Bekräfta och underhålla SSO efter konfigurationen
Så bekräftar du att Microsoft-inloggning blev aktiv för er domän, byter domän eller Azure-uppgifter senare, byter ut en utgången klienthemlighet och får domänformatet rätt.
När er IT-kontakt har slutfört formuläret för Microsoft-inloggning behöver ert HR-team inte publicera eller aktivera något separat: inloggningen slås på i samma stund som formuläret sparas. Den här guiden täcker allt efter det första sparandet: att bekräfta att SSO är aktivt för er domän, att byta domän eller Azure-uppgifter senare, att byta ut klienthemligheten när den går ut, och reglerna för själva fältet E-postdomän.
Det finns ingen redigeringsvy för Microsoft single sign-on inne i CLVR Benefits. Varje ändring efter den ursprungliga konfigurationen (en ny domän, nya uppgifter eller en ny hemlighet) görs genom att skicka in samma formulär på en sida via en ny setup-länk, inte genom att ändra en inställning.
Vad IT ser när konfigurationen sparas
På konfigurationssidan fyller IT i domänen och de tre uppgiftsfälten och väljer sedan Save and enable. När sparandet lyckas ersätts formuläret med en bekräftelse:
- Ett meddelande som säger Setup complete, och
- Raden "Microsoft sign-in is now enabled. Employees can sign in with their work account."
Ser IT den bekräftelsen är konfigurationen sparad och aktiv. Det finns inget ytterligare aktiveringssteg, och ert HR-team behöver inte göra något i webbappen för att slutföra det.
Kontrollera det från inloggningssidan
Du kan bekräfta det själv på under en minut:
Öppna inloggningssidan för CLVR Benefits.
I fältet Logga in med e-post, ange en medarbetares e-post på er konfigurerade domän (till exempel namn@foretag.se) och fortsätt.
När Microsoft-inloggning är aktivt för domänen byter formuläret ut knappen Skicka inloggningslänk mot en notis med rubriken Microsoft-inloggning som säger "Ditt företag använder Microsoft-inloggning", med en enda knapp Fortsätt med Microsoft under. Inget alternativ för inloggningslänk eller lösenord visas för den domänen.
Det utbytet är signalen om att SSO är aktivt. CLVR kontrollerar domänen medan du skriver och igen när du fortsätter, så Microsoft-alternativet dyker upp så snart e-postadressen matchar er konfigurerade domän.
Testa med en riktig medarbetar-e-post som redan finns i CLVR och fortfarande är anställd. Microsoft-inloggning slutförs bara för en aktiv (ej avslutad) medarbetare på den konfigurerade domänen, så en påhittad adress slutför inte inloggningen även om notisen visas.
Formatregler för domänen
Konfigurationsformuläret frågar efter en E-postdomän. Det är delen av jobbadressen efter @-tecknet, och CLVR använder den för att avgöra vilka medarbetare som loggar in med Microsoft. Formatet måste vara rätt.
Ange domänen ensam, utan @-tecken och utan namn framför.
- Rätt:
foretag.se - Fel:
namn@foretag.se
Fältet heter E-postdomän och visar foretag.se som platshållare. Så fort du skriver ett värde visas en kort text under fältet: "Medarbetare med @foretag.se kommer att använda Microsoft-inloggning", så att du kan bekräfta att det stämmer med adresserna era medarbetare faktiskt använder.
Formuläret kontrollerar värdet innan det sparas och avvisar allt som inte ser ut som en riktig domän:
- Inget @-tecken. Att skriva en hel adress, till exempel
namn@foretag.se, avvisas: ange domänen utan @ (till exempelforetag.se). - Den måste innehålla en punkt. Ett enstaka ord utan punkt avvisas: domänen måste innehålla en punkt (till exempel
foretag.se). En subdomän sommail.foretag.sefungerar eftersom den fortfarande innehåller en punkt. - Endast tillåtna tecken. Bokstäver, siffror, bindestreck och punkter godkänns. Allt annat (mellanslag, understreck, snedstreck) avvisas: domänen får bara innehålla bokstäver, siffror, bindestreck och punkter.
Domänen sparas alltid med små bokstäver, och vid inloggning jämför CLVR medarbetarens e-postdomän mot den utan att bry sig om gemener eller versaler. Så Foretag.se, FORETAG.SE och foretag.se beter sig likadant, och en medarbetare vars adress råkar ha stora bokstäver matchas ändå.
Använd domänen era medarbetare redan har i sin jobbadress. Om alla loggar in som fornamn.efternamn@foretag.se är domänen att ange foretag.se.
