Oppsett av Single Sign-On (SSO) med SAML 2.0 for Microsoft Entra ID <-> FAMAC

Chris Brynjulfsen
Oppdatert

🎯 Fþr vi dykker ned i tekniske detaljer:

Dette er som Ă„ bygge en LEGO Death Star - det krever litt tĂ„lmodighet og presisjon, men vi tar det steg for steg sammen! 🚀

🔗 Generell SAML-guide: Oppsett av Single Sign-On (SSO) med SAML 2.0 i FAMAC

Hvis du bruker Microsoft Entra ID (tidligere Azure AD) som din identitetsleverandĂžr (IdP), fĂžlger du denne guiden for Ă„ sette opp SAML SSO-integrasjonen med FAMAC.

Krav fĂžr oppstart

FÞr du setter opp SAML SSO med Entra ID, mÄ du ha:

✅ Verifisert domenet ditt i FAMAC. Les hvordan her: Domeneverifikasjon

✅ Administratorrettigheter i Microsoft Entra ID

✅ Rolle Byggeieradmin i FAMAC

1. Opprette en ny SAML-applikasjon i Microsoft Entra ID

  1. Logg inn pÄ Microsoft Entra ID (entra.microsoft.com)
  2. GĂ„ til Enterprise applications > New application
  3. Klikk pĂ„ Create your own application, gi den et navn (f.eks. “FAMAC SSO”), og velg Integrate any other application you don’t find in the gallery (Non-gallery)
  4. NÄr applikasjonen er opprettet, gÄ til Single sign-on > SAML

📌 Hold dette vinduet Ă„pent – du skal snart kopiere verdier fra FAMAC.

  • Under punkt 4. "Set up {your-app-name} SSO"

Screenshot_2025-02-18_at_22.32.34.webp

Microsoft Entra ID SSO setup screen showing Login URL, Identifier, and Logout URL fields needed for FAMAC configuration.

  • Under punkt 3. “SAML Signing Certificate” > Last ned “Base64 certificate"

Screenshot 2025-02-18 at 22.31.22.png

Screenshot showing the SAML Signing Certificate section in Microsoft Entra ID, displaying certificate details and download options including the Base64 certificate download feature.

2. Opprette SAML-konfigurasjon i FAMAC

  1. Logg inn i FAMAC (famacweb.no)
  2. GĂ„ til Grunninnstillinger > Sikkerhet > SAML og klikk Ny konfigurasjon

  3. Fyll inn fĂžlgende:

    • Navn pĂ„ konfigurasjonen: (f.eks. “Microsoft innlogging”)
    • Domene: Velg domenet som er verifisert
    • Navn pĂ„ SSO-knapp: (Eksempel: “Logg inn med Microsoft”)
    • Login URL: (”Login URL” kopieres fra Entra ID)
    • Entity ID: (”Microsoft Entra Identifier” kopieres fra Entra ID)
    • Logout URL: (”Logout URL” kopieres fra Entra ID)
    • X.509-sertifikat: (”Certificate (Base64)” lastes ned fra Entra ID, Ă„pnes i teksteditor, og innholdet kopieres og limes inn. Husk Ă„ fjerne eventuelle mellomrom fĂžr og etter teksten.)
    • NameID format: Unspecified

    Screenshot 2025-02-19 at 00.24.11.png

    The screenshot shows the SAML configuration form in FAMAC with fields for setting up Single Sign-On.

  4. Klikk Lagre, men ikke aktiver ennÄ.

  5. Klikk pÄ navnet til konfigurasjon

    Screenshot 2025-02-18 at 22.20.51.png

    The screenshot shows a SAML configuration page in FAMAC with various fields and settings for Microsoft login integration. It displays configuration details, including Entity ID, ACS URL, Login URL, Relay State, and other SAML-specific parameters required to set up Single Sign-On with Microsoft Entra ID.

3. Legg inn Basic SAML Configuration i Entra ID

  1. GĂ„ til Single sign-on > SAML og klikk Edit.
  2. Legg til Identifier (Entity ID):
    1. Klikk pĂ„ “Add identifier”.
    2. I FAMAC, Ă„pne SAML configuration.
    3. Kopier Entity ID (Þverst pÄ siden) fra FAMAC og lim det inn som Identifier i Entra ID.
  3. Legg til Reply URL (Assertion Consumer Service URL):
    1. Klikk pĂ„ “Add reply URL”.
    2. Kopier ACS URL fra FAMAC og lim det inn som Reply URL i Entra ID.
  4. Legg til Sign on URL (valgfritt):
    1. Kopier Login URL fra FAMAC og lim det inn som Sign on URL i Entra ID.
  5. Legg til Relay State (valgfritt):
    1. Kopier Relay State fra FAMAC og lim det inn som Relay State i Entra ID.
  6. Legg til Logout URL (valgfritt):
    1. Kopier Logout URL fra FAMAC og lim det inn som Logout URL i Entra ID.

