Employee Hub hanteert de huidige protocollen voor SSO en gebruikersprovisioning en maximaliseert de voortdurende ondersteuning voor moderne bedrijfssystemen. Dit helpt gebruikers best practices te adopteren terwijl ze beveiligingsbeleid beheren en onderhouden voor hun voltijdse en parttime gebruikersbasis.
Op dit moment is de SSO-configuratie in Employee Hub geen zelfbediening. Klanten voorzien het Employee Hub-team van de benodigde informatie zodat zij de configuratie kunnen uitvoeren. In de toekomst zal de SSO-oplossing worden geconsolideerd in het Quinyx-platform; met andere woorden, als een klant SSO heeft, wordt deze in Quinyx ingesteld en niet op het oude Employee Hub-platform. Lees hier meer over Quinyx en SSO.
We zullen ons best doen om eventuele afwijkingen van de norm op te vangen. Als u vragen of zorgen heeft, neem dan contact op met uw Quinyx-accountmanager.
SSO (Single Sign-On)
SSO stelt uw personeel in staat om automatisch toegang te krijgen tot Employee Hub nadat ze zijn ingelogd op hun bedrijfsaccount. Dit stroomlijnt het toegangsproces en vermindert de noodzaak voor medewerkers om een extra set inloggegevens te onthouden en te beheren.
Voor webgebruikers van ondersteunde browsers is de flow, eenmaal ingesteld, zoals te zien is op de onderstaande afbeelding. Het proces, van het invoeren van de URL tot het inloggen, is volledig geautomatiseerd; de enige mogelijke gebruikersonderbreking is als de gebruiker moet inloggen op zijn bedrijfsaccount (voor het geval dat nog niet zo is).
Belangrijke punten met betrekking tot de basisstroming
Houd alstublieft de volgende belangrijke punten in overweging met betrekking tot de basisstroom hierboven:
Hoewel SSO dit nieuwe gebruikersstroompad mogelijk maakt, doet het dit als aanvulling op de bestaande e-mail/wachtwoord-authenticatiemethode.
Een gebruiker wordt alleen succesvol ingelogd als hij een correct ingesteld account heeft met een naam, e-mailadres en een geldige Employee Hub-gebruikersgroep.
Pogingen om in te loggen zonder een correct ingesteld account zullen resulteren in een bericht: "Het spijt ons, maar we kunnen u niet inloggen bij Employee Hub, omdat we belangrijke gegevens missen of uw account niet actief is. Neem contact op met uw Systeembeheerder."
Als een gebruiker niet is ingelogd op zijn bedrijfsaccount vóór het begin van de flow, wordt hij doorgestuurd naar zijn bedrijfsinlogpagina. Het tenantaccount moet een callback-URL instellen als hij wil dat de gebruiker automatisch naar Employee Hub wordt gestuurd nadat hij succesvol is ingelogd (aangegeven door de stippellijn in het bovenstaande diagram)
Om veiligheidsredenen kan de gebruiker, als hij is verwijderd of gearchiveerd binnen uw IdP, geen toegang krijgen tot Employee Hub.
Gebruikerstoegang via mobiele app (SSO)
Voor gebruikers van de Employee Hub-mobiele app is de kans groter dat ze moeten inloggen op hun bedrijfsaccount vanwege de manier waarop sessies op deze apparaten worden beheerd.
Een Android-optie voor bedrijfslogin staat op onze roadmap, dus deze functie is momenteel beperkt tot iPhones op het moment van schrijven.
De bovenstaande flow gaat er ook van uit dat de applicatie via een MDM-oplossing is geprovisioneerd, omdat het de noodzaak om de tenantnaam in te voeren overslaat. Als een MDM-optie niet mogelijk is (bijvoorbeeld als je een BYOD-beleid hebt), is dit een eenmalig proces, maar je moet dit dienovereenkomstig aan je personeel communiceren.
Als voorbeeld, als de URL van je site https://mycompany.retailcloud.net is, moet je je medewerkers vragen "mycompany" in het veld voor organisatienaam te typen.
|
|
|---|
Een MDM-geprovisioneerde app kan dit subdomein al invullen om de gebruikersstroom te optimaliseren.
Gebruiker uitloggen
We hebben best practice sessiebeheer toegepast. Het gedrag is als volgt:
Als de gebruiker geen apart tabblad heeft met een bedrijfssessie die draait wanneer hij uitlogt van Employee Hub, wordt hij ook automatisch uitgelogd van zijn bedrijfsaccount.
Als hun bedrijfssessie verloopt, worden ze ook automatisch uitgelogd uit de Employee Hub; hun bedrijfssessie blijft echter actief als alleen hun Employee Hub-sessie uitloopt.
SSO-configuratie
Employee Hub gebruikt de wereldwijde standaarden OpenId / OAuth2 voor SSO, en daarom hebben we de volgende gegevens nodig om SSO in te schakelen voor jouw Employee Hub-instantie:
OAuth2 Client ID (dit is waarschijnlijk een lange reeks).
OAuth2 Client Secret (gegenereerd door je IdP voor deze specifieke integratie, dit is een lange string).
Om veiligheidsredenen raden we aan om bovenstaande in twee aparte e-mails te versturen, waarbij het geheim in versleutelde vorm is.
Afhankelijk van de IdP die je gebruikt, moeten we ook het volgende weten:
OAuth2 responstype (kan code, id_token, enz. zijn - onze standaardinstelling is 'id_token').
OAuth2-scopes (dit wordt afgesproken afhankelijk van welke unieke personeelsidentificatie wordt gebruikt, maar het moet overeenkomen met de naam die in de scope wordt gebruikt, bijvoorbeeld openId, e-mail).
Tot slot moeten we van u vragen om de volgende webadres-eindpunten te bevestigen:
OAuth2 Issuer Endpoint
OAuth2 Autorisatie-eindpunt
OAuth2 Token Endpoint
OAuth2 Logout Endpoint
OAuth2 Public Keys Endpoint
Openid Configuration Endpoint
Maak bovenstaande gegevens beschikbaar aan uw accountmanager, die ervoor zal zorgen dat ze snel worden toegepast.