I de flesta uppsättningar fyller din CLVR-kontakt i domänen åt dig när länken skapas. Då visas fältet E-postdomän men är låst, så ert IT-team kan inte ändra det, och formatkontrollerna ovan är redan avklarade. Ert IT-team behöver bara fylla i Azure-uppgifterna (Program (klient) ID, Katalog (tenant) ID och Klienthemlighet) och välja Spara och aktivera. Om den låsta domänen är fel, försök inte kringgå det. Be din CLVR-kontakt att skicka en ny setup-länk med rätt domän.
En domän per företag
Varje företag kan ha en SSO-domän i dag. Medarbetare vars e-post ligger på den domänen får knappen Fortsätt med Microsoft; alla andra behåller den inloggningsmetod som deras adress redan ger, vilket för de flesta är en inloggningslänk som mejlas (eller e-post och lösenord, om ert företag är konfigurerat för det). Om er organisation använder flera e-postdomäner, prata med din CLVR-kontakt om vilken som ska aktiveras.
Uppdatera eller byta er SSO-domän eller uppgifter
Eftersom det inte finns någon redigeringsvy byter du en aktiv SSO-konfiguration genom att skicka in en ny setup-länk, inte genom att ändra en inställning. Konfigurationen som ersätts är e-postdomänen plus Azure-uppgifterna Program (klient) ID, Katalog (tenant) ID och Klienthemlighet.
Be er CLVR-kontakt om en ny setup-länk
För att ändra något i en befintlig SSO-konfiguration börjar du med att be er CLVR-kontakt skicka en ny setup-länk för ert företag.
- Setup-länkar är giltiga i 7 dagar.
- Om du ska byta domän, ange den nya domänen för er CLVR-kontakt direkt, eftersom domänen oftast sätts på själva länken och visas låst i formuläret. En länk som skapats med den gamla domänen kan inte användas för att byta till en ny.
Fältet E-postdomän i formuläret visas men är låst när er CLVR-kontakt har fyllt i det på länken. Därför måste ett domänbyte komma från en ny länk med rätt domän, i stället för att IT ändrar fältet.
Vad IT anger på den nya länken
Er IT-kontakt öppnar den nya länken och landar på formuläret Microsoft OAuth-inställning, och anger sedan de värden som ska gälla framåt:
Kontrollera att den E-postdomän som visas i formuläret är den ni vill ha. Om den är låst till fel värde, stanna och be er CLVR-kontakt om en korrigerad länk i stället för att hitta en kringgående lösning.
Ange Program (klient) ID, Katalog (tenant) ID och Klienthemlighet från er Azure-appregistrering. För att bara byta ett av dessa anger IT ändå om allihop, eftersom formuläret sparar en komplett konfiguration.
Välj Spara och aktivera. Formuläret visar en bekräftelse, Inställning klar: "Microsoft-inloggning är nu aktiverad. Medarbetare kan logga in med sitt arbetskonto."
När sparandet lyckas ersätter den nya konfigurationen den gamla direkt. Det finns inget separat publicerings- eller aktiveringssteg.
Att spara återkallar andra väntande länkar
När IT sparar en ny konfiguration markerar CLVR automatiskt den länken som använd och återkallar alla andra väntande setup-länkar för ert företag. Så om fler än en länk skapats är det bara den som nyss sparades som gäller, och ingen inaktuell länk lämnas aktiv. Om du behöver göra en ändring till efteråt, be er CLVR-kontakt om en ny länk.
Att byta domän ändrar vem som använder Microsoft-inloggning
Domänen avgör vilka medarbetare som ser Fortsätt med Microsoft. Medarbetare vars jobbadress ligger på den konfigurerade domänen får Microsoft-inloggning; alla andra behåller den metod deras adress redan landar på (för de flesta är det en inloggningslänk som mejlas, eller e-post och lösenord om ert företag är konfigurerat för det). Innan du byter domän, bekräfta att det nya värdet matchar de adresser era medarbetare faktiskt använder, så att du inte flyttar inloggningen till en domän ingen ligger på.
När IT har sparat, testa inloggning för en medarbetare på den nya domänen med samma kontroll på inloggningssidan som beskrivs ovan: ange en adress på den nya domänen och bekräfta att knappen Fortsätt med Microsoft visas och loggar in dig utan problem.
Byt ut en utgången klienthemlighet
Klienthemligheter i Azure har ett utgångsdatum. När hemligheten bakom er Microsoft single sign-on går ut slutar inloggningen fungera för alla på er domän tills IT skapar en ny och ni anger den på nytt.
Så märker ni att hemligheten har gått ut
Det första tecknet är oftast att medarbetare hör av sig om att Fortsätt med Microsoft inte längre loggar in dem. Efter att de når Microsoft hamnar de tillbaka på inloggningssidan i CLVR Benefits med:
Något gick fel med Microsoft-inloggningen. Försök igen.
