How to set up Workplace SSO

Avatar
Laura CARBO

Moeilijkheidsgraad: expert

Inhoud

Leerdoelen

Na het lezen van dit artikel kun je:

  • je Active Directory instellen voor communicatie met Workplace
  • begrijpen hoe Workplace SSO werkt

Workplace Smart Buildings Single Sign-On (SSO) is beschikbaar voor alle Workplace Experience-aanraakpunten.

 

image-20240118-155323.png

Vereisten

  • Identity Provider Mapping (de volgende kenmerken ontvangen van de identity provider: "IWMS login ID", "First Name", "Last Name" en "E-Mail“)

    • Als het kenmerk “IWMS login ID” niet correct wordt verstrekt, is er geen koppeling met een IWMS-gebruiker mogelijk en kan de gebruiker geen IWMS-afhankelijke functies gebruiken, zoals het maken van reserveringen.)

  • (optioneel) Toewijzing tussen Active Directory-accountgroepen en Workplace-rollen
  • Er moet een IWMS-account voor de gebruiker bestaan (tenzij je de functie “automatische aanmaak van Workplace-gebruikers” inschakelt)

    • Idealiter zorgt een HR-interface voor het automatisch aanmaken van IWMS-gebruikers

    • Als de ingelogde gebruiker niet bestaat in IWMS, is er geen koppeling met een IWMS-gebruiker mogelijk en kan de gebruiker geen IWMS-afhankelijke functies gebruiken, zoals het maken van reserveringen.

Opmerking

Het moet mogelijk zijn om de IDP te identificeren op basis van het e-mailadres van de gebruiker:

Een specifieke e-maildomeinnaam (bijv.: @spacewell.com) kan in het volledige Spacewell-systeem slechts aan één IDP worden gekoppeld.

Hoe wordt het ingesteld?

Workplace ondersteunt het SAML 2.0-protocol, de branchenorm voor alle actuele integraties.

De SSO-configuratie van IWMS kan niet opnieuw worden gebruikt voor Workplace. Vanuit het perspectief van de identity provider zijn dit twee afzonderlijke apps en voor elk ervan is een onafhankelijke SSO-federatie-instelling vereist.

Het is mogelijk om meerdere IDP-providers in te stellen voor dezelfde omgeving. Zie https://onespacewell.atlassian.net/wiki/spaces/KB/pages/edit-v2/4357490380#Is-it-possible-to-set-up-multiple-IDP-providers-in-1-tenant%3F

IDP-metagegevens

De klant moet de metagegevens van de IDP van de klant verstrekken.

Upload een XML-bestand of geef een URL op in het scherm SSO Configuration.

SP-metagegevens (Spacewell)

In het scherm SSO Configuration kun je het metagegevensbestand van Spacewell genereren.

image-20250205-145725.png

Neem contact op met je Spacewell Account Manager om Workplace SSO in te stellen.

Hoe werkt het?

Workplace Single Sign-On (SSO) is beschikbaar voor alle Workplace Experience-aanraakpunten.

Medewerkers van Spacewell kunnen meer informatie vinden op https://onespacewell.atlassian.net/wiki/spaces/SUM/pages/4345954617/Cobundu+SSO#How-it-works

Eerste keer inloggen

Wanneer een gebruiker een Workplace-gebruikers-ID opgeeft
  1. Workplace controleert het voorvoegsel van de account-ID en weet dat deze inlogpoging via SSO moet plaatsvinden.
  2. De gebruiker wordt doorgestuurd naar de aanmeldingspagina van de externe identity provider.
  3. Na het invoeren van de inloggegevens retourneert de SSO-verbinding, als de identity provider goedkeuring verleent, de hierboven genoemde kenmerken (zie Vereisten) aan Workplace.
  4. (indien ingeschakeld) maakt Workplace automatisch een Workplace-account aan (en koppelt dit aan het IWMS-account).
  5. De gebruiker kan alle relevante functies van Workplace gebruiken.
Wanneer een gebruiker inlogt met een e-mailadres

Voeg de relevante e-mailprovider (bijv. @spacewell.com of @mcs.be) toe aan de SSO-configuratie van Workplace om de e-mailprovider op de witte lijst te zetten. Als je een e-maildomein op de witte lijst wilt zetten, voeg je het toe aan de Studio Settings van de back-end van Workplace > SAML SSO > "Allowed email domains (comma separated)" (onder "Auto-Create user").