  7. Klikk Save Þverst pÄ siden i Entra ID for Ä lagre endringene.

    Screenshot 2025-02-18 at 22.23.43.png

    The screenshot shows the Basic SAML Configuration section in Microsoft Entra ID (formerly Azure AD), where administrators configure essential SAML SSO settings, including Identifier, Reply URL, and more.

4. Konfigurere Attributes & Claims i Entra ID

For at FAMAC skal gjenkjenne brukere riktig, mÄ NameID settes opp med ObjectID:

  1. GĂ„ til Attributes & Claims > Klikk Edit

  2. Under Unique User Identifier (Name ID):

    • Endre Name identifier format til “Unspecified”
    • Endre Source attribute til “user.objectid”

    Screenshot 2025-02-18 at 22.17.51.png

    This image shows the settings for “Name identifier format” and “Source attribute” in Microsoft Entra ID.

💡 Hvorfor?

  • user.objectid er en unik og uforanderlig identifikator, som sikrer at brukere gjenkjennes selv om e-post eller navn endres.
  • Unspecified gir fleksibilitet og unngĂ„r kompatibilitetsproblemer med faste formater som e-post eller Windows-brukernavn.

5. Legge til pÄkrevde attributter i Entra ID

FAMAC krever minimum navn og e-post for at brukere skal opprettes og oppdateres riktig.

  1. GĂ„ til Attributes & Claims vurder eksisterende verdier under “Additional claims” eller legg til nye ved Ă„ klikke Add new claim

  2. Legg inn fĂžlgende verdier:

    Name Namespace Source Source attribute
    givenname (tomt) Attribute user.givenname
    surname (tomt) Attribute user.surname
    emailaddress* (tomt) Attribute user.userprincipalname
    emailaddress* (tomt) Attribute user.mail
    • Stjerne pĂ„ emailaddress indikerer at userprincipalname eller mail mĂ„ velges og brukes som e-postadresse. Verdien som velges mĂ„ matche e-postadressen som er registrert pĂ„ brukeren i FAMAC.

    Screenshot 2025-02-18 at 22.17.03.png

    Screenshot showing attribute settings in Microsoft Entra ID, where standard user attributes such as email, first name, last name, and username are configured for SAML authentication.

💡 Viktig

  • Namespace for hver attributt skal vĂŠre tom. Husk Ă„ fjern standard verdien som Entra ID legger til.
  • For eksisterende brukere mĂ„ epost som deles fra Entra ID matche eksisterende epost registrert i Famac
  • I noen Entra ID-oppsett er user.userprincipalname ofte brukt som e-post og matcher det som er registrert i Famac, mens i andre tilfeller er dette kun et brukernavn og user.mail vil vĂŠre mer rett Ă„ bruke.
  • Andre attributter er ogsĂ„ tilgjengelig - se hvilke ved Ă„ klikke pĂ„ "Ny mapping" i Famac.

6. Mapping av brukerdata i FAMAC

For at brukere skal fÄ riktig navn og e-post i FAMAC, mÄ du sette opp Attribute Mapping:

  1. GĂ„ til Grunninnstillinger > Sikkerhet > SAML
  2. Klikk pÄ Handlinger (tre prikker) > Mappings

  3. Klikk Ny mapping, og legg inn fĂžlgende:

    1. FAMAC: Name
    2. IDP Field: givenname
    3. Klikk + knappen til hĂžyre
    4. Deretter IDP Field: surname
    5. Klikk + knappen til hĂžyre igjen
    6. Klikk Lagre

    Screenshot 2025-02-18 at 22.28.41.png

    Example of name mapping setup in FAMAC SAML configuration, where the first name and last name are combined to form the user’s full name.

  4. Klikk Ny mapping, og legg inn fĂžlgende:

    1. FAMAC: E-mail
    2. IDP Field: emailaddress
      1. Or name if user.userprincipalname is the same as E-mail in Famac
    3. Klikk + knappen til hĂžyre
    4. Klikk sÄ Lagre

    Screenshot 2025-02-18 at 22.28.48.png

    Screenshot showing the setup of email and name attribute mapping in the FAMAC SAML configuration. The mapping links FAMAC fields to the corresponding IdP fields from Microsoft Entra ID.

