SSO Aziendale: Autenticazione SAML e OIDC per Piani Personalizzati

Ogni team di sicurezza aziendale con cui ho parlato ha lo stesso requisito non negoziabile: i dipendenti devono autenticarsi tramite il provider di identità aziendale. Nessuna eccezione. Nessuna credenziale separata che circola per ogni strumento SaaS. Un unico accesso, gestito centralmente, revocabile istantaneamente quando qualcuno lascia l'azienda.

Lo capiamo. Se sei responsabile della postura di sicurezza della tua organizzazione, l'ultima cosa che vuoi è un'altra password da gestire per il tuo team — e di cui preoccuparti. Ecco perché lanciamo il supporto SSO personalizzato per le organizzazioni con piano Custom.

Due Protocolli, Un Obiettivo

Archyl supporta entrambi i principali standard di autenticazione aziendale:

SAML 2.0 funziona con i provider di identità che la maggior parte delle aziende già utilizza — Okta, Azure Active Directory, OneLogin, PingFederate, ADFS e qualsiasi altro provider conforme a SAML 2.0. Se la tua azienda ha un IdP SAML, funziona con Archyl.

OpenID Connect (OIDC) copre il panorama moderno dell'identità — Auth0, Azure AD