Inloggning med SSO

Sätta upp inloggning med SSO

För att använda SSO med våra tjänster behöver ni ha en Identity provider (IdP) som stödjer antingen SAML2 eller OpenID Connect. Autentiseringen sker alltid hos kunden oavsett om inloggning sker mot en Mediaportal eller ett Mediaflowkonto. För att era användare ska kunna logga in i Mediaflow behöver vi kunna se vem det är med hjälp av userPrincipalName (upn). Hur det skickas till oss är upp till hur er IdP fungerar. Azure t.ex. skickar detta med name eller nameidentifier. För åtkomst till en Mediaportal behövs inte detta eftersom ni då inte behöver skapa användare.

SSO till Mediaflow kräver att ni skickar med följande claims/attribut (för SAMl2):

• emailadress (http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress)

• givenname (http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname)

• name (http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name)

• nameidentifier (http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier)

• surname (http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname)

• groups (http://schemas.microsoft.com/ws/2008/06/identity/claims/groups)

Ni får en unik inloggnings-URL av oss som användarna går till för att logga in i Mediaflow. Genom den skickas de först till er AD-inloggning för autentisering. När de har autentiserats skickas de tillbaka till Mediaflow där vi kontrollerar biljetten för att säkerställa att informationen i den stämmer överens med vad vi kommit överens om.

OpenID Connect (OIDC)

Om ni vill använda OpenID Connect (IODC) så är vår Redirect URL: https://api.mediaflow.com/1/oauth2/verify. Ni behöver också skicka med en Discovery URL per klient. Om ni endast ska ha SSO för en mediaportal, följ steg 1-3. Om ni ska konfigurera SSO mot Mediaflow, eller både för Mediaflow och en portal, behöver ni följa alla steg i denna guide.

1. Hämta vår metadata från länken nedan
https://sso.mediaflowpro.com/metadata.xml

2. Skapa en SAML2-leverantör i er IdP
Detta gör ni med vår metadata, här kan ni lägga in de claims vi nämnde ovan.

3. Skicka över er federationsmetadata till oss
När ovan steg är ordnade kan ni skicka över er federationsmetadata till oss och ange vilken/vilka grupper vi ska släppa in. Om ni använder Azure AD behöver vi ha det som kallas för Object-ID för grupperna. I annat fall ska det gå bra med namnet på gruppen.

Stegen nedan behöver endast utföras om ni ska konfigurera SSO mot Mediaflow.

4. Premisser för grundläggande åtkomst (måste bestämmas av er)
Detta går att göra på några olika sätt, men det vanligaste är att ni skapar en eller flera AD-grupper som ska ha åtkomst till Mediaflow och automatiskt få en ny användare när de går genom den nya inloggningslänken första gången.

Antalet användare styrs av ert avtal

Hur många användare ni kan skapa i Mediaflow styrs av ert avtal. Oftast har man ett begränsat antal Pro-användare (administratörer) och upp till 50 Basic-användare. Kontrollera ert avtal för att säkerställa att ni håller er inom de överenskomna användargränserna. Läs mer om olika typer av användare i Mediaflow här.

5. Vi skapar en unik inloggnings-URL
Vi skapar sedan en unik inloggnings-URL åt er som ni kommer använda för att komma in i Mediaflow framöver. Om en ny användare går genom den länken kommer en ny användare att skapas i Mediaflow, förutsatt att kriterierna uppfylls:

• Att användaren kommer från er och tillhör en grupp i ert AD som har tillåtelse att använda applikationen.

• Att gruppen i ert AD har registrerats hos oss (ni skickar namn eller object-ID för gruppen till oss) som den grupp/en av de grupper som ska få tillgång till Mediaflow.

• Att användaren inte finns i Mediaflow sedan tidigare (då kommer användaren bara att loggas in).

6. Koppla grupper (inget måste, men kan underlätta för er)
När Mediaflow-kontot skapades av oss så skapades det med en grupp som heter "Alla användare". Ni kan inte påverka vilka användare som ska ingå i den gruppen, den finns för att administratörerna ska kunna ge grundläggande behörigheter så som att kunna logga in, ladda ner och indexera filer osv. Utöver den kan administratörerna skapa fler grupper för att tilldela speciella rättigheter beroende på vad användaren ska kunna göra. Oftast skapar man också en grupp som heter "Administratörer" där man lägger in de som är/ska vara Pro+admin som ska kunna administrera de olika funktionerna. 

Då kan det vara smidigt för er att vi "mappar" grupper mellan ert AD och Mediaflow.

7. Ni kan välja vilka användartyper som ska tilldelas (inget måste, men kan underlätta för er)
Vi kan också sätta upp regler för vilken typ av användare man ska få. Det vanliga är att vi sätter Basic som default, och att ni specificerar en grupp hos er som ska få Pro, och en som ska få Pro+admin.

Det går som sagt att skippa detta steg, då kommer alla användare i Mediaflow få en Basic-användare till att börja med, sedan kan administratörerna manuellt byta användartyp i Mediaflow.

Inloggning i Pro-plugins fungerar inte med SSO

Det går i dagsläget inte att logga in i våra plugins för InDesign och Office (för Pro-användare) med SSO. Eftersom dessa applikationer inte går att specialanpassa idag med en egen inloggningssida så är det inte möjlig att logga med SSO i våra plugins för InDesign och Office (för Pro-användare). Det går heller inte att logga in i dessa plugins om man har fått en användare automatiskt eftersom det krävs både ett användarnamn och ett lösenord.

Tillfällig lösning för att kombinera SSO med våra plugins för Pro-användare

När en person går genom er unika inloggnings-URL för att komma till ert Mediaflow-konto första gången så skapas en ny användare (förutsatt att personen ingår i ert AD och uppfyller kriterierna vi satt upp med er). Användaren som skapas får inget lösenord, utan autentiseringen sker på er sida. När en användare sedan vill använda t.ex. vårt InDesign-plugin så kommer man mötas av en inloggningsruta som kräver både användarnamn och lösenord. Eftersom att användaren inte fått något lösenord och vi idag inte har möjlighet att logga in er med SSO där, går det inte att komma in. För att komma runt problemet för tillfället så kan administratörerna i Mediaflow skapa en ny användare som specifikt används för att kunna nyttja dessa plugins. Det viktiga är att administratören väljer att göra användaren till en Pro-användare då det bara är den typen av användare som kan logga in i pluginet.

Notera att om en användare raderas från ert AD, raderas den inte automatiskt från Mediaflow. Idag finns det inget sätt för oss att veta vilka användare som inte längre finns i ert AD. Det innebär att de kommer finnas kvar i Mediaflow även om de inte finns kvar i ert AD. SAML2 och OIDC bygger på en teknik som förhindrar SP från att ha insyn i ert AD, vilket är en säkerhetsaspekt i flödet. Det innebär att användare kommer finnas kvar i Mediaflow även om de tas bort från ert AD. Trots att användaren tekniskt sett finns kvar i Mediaflow finns det inget sätt att logga in på då inget lösenord har skapats åt användaren.