💡 Attributter blir kun oppdatert i FAMAC ved innlogging hvis "Sync user attributes from IdP" er aktivert i SAML-konfigurasjonen.

7. Aktivere og teste SSO

  1. GĂ„ til Sikkerhet > SAML i FAMAC
  2. Klikk pÄ Handlinger > Aktiver
  3. Test innlogging fra Entra ID ved Ä gÄr til Enterprise applications > Single sign-on > Single sign-on
    • Entra ID har en “Test single sign-on”-knapp Ăžverst og nederst pĂ„ siden.

📌 Viktig: NĂ„r alt fungerer som det skal, kan du vurdere Ă„ aktivere "Enable SSO enforcement" pĂ„ domenet i Famac. Dette vil kreve SSO-pĂ„logging for alle brukere (Famac-passord blir deaktivert). SĂžrg for Ă„ teste grundig fĂžrst og verifiser at alle har tilgang fĂžr du aktiverer denne innstillingen..

🎉 Gratulerer!

Hvis du har kommet hit og alt fungerer, fortjener du en high-five! đŸ–ïž Du har nettopp fullfĂžrt et teknisk maraton som ville fĂ„tt selv en IT-guru til Ă„ svette litt.

Du kan nĂ„ stolt si at du har mestret kunsten Ă„ koble sammen systemer som snakker SAML som er omtrent like imponerende som Ă„ fĂ„ en pingvin til Ă„ danse samba! 🐧

⚠ Merk: Entra ID er i kontinuerlig utvikling

Microsoft oppdaterer jevnlig brukergrensesnittet i Entra ID. Dette betyr at menyer, knapper og skjermbilder kan avvike noe fra det som er vist i denne guiden. Hovedprinsippene og feltene som skal fylles ut forblir de samme, men plasseringen og utseendet kan variere.

Hvis du oppdager betydelige endringer eller har problemer med Ă„ finne frem, ikke nĂžl med Ă„ kontakte support for oppdatert veiledning.

💭 StĂžtte pĂ„ noen utfordringer underveis?

Vi er her for Ă„ hjelpe! Kontakt support sĂ„ hjelper vi deg videre đŸ€ 📬

📝 Fungerte guiden for deg?

Vi setter stor pris pĂ„ tilbakemeldinger - bĂ„de positive og konstruktive! La oss vite om noe kunne vĂŠrt tydeligere eller om du savner informasjon, sĂ„ kan vi forbedre guiden for andre. Send gjerne en henvendelse til support 📹📬

❓ Ofte stilte spĂžrsmĂ„l (FAQ)

  • Kan vi teste SSO-oppsettet fĂžr vi aktiverer det for alle brukere?

    Delvis. NĂ„r SSO-integrasjonen er aktivert, vil den vĂŠre synlig i innloggingsbildet for alle brukere med det aktuelle domenet. Men du kan aktivere integrasjonen, teste med utvalgte brukere, og deaktivere igjen fĂžr du aktiverer "SSO enforcement" for hele domenet. Dette muliggjĂžr en kontrollert testfase.

  • Kan vi ha bĂ„de SSO og vanlig pĂ„logging samtidig?

    Ja, med mindre "Enable SSO enforcement" er aktivert pÄ domenet. Dette gir mulighet for en gradvis overgang til SSO der brukere kan teste fÞr full utrulling.

  • Hva skjer med eksisterende brukere nĂ„r vi aktiverer SSO?

    Eksisterende brukere beholder sine kontoer, men mÄ bruke SSO for pÄlogging hvis det er pÄkrevd. Deres Famac-passord blir deaktivert nÄr "SSO enforcement" er aktivert.

  • Hvorfor fĂ„r jeg "User not found" nĂ„r jeg prĂžver Ă„ logge inn?

    Dette skjer vanligvis nÄr e-postadressen i Entra ID ikke matcher den som er registrert i FAMAC. Sjekk at attributt-mappingen er korrekt og at riktig e-postfelt (user.mail eller user.userprincipalname) brukes.

  • Hva gjĂžr jeg hvis brukere ikke fĂ„r oppdatert informasjon fra Entra ID?

    Verifiser at "Sync user attributes from IdP" er aktivert i SAML-konfigurasjonen i Famac og at alle nÞdvendige attributter er riktig mappet. Brukere mÄ logge inn pÄ nytt for at endringer skal tre i kraft.

  • Hvorfor mĂ„ vi bruke ObjectID som NameID?

    ObjectID er en unik og permanent identifikator som ikke endres selv om brukerens e-post eller navn endres. Dette sikrer stabil brukeridentifikasjon over tid.

  • Kan vi ha flere SAML SSO-integrasjoner samtidig?

