Voordat je SSO in Quinyx opzet, is het belangrijk om de basis door te nemen om de setup te vereenvoudigen. SSO is een afkorting van Single Sign-On, en in Quinyx wordt het gebruikt om authenticatie te verplaatsen van de ingebouwde manieren om gebruikers te authenticeren via bijvoorbeeld een gebruikersnaam en wachtwoord naar een door de klant gecontroleerde manier.
SSO biedt tal van verbeteringen zoals beveiliging, , en eenvoud van gebruikersnaam en wachtwoord - maar het belangrijkste is dat het de klant controle geeft over inloggen en authenticatie bij Quinyx.
Technologieën en protocollen
Naarmate SSO zich in de loop der jaren heeft ontwikkeld, zijn er verschillende protocollen en standaarden opgesteld om SSO te vereenvoudigen tussen verschillende systemen. Twee veelgebruikte protocollen die door Quinyx worden ondersteund zijn SAML 2.0 voor Web en OpenID Connect (OAuth2) voor mobiele apps.
In de loop van de tijd kunnen meer protocollen door Quinyx worden ondersteund.
De protocollen bestaan om de implementatie en compatibiliteit tussen verschillende systemen te vereenvoudigen, zodat elke leverancier, in dit geval Quinyx, geen specifieke ondersteuning hoeft te bouwen voor elk type provider (Azure ADFS, Onelogin, Okta, Google, enz.) - we spreken allemaal een gemeenschappelijke taal. Wat alle protocollen gemeen hebben, is dat ze een lijst hebben met instellingen zoals certificaten, URL's en potentiële geheimen die gedeeld moeten worden om het vertrouwen tussen de twee te vestigen.
Hoewel de URL's er verschillend uit kunnen zien tussen verschillende leveranciers, bieden ze allemaal dezelfde functionaliteit omdat ze compatibel zijn met het gespecificeerde protocol.
Quinyx SSO basisstappen
Het configureren en gebruiken van SSO kan worden opgesplitst in verschillende stappen:
Technisch vertrouwen tussen twee systemen
Datamapping
SSO-gebruikers worden niet vergrendeld door Quinyx-wachtwoordreset, wat betekent dat er geen afhankelijkheid is die SSO-gebruikers verhindert in te loggen als het wachtwoordresetproces in Quinyx is geactiveerd.
Technisch vertrouwen tussen twee systemen
Een vereiste voor SSO om te kunnen werken tussen Quinyx en de IT-omgeving van de klant is het opbouwen van technisch vertrouwen tussen beide partijen. Dit gebeurt één keer en vaak door de IT-afdeling die verantwoordelijk is voor het systeem bij de klant. Quinyx UI biedt een zelfbedieningsmethode om alle instellingen in te voeren die nodig zijn om het vertrouwen tussen Quinyx en het door de klant gekozen systeem te vestigen.
Hier worden alle URL's, geheimen en certificaten gebruikt om dat vertrouwen te configureren en tot stand te brengen. Om dit proces in SAML 2.0 te vereenvoudigen, wordt alle benodigde informatie opgeslagen in een "metadata"-bestand dat tussen de partijen wordt gedeeld. Dit bestand minimaliseert het risico op typfouten en verkeerde configuratie, omdat het alle informatie bevat die nodig is om het vertrouwen te configureren. OpenID Connect heeft vergelijkbare instructies genaamd "Well Known URIs", een weblink met alle URIs die nodig zijn om OpenID op te zetten (vaak eindigt met /.well-known/openid-configuration).
Datamapping
Wanneer het technische vertrouwen is gevestigd, communiceren de twee systemen tijdens het inloggen. Er is echter nog één ding te configureren, en dat is de datamapping. Het klantsysteem, vanaf hier IDP (IDentity Provider) genoemd, biedt een database van de medewerkers die kunnen inloggen op Quinyx. De IDP kan intern bij de klant met veel verschillende systemen worden opgebouwd met hoge complexiteit. Of het kan een enkel systeem zijn in zijn eenvoudigste vorm, zoals een spreadsheet met alle medewerkersinformatie.
Wanneer een medewerker SSO gebruikt om in te loggen op Quinyx, worden verschillende gebruikerseigenschappen uit de IDP-database naar Quinyx gestuurd als onderdeel van het gebruikte protocol.
Hoewel protocollen die worden gebruikt om vertrouwen op te bouwen bepaalde specifieke details en aanbevelingen bevatten, bepalen ze niet precies wat alle velden moeten bevatten. Dit vereist configuratie in de datamapping. Veel aanbieders van OpenID Connect hebben enkele veelvoorkomende claims die bijvoorbeeld een e-mailadres bevatten in een bepaald claim (veld). Een specifieke claim past misschien niet bij elke Quinyx-klant, dus laten we de klant kiezen welke hij gebruikt.
Het configureren van de datamapping
Het doel van datamapping is om de informatie over een medewerker in de klant-IDP-database te koppelen aan de informatie over de medewerker in Quinyx, zodat Quinyx kan identificeren wie er inlogt.
Dit vereist dat we een veld/eigenschap uit Quinyx en een veld/eigenschap in de klant-IDP-database kiezen om elkaar te matchen en zo die gebruiker uniek te identificeren. De gekozen velden worden ingevoerd op de configuratiepagina van Quinyx voor SSO.
Lees hier meer informatie over SSO.
Voorbeeldgegevens
Voorbeeldgegevens in Quinyx (links) en aan de Klantzijde (rechts).
Configureer met e-mail en gebruikersnaam
Eerste poging om de datamapping te doen; het e-mailadres van het huis wordt gekozen van Quinyx en de gebruikersnaam wordt gekozen uit de klantgegevens.
De login mislukt omdat de informatie niet exact overeenkomt aan beide kanten.
Configureer met e-mail en UPN
Tweede poging om de datamapping te doen; Opnieuw configureren om e-mail van Quinyx en UPN te gebruiken vanuit de klantgegevens. Dit geeft een ander resultaat.
De login is nu succesvol omdat Quinyx de gebruiker uniek identificeert als de juiste John Doe van de klant.
Hoe te beslissen welke data je moet gebruiken
Omdat het protocol niet precies specificeert welke data tijdens SSO gebruikt moet worden, wordt aanbevolen om data te identificeren die in beide systemen beschikbaar zijn. Zoek vervolgens een geschikt veld om gebruikers toe te wijzen, voordat je SSO opzet. Omdat klant-IDP's vaak zeer configureerbaar zijn, is het mogelijk om aan te passen welke data in welke velden naar Quinyx wordt gestuurd om te helpen bij het datamappingproces – het belangrijkste is dat er is besloten welk veld te gebruiken en ervoor te zorgen dat de data consistent is.
Als er geen gegevens worden gevonden om elke gebruiker in kaart te brengen, moet er nieuwe informatie worden aangemaakt in een van beide systemen. Dit kan elk type uniek nummer of string zijn, uniek voor elke werknemer. Het gebruik van integraties met Quinyx en het bijwerken van elke medewerker met automatisering vereenvoudigt dit proces om handmatige configuratie van vereiste gegevens voor login te voorkomen.