  1. Workplace controleert het domein en weet dat deze inlogpoging via SSO moet plaatsvinden.
  2. De gebruiker wordt doorgestuurd naar het externe SSO-aanmeldingsscherm.
  3. Na het invoeren van de inloggegevens retourneert de SSO-verbinding, als de identity provider goedkeuring verleent, de hierboven genoemde kenmerken (zie Vereisten) aan Workplace.
  4. (indien ingeschakeld) maakt Workplace automatisch een Workplace-account aan (en koppelt dit aan het IWMS-account).
  5. De gebruiker kan alle relevante functies van Workplace gebruiken.

Daaropvolgende aanmeldingen

Workplace controleert wanneer de gebruiker aan de kant van de IDP voor het laatst is geverifieerd door een gebruikersnaam en wachtwoord op te geven.

 

  • standaard is er een tolerantie van 120 seconden (er kan altijd een storing of een kleine afwijking in de tijdstempel zijn)
  • maxAuthLifeTime = instelling in Workplace in maanden/jaren. Deze instelling kan worden gebruikt om het tolerantietijdsbestek te verlengen

 

Informatie

De instelling voor de levensduur van de verificatie in Workplace moet worden afgestemd op de time-outwaarde voor de levensduur van de verificatie van je identity provider.

De instelling "Maximum Authentication Lifetime“ kan worden opgegeven in uren, dagen, maanden of jaren. De waarde moet hoger zijn dan 0 en wordt standaard ingesteld op 2 jaar.

image-20240304-123153.png

Wat gebeurt er als de maximale verificatieduur wordt overschreden?

De gebruiker ziet een SSO-foutpagina (de gebruiker wordt niet uitgeschakeld aan de kant van Cobundu). De gebruiker moet aan de kant van de IDP uitloggen uit de SSO-sessie en opnieuw inloggen.

Inloggen zonder SSO

Als SSO is geconfigureerd voor je omgeving en je niet beschikt over een login bij de identity provider, moet je een tijdelijke oplossing volgen:

Op Workplace Web (GO), de back-ends Studio en Device Control van Workplace
  1. voeg /no-sso toe aan de URL (bijv. https://go.cobundu.com/no-sso)
  2. selecteer "Log in with your Cobundu credentials"
  3. log in met je Workplace-ID en wachtwoord
In de Workplace-app
  1. voer je Workplace-ID of e-mailadres in
  2. je wordt doorgestuurd naar de SSO-aanmeldingspagina
  3. selecteer linksboven “done”
  4. als je al bent ingelogd in GO, hoef je je inloggegevens niet opnieuw op te geven. Selecteer in de app “Login with QR Code” en scan vervolgens de QR-code in je GO-instellingen (zie GO - Profile Settings)
  5. als je je Cobundu-inloggegevens wel wilt opgeven, tik je een paar keer op het sleutelpictogram totdat de knop “Login with your Cobundu Credentials” verschijnt. Log vervolgens in met je Workplace-ID en wachtwoord

SSO-problemen

Als een gebruiker SSO-problemen ondervindt, wordt er een Cobundu-pagina weergegeven waarop staat dat er een fout is opgetreden. Vanaf hier kan de gebruiker de SSO-workflow opnieuw starten.

Zie Workplace SSO FAQ & Troubleshooting

Automatische aanmaak en update van Workplace-gebruikers

zie Automatic creation, update & deletion of Workplace users

Rollen toewijzen

zie Workplace SSO Role Mapping

 

Informatie

Vergeet niet onze pagina Workplace SSO FAQ & Troubleshooting te bekijken

 

 

Artikelen in deze sectie