SSO-oppsett

NexBasira støtter både OpenID Connect (OIDC) og SAML 2.0 Web Browser SSO. Brukere i de konfigurerte e-postdomenene logges inn via din identitetsleverandør; førstegangsinnlogginger blir just-in-time-provisjonert med standardrollen du velger.

Før du starter

• Du trenger en org_admin-rolle på NexBasira-siden.
• Du trenger tilgang til din IdP-admin for å registrere en applikasjon + konfigurere attributt-mapping.
• SSO er tilgjengelig på Pro-nivået og oppover (se priser).

OIDC-gjennomgang

1. Finn din callback-URL

I NexBasira-SPA-en: Admin → SSO → Protokoll: OpenID Connect. Callback-URL-en vises øverst i skjemaet:

https://app.nexbasira.com/api/v1/auth/sso/callback

Kunder med egendefinert domene (Pro+) ser sitt eget domene her. Kopier denne — din IdP trenger den.

2. Registrer en applikasjon i din IdP

Hver IdP har sitt eget grensesnitt, men formen er den samme:

• Applikasjonstype: Web (server-side, konfidensiell klient)
• Redirect URI: callback-URL-en fra steg 1
• Tillatte grant-typer: Authorization Code (med PKCE)
• Scopes: openid + email + profile

IdP-en gir deg tilbake en Client ID, en Client Secret, og Issuer URL (basis-URL-en for discovery — vanligvis https://your-idp.example.com/realms/yourrealm eller https://accounts.google.com).

3. Fyll ut SSO-konfigurasjonen

Tilbake i Admin → SSO, fyll ut skjemaet:

• Visningsnavn: vises på "Fortsett med SSO"-knappen. F.eks. "Acme SSO".
• Issuer URL: fra din IdP.
• Client ID + Client Secret fra din IdP.
• E-postdomener: kommaseparert liste (acme.com, acme-eu.com). Brukere med e-poster i disse domenene rutes gjennom SSO.
• Standardrolle for nye brukere: vanligvis inspector. Org-administratorer må tildeles org_admin-rollen manuelt etter første innlogging.
• Auto-provisjoner nye brukere ved første innlogging: vanligvis på.
• Aktivert: av inntil du har testet.

4. Test discovery

Klikk Test discovery. Den henter din IdP-s OpenID-konfigurasjon ({issuer_url}/.well-known/openid-configuration) + parser JWKS. Vanlige feil:

• OK — N JWKS-nøkler: du er ferdig.
• Connection refused / DNS-feil: skrivefeil i issuer-URL; verifiser at den løses opp i nettleseren din.
• JSON-parse-feil: issuer-URL-en peker et sted som ikke er en OIDC-leverandør.
• Ingen JWKS-nøkler: proben lyktes, men JWKS-endepunktet returnerte et tomt sett; sjekk nøkkelrotasjon på IdP-siden.

5. Aktiver + røyktest

Vipp Aktivert på, lagre. Logg ut, logg deretter inn med en e-post i ett av de tillatte domenene. Du skal bli omdirigert til din IdP-s innloggingsskjerm, deretter tilbake til SPA-dashbordet.

SAML 2.0-gjennomgang

1. Finn din ACS-URL

I Admin → SSO → Protokoll: SAML 2.0, kopier Assertion Consumer Service-URL-en:

https://app.nexbasira.com/api/v1/auth/saml/acs

2. Registrer en SAML-app i din IdP

• ACS-URL / Reply-URL: URL-en fra steg 1.
• Entity ID (audience): https://app.nexbasira.com/saml/sp (eller ditt egendefinerte domene).
• NameID-format: emailAddress.
• Attributt-mapping: minst email; ideelt sett også givenName + surname.
• Signer assertions: påkrevd.

IdP-en gir deg tilbake en Entity ID, en SSO Service URL, og et signeringssertifikat (PEM).

3. Fyll ut SAML-konfigurasjonen

• IdP Entity ID — fra din IdP.
• IdP SSO Service URL — fra din IdP.
• IdP-signeringssertifikat (PEM) — lim inn hele -----BEGIN CERTIFICATE------blokken.
• E-postdomener — samme form som OIDC.
• Standardrolle + auto-provisjonering — samme som OIDC.

Avansert — attributt-mapping-seksjonen lar deg overstyre URN-ene vi ser etter; standardene samsvarer med Microsofts WS-Federation-konvensjon som de fleste IdP-er honorerer rett ut av boksen.

4. Aktiver + røyktest

Samme flyt som OIDC: vipp Aktivert på, logg ut, logg inn med en e-post fra et tillatt domene, forvent en rundtur gjennom din IdP.

Testede IdP-er

NexBasiras OIDC- + SAML-støtte er generisk; enhver spec-kompatibel IdP fungerer. Vi har røyktestet:

• Microsoft Entra ID (Azure AD) — OIDC + SAML
• Google Workspace — OIDC + SAML
• Okta — OIDC + SAML
• Keycloak — OIDC + SAML
• OneLogin — SAML

JIT-provisjoneringsregler

• Første gang en bruker med et samsvarende domene logger inn via SSO, opprettes et Membership med den konfigurerte standardrollen.
• email er den unike nøkkelen. En bruker som endrer e-posten sin hos IdP-en oppretter en ny konto.
• Rolleendringer etter første innlogging administreres i SPA-en (Admin → Medlemmer), ikke hos IdP-en. For IdP-drevet gruppe → rolle-mapping, se SCIM-provisjonering.

Deaktivere SSO

Enten vipp Aktivert av (beholder konfigurasjonen; du kan reaktivere senere) eller klikk Fjern SSO (sletter konfigurasjonen). Med SSO deaktivert faller alle brukere tilbake til passordautentisering; eksisterende medlemskap bevares.

Feilsøking

Hva er neste

• SCIM-provisjonering — IdP-drevet opprettelse + deaktivering av brukere
• API-autentisering — separat fra SPA-SSO