    Ja, FAMAC stĂžtter flere samtidige SAML SSO-integrasjoner. Dette er nyttig for organisasjoner som bruker ulike identitetsleverandĂžrer for forskjellige brukergrupper.

  • Hva skjer hvis SSO-tjenesten er nede?

    Det anbefales Ä ha en backup-administrator med lokalt FAMAC-passord pÄ et annet domene som kan deaktivere SSO midlertidig hvis det oppstÄr problemer med identitetsleverandÞren. Dette er viktig siden SSO enforcement legges pÄ domenenivÄ.

  • Hvordan fungerer SSO med mobilapplikasjonen?

    FAMAC mobilapp bruker samme SSO-innlogging som web-versjonen. NÄr SSO er aktivert, vil brukere kunne logge inn pÄ mobilappen med samme pÄloggingsmetode. Alle SSO-innstillinger og begrensninger gjelder ogsÄ for mobilappen.

  • Hvordan hĂ„ndterer vi eksterne konsulenter/midlertidige brukere med SSO?
    • Hvis de har e-postadresser fra et annet domene enn det som er konfigurert med SSO, kan de fortsatt bruke standard FAMAC-pĂ„logging.
    • Hvis de bruker e-postadresser fra ditt SSO-konfigurerte domene, mĂ„ de opprettes som brukere i Entra ID.

  • Hva er forskjellen mellom SAML SSO og andre autentiseringsmetoder?

    SAML SSO er en standardisert, sikker autentiseringsmetode som tilbyr flere fordeler sammenlignet med andre metoder:

    • 🔐 Økt sikkerhet: Brukerinformasjon overfĂžres kryptert og signert
    • 🔑 Single Sign-On: Brukere trenger kun Ă„ logge inn Ă©n gang for tilgang til flere tjenester
    • âšĄïž Sentralisert brukerhĂ„ndtering: Enklere administrasjon av brukerkontoer og tilganger
    • đŸ“± Bred stĂžtte: Fungerer pĂ„ tvers av plattformer og enheter

    Andre metoder som OAuth2 eller OpenID Connect kan vÊre enklere Ä implementere, men SAML er ofte foretrukket i enterprise-miljÞer pÄ grunn av sikkerhet og funksjonalitet.

  • Hva er Just-in-time (JIT) user provisioning og hvordan fungerer det?

    Just-in-time user provisioning er en funksjon som automatisk oppretter en ny bruker i FAMAC fĂžrste gang de logger inn via SSO, hvis brukeren ikke eksisterer fra fĂžr.

    • NĂ„r denne funksjonen er aktivert, vil nye brukere automatisk bli opprettet ved fĂžrste pĂ„logging
    • Brukeren blir opprettet uten noen spesifikke rettigheter eller roller
    • Den nye brukeren vil vĂŠre synlig under "Ingen roller definert" i Grunninnstillinger > Brukere
    • En administrator mĂ„ manuelt tildele nĂždvendige roller og rettigheter til den nye brukeren

    Dette forenkler prosessen med Ă„ legge til nye brukere, men krever fortsatt aktiv oppfĂžlging fra administrator for Ă„ sikre riktig tilgangsstyring.

  • Kan vi deaktivere SSO etter at det er aktivert?

    Ja. Du kan deaktivere SAML-konfigurasjonen i FAMAC ved Ä gÄ til Sikkerhet > SAML og velge "Deaktiver". Alternativt kan du eller deaktivere "Enable SSO enforcement" under Sikkerhet > Domener for Ä gjenopprette vanlig innlogging.

  • Hva skjer hvis vi aktiverer "Enable SSO enforcement"?

    NĂ„r "Enable SSO enforcement" aktiveres:

    • Alle brukere med e-postadresser i det aktuelle domenet mĂ„ bruke SSO for Ă„ logge inn
    • Vanlig FAMAC-passord blir deaktivert for disse brukerne
    • Brukere kan ikke lenger velge mellom SSO og standard pĂ„logging
    • Brukere med e-postadresser pĂ„ det SSO-konfigurerte domenet som ikke er opprettet i Entra ID vil miste tilgang til FAMAC. Brukere pĂ„ andre domener pĂ„virkes ikke.

    ⚠ Viktig: Test grundig med et utvalg brukere fĂžr du aktiverer denne innstillingen for hele organisasjonen.

💡 Tips: Denne FAQ-en oppdateres jevnlig basert pĂ„ tilbakemeldinger fra kunder. Har du et spĂžrsmĂ„l som ikke er besvart her? Ta kontakt med support!

Var denne artikkelen nyttig?
0 av 0 syntes dette var nyttig