Det är ett allmänt meddelande, så en utgången klienthemlighet är bara en av flera möjliga orsaker. Innan ni utgår från att det är hemligheten är det värt att utesluta de andra vanliga orsakerna (en felskriven omdirigerings-URI, eller saknat administratörsmedgivande för behörigheten User.Read). Snabbaste kontrollen är utgångsdatumet som IT angav när hemligheten skapades: har det datumet passerat är det hemligheten som är problemet.
Det finns inget fält inne i CLVR Benefits där ni själva uppdaterar uppgifterna. Att byta ut en hemlighet sker alltid via en ny setup-länk, samma formulär på en sida som er IT-kontakt använde vid den ursprungliga inställningen.
Vad IT gör i Azure
Er IT-kontakt skapar en helt ny klienthemlighet på samma appregistrering som de satte upp från början:
Öppna appregistreringen i Azure-portalen, gå till Certifikat och hemligheter och välj Ny klienthemlighet.
Kopiera det hemliga värdet direkt (inte Hemligt ID). Azure visar värdet bara en gång, så om de lämnar sidan innan de kopierat det måste de skapa en ny.
Anteckna det nya utgångsdatumet så att ni hinner förnya hemligheten innan den går ut nästa gång.
Inget annat i Azure behöver ändras. Domänen, Program (klient) ID och Katalog (tenant) ID är desamma: bara hemligheten är ny.
Ange den nya hemligheten i CLVR Benefits
Eftersom det inte finns någon redigeringsvy för SSO anger ni uppgifterna på nytt via en ny setup-länk:
- Be er CLVR-kontakt skicka en ny setup-länk för ert företag. Länkar är giltiga i 7 dagar.
- IT öppnar länken och kommer till formuläret Microsoft OAuth-inställning.
- De anger samma E-postdomän, Program (klient) ID och Katalog (tenant) ID som tidigare, plus det nya värdet i fältet Klienthemlighet.
- De väljer Spara och aktivera.
När de sparar ersätts den gamla konfigurationen och eventuella andra väntande setup-länkar för ert företag återkallas automatiskt, så ingen gammal länk blir kvar aktiv. Be en medarbetare på SSO-domänen logga in igen med Fortsätt med Microsoft. En lyckad inloggning bekräftar att den nya hemligheten är aktiv. Om det fortfarande misslyckas beror det troligen på något annat än hemligheten, så gå vidare till kontrollerna av omdirigerings-URI och medgivande.
Felsökning
- Inloggningssidan visar fortfarande inloggningslänk eller lösenord för domänen. Konfigurationen kanske inte sparades. Be er IT-kontakt bekräfta att de nådde bekräftelsen Setup complete. Gjorde de inte det kan konfigurationslänken behöva öppnas igen, eller en ny länk begäras.
- Microsoft-notisen visas men inloggningen slutförs inte. Kontrollera att e-postadressen tillhör en nuvarande medarbetare i CLVR. Avslutade medarbetare och adresser som inte finns i CLVR blockeras även när Microsoft-alternativet visas.
- Inget har ändrats trots att IT säger att formuläret sparades. Säkerställ att du testar med en e-postadress på exakt den domän som konfigurerades. En kollega på en annan domän ser fortfarande sin egen inloggningsmetod.
- Formuläret avvisar domänen som angavs. Läs felmeddelandet under fältet igen. De vanligaste orsakerna är att en hel e-postadress klistras in (ta bort delen fram till och med @-tecknet) eller ett värde utan punkt.
- Den nya domänen är låst till fel värde. Hitta ingen kringgående lösning. Be er CLVR-kontakt om en ny länk med rätt domän.
- Medarbetare på den gamla domänen kan inte längre logga in med Microsoft. Det är väntat efter ett domänbyte. De använder nu den metod deras adress landar på, oftast en inloggningslänk via e-post. Om de ska behålla Microsoft-inloggning var den nya domänen troligen fel, så be er CLVR-kontakt om en korrigerad länk.
- Setup-länken gick ut innan IT hann använda den. Länkar gäller i 7 dagar. Be er CLVR-kontakt om en ny.
- Inloggning misslyckas fortfarande efter att nya uppgifter sparats. Orsaken kan ligga i Azure snarare än i CLVR. Be IT bekräfta omdirigerings-URI:n på appregistreringen och att administratörsmedgivande för behörigheten User.Read finns på plats.
- Den nya hemligheten försvann innan den kopierades. Azure visar värdet bara en gång. IT skapar helt enkelt en ny Ny klienthemlighet under Certifikat och hemligheter och kopierar den direkt.
- Ni vill undvika att hemligheten går ut nästa gång. Be IT anteckna hemlighetens utgångsdatum och förnya den innan dess, i stället för att vänta tills inloggningen slutar fungera.