InterMIND

SSO-konfiguration

Anslut Okta, Microsoft Entra ID eller Google Workspace så att ditt team loggar in via er identitetsleverantör.

SSO-konfiguration

Den här guiden riktar sig till IT-administratören som kopplar en identitetsleverantör (IdP) för företaget till InterMIND. Efter konfigurationen loggar medlemmarna in från den vanliga inloggningssidan: Sign in with SSO → jobbmejladress → din IdP → tillbaka till InterMIND. För en icke-teknisk översikt, se funktionssidan för Single Sign-On.

Tillgängligt i: planerna Business och Enterprise Konfigureras av: teamets ägare eller admin Protokoll: endast OpenID Connect (OIDC). SAML 2.0 erbjuds inte – Okta, Microsoft Entra ID och Google Workspace stöder alla OIDC.

SSO-kortet på sidan Integrationer

Förutsättningar

  1. En verifierad domän – verifiera först din e-postdomän via en DNS TXT-post (se Domänhantering). SSO-inloggning accepterar bara konton vars e-postdomän ditt team har verifierat; det är gränsen mellan tenants.
  2. En IdP som stöder OIDC med discovery – den måste svara på /.well-known/openid-configuration under Issuer URL. Okta, Microsoft Entra ID och Google gör alla det.

Vad du ska registrera i din IdP

Skapa en OIDC Web Application i din IdP med:

InställningVärde
Redirect URI (callback)https://intermind.com/api/auth/sso/callback – visas också i SSO-kortet när du har valt OIDC
Grant typeAuthorization Code (PKCE S256 används automatiskt)
Scopesopenid email profile

ID-token som din IdP utfärdar måste innehålla användarens email, och e-postadressens domän måste vara en av dina verifierade domäner – annars nekas inloggningen.

Fyll sedan i SSO-kortet på sidan Integrationer:

FältVad du ska klistra in
Display NameValfri etikett som dina medlemmar känner igen
Issuer URLDin IdP:s issuer – URL:en som svarar på /.well-known/openid-configuration
Authorization URLauthorization_endpoint från det discovery-dokumentet
Client ID / Client SecretFrån appen du registrerade

Client secret krypteras i vila och skickas aldrig tillbaka till webbläsaren efter att du har sparat.

Okta

  1. Admin console → Applications → Create App Integration → inloggningsmetod OIDC, applikationstyp Web Application
  2. Sign-in redirect URI: https://intermind.com/api/auth/sso/callback
  3. Tilldela de användare eller grupper som ska ha åtkomst
  4. Kopiera Client ID och Client Secret
  5. I InterMIND: Issuer URL = din Okta-organisations URL (t.ex. https://acme.okta.com, eller din authorization servers issuer som https://acme.okta.com/oauth2/default om du använder en sådan); Authorization URL = authorization_endpoint från <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

  1. Entra admin center → App registrations → New registration
  2. Plattform Web, redirect URI https://intermind.com/api/auth/sso/callback
  3. Certificates & secrets → New client secret – kopiera hemlighetens Value direkt
  4. Client ID = Application (client) ID på översiktssidan (Overview)
  5. Se till att ID-token innehåller användarens e-postadress: Token configuration → Add optional claim → ID → email
  6. I InterMIND: Issuer URL = https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Ingen appregistrering behövs. Välj leverantörstypen Google Workspace i SSO-kortet och spara – medlemmar på dina verifierade domäner loggar in med sitt Google-konto och går automatiskt med i ditt team. (Google kan också kopplas som en generisk OIDC-leverantör med issuer https://accounts.google.com om du föredrar explicita klientuppgifter.)

Testa anslutningen

  1. Öppna inloggningssidan i ett privat fönster/inkognitofönster
  2. Klicka på Sign in with SSO och ange en jobbmejladress på din verifierade domän
  3. Du skickas vidare till din IdP; efter autentiseringen hamnar du tillbaka i InterMIND, inloggad
  4. Inloggningen registreras i teamets granskningslogg (kan exporteras från sidan Users) som auth.login med metoden sso

Felsökning

SymptomOrsak
"SSO is not configured" efter att du har angett e-postadressenIngen aktiverad SSO-konfiguration matchar den e-postdomänen – kontrollera att domänen är verifierad och att SSO-kortet är sparat
SSO login is not available: planTeamets plan inkluderar inte längre SSO
SSO login is not available: domain-not-verifiedDomänen väntar fortfarande på DNS-verifiering
SSO login is not available: config-incompleteClient ID eller Client Secret saknas – spara SSO-kortet igen
SSO login is not available: type-unsupportedDen sparade leverantörstypen är inte en som inloggningsflödet implementerar – ta bort SSO-konfigurationen och skapa den på nytt som OIDC eller Google Workspace
SSO IdP discovery failedIssuer URL är fel eller svarar inte på /.well-known/openid-configuration
"login session expired, start again"Det gick mer än 5 minuter mellan att inloggningen startades och IdP-callbacken
Inloggningen nekas efter att IdP:n skickat tillbaka användarenIdP:n returnerade en e-postadress utanför dina verifierade domäner, eller ingen email-claim alls (Entra: lägg till den valfria e-postclaimen)

Säkerhetsegenskaper

För säkerhetsenkäter: SSO-flödet är Authorization Code med PKCE (S256), state och nonce; ID-tokenens signatur valideras mot IdP:ns JWKS, tillsammans med issuer och audience; IdP:n är auktoritativ endast för domäner som verifierats via DNS – ett påstående för någon annan e-postadress ger aldrig en session; OIDC-client secret är krypterad i vila; varje SSO-inloggning hamnar i teamets granskningslogg. Kontroller av plan, domän och konfiguration genomförs på serversidan, både vid start av inloggningen och i callbacken.

Integrationer

Kalender, Slack, Telegram, API-nycklar och AI-assistenter för ditt konto; katalogsynkronisering, domänhantering och SSO för ditt team.

Telegram

Vidarebefordra meddelanden till InterMIND-boten, spegla Telegram-grupper i kanaler och dirigera chattar till din Inbox.