InterMIND

Oppsett av SSO

Koble til Okta, Microsoft Entra ID eller Google Workspace slik at teamet ditt logger inn via identitetsleverandøren din.

Oppsett av SSO

Denne veiledningen er for IT-administratoren som kobler en identitetsleverandør (IdP) i selskapet til InterMIND. Etter oppsettet logger medlemmene inn fra den vanlige påloggingssiden: Sign in with SSO → jobb-e-post → din IdP → tilbake i InterMIND. For en ikke-teknisk oversikt, se funksjonssiden for Single Sign-On.

Tilgjengelig i: Business- og Enterprise-abonnement Konfigureres av: teamets eier eller administrator Protokoll: Kun OpenID Connect (OIDC). SAML 2.0 tilbys ikke – Okta, Microsoft Entra ID og Google Workspace støtter alle OIDC.

SSO-kortet på Integrations-siden

Forutsetninger

  1. Et verifisert domene – verifiser e-postdomenet ditt via en DNS TXT-post først (se Domain Management). SSO-pålogging godtar bare kontoer med et e-postdomene som teamet ditt har verifisert; dette er tenant-grensen.
  2. En IdP som støtter OIDC med discovery – den må levere /.well-known/openid-configuration under Issuer URL. Okta, Microsoft Entra ID og Google gjør alle det.

Hva du må registrere i IdP-en din

Opprett en OIDC Web Application i IdP-en din med:

InnstillingVerdi
Redirect URI (callback)https://intermind.com/api/auth/sso/callback – vises også i SSO-kortet etter at du velger OIDC
Grant typeAuthorization Code (PKCE S256 brukes automatisk)
Scopesopenid email profile

ID-tokenet som IdP-en din utsteder, må inneholde brukerens email, og e-postens domene må være ett av dine verifiserte domener – ellers avvises påloggingen.

Fyll deretter ut SSO-kortet på Integrations-siden:

FeltHva du skal lime inn
Display NameEn hvilken som helst etikett medlemmene dine vil kjenne igjen
Issuer URLIdP-ens issuer – URL-en som leverer /.well-known/openid-configuration
Authorization URLauthorization_endpoint fra det discovery-dokumentet
Client ID / Client SecretFra appen du registrerte

Client secret er kryptert i lagring og sendes aldri tilbake til nettleseren etter at det er lagret.

Okta

  1. Admin console → Applications → Create App Integration → sign-in method OIDC, application type Web Application
  2. Sign-in redirect URI: https://intermind.com/api/auth/sso/callback
  3. Tildel brukerne eller gruppene som skal ha tilgang
  4. Kopier Client ID og Client Secret
  5. I InterMIND: Issuer URL = Okta-organisasjonens URL (f.eks. https://acme.okta.com, eller issuer for autorisasjonsserveren din, som https://acme.okta.com/oauth2/default, hvis du bruker en); Authorization URL = authorization_endpoint fra <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

  1. Entra admin center → App registrations → New registration
  2. Platform Web, redirect URI https://intermind.com/api/auth/sso/callback
  3. Certificates & secrets → New client secret – kopier hemmelighetens Value umiddelbart
  4. Client ID = Application (client) ID på Overview-siden
  5. Sørg for at ID-tokenet inneholder brukerens e-post: Token configuration → Add optional claim → ID → email
  6. I InterMIND: Issuer URL = https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Ingen appregistrering er nødvendig. Velg leverandørtypen Google Workspace i SSO-kortet og lagre – medlemmer på dine verifiserte domener logger inn med Google-kontoen sin og blir automatisk med i teamet ditt. (Google kan også kobles til som en generisk OIDC-leverandør med issuer https://accounts.google.com hvis du foretrekker eksplisitte client credentials.)

Test tilkoblingen

  1. Åpne påloggingssiden i et privat vindu/inkognitovindu
  2. Klikk Sign in with SSO og skriv inn en jobb-e-post på det verifiserte domenet ditt
  3. Du sendes videre til IdP-en din; etter autentisering havner du tilbake i InterMIND, pålogget
  4. Påloggingen registreres i teamets revisjonslogg (kan eksporteres fra Users-siden) som auth.login med metoden sso

Feilsøking

SymptomÅrsak
"SSO is not configured" etter at e-posten er skrevet innIngen aktivert SSO-konfigurasjon samsvarer med det e-postdomenet – sjekk at domenet er verifisert og at SSO-kortet er lagret
SSO login is not available: planTeamets abonnement inkluderer ikke lenger SSO
SSO login is not available: domain-not-verifiedDomenet venter fortsatt på DNS-verifisering
SSO login is not available: config-incompleteClient ID eller Client Secret mangler – lagre SSO-kortet på nytt
SSO login is not available: type-unsupportedDen lagrede leverandørtypen er ikke en som påloggingsflyten støtter – slett SSO-konfigurasjonen og opprett den på nytt som OIDC eller Google Workspace
SSO IdP discovery failedIssuer URL er feil eller leverer ikke /.well-known/openid-configuration
"login session expired, start again"Det gikk mer enn 5 minutter mellom start av påloggingen og IdP-ens callback
Pålogging avvist etter at IdP-en sender brukeren tilbakeIdP-en returnerte en e-post utenfor dine verifiserte domener, eller ingen email-claim i det hele tatt (Entra: legg til den valgfrie email-claimen)

Sikkerhetsegenskaper

For sikkerhetsspørreskjemaer: SSO-flyten er Authorization Code med PKCE (S256), state og nonce; ID-tokenets signatur valideres mot IdP-ens JWKS, sammen med issuer og audience; IdP-en er autoritativ kun for domener verifisert via DNS – en assertion for en hvilken som helst annen e-post gir aldri en økt; OIDC-client secret er kryptert i lagring; hver SSO-pålogging havner i teamets revisjonslogg. Kontroller av abonnement, domene og konfigurasjon håndheves på serversiden både ved start av påloggingen og ved callback.

Integrasjoner

Kalender, Slack, Telegram, API-nøkler og AI-assistenter for kontoen din; katalogsynkronisering, domeneadministrasjon og SSO for teamet ditt.

Telegram

Videresend meldinger til InterMIND-boten, speil Telegram-grupper inn i kanaler, og send chatter til innboksen din.