gemt
SSO login is not available: planTeamets abonnement inkluderer ikke længere SSO
SSO login is not available: domain-not-verifiedDomænet afventer stadig DNS-verificering
SSO login is not available: config-incompleteClient ID eller Client Secret mangler – gem SSO-kortet igen
SSO login is not available: type-unsupportedDen gemte udbydertype er ikke en, som login-flowet understøtter – slet SSO-konfigurationen, og opret den igen som OIDC eller Google Workspace
SSO IdP discovery failedIssuer URL er forkert eller udstiller ikke /.well-known/openid-configuration
"login session expired, start again"Der er gået mere end 5 minutter mellem start af login og IdP-callbacket
Login afvist, efter IdP'en sender brugeren tilbageIdP'en returnerede en mailadresse uden for dine verificerede domæner eller slet ingen email-claim (Entra: tilføj den valgfrie email-claim)

Sikkerhedsegenskaber

Til sikkerhedsspørgeskemaer: SSO-flowet er Authorization Code med PKCE (S256), state og nonce; ID-tokenets signatur valideres mod IdP'ens JWKS sammen med issuer og audience; IdP'en er kun autoritativ for domæner, der er verificeret via DNS – en assertion for enhver anden mailadresse resulterer aldrig i en session; OIDC-client secret er krypteret i hvile (encrypted at rest); hvert SSO-login havner i teamets auditlog. Kontrol af abonnement, domæne og konfiguration håndhæves server-side både ved start af login og ved callbacket.

Integrationer

Kalender, Slack, Telegram, API-nøgler og AI-assistenter til din konto; mappesynkronisering, domænestyring og SSO til dit team.

Telegram

Videresend beskeder til InterMIND-botten, spejl Telegram-grupper i kanaler, og send chats videre til din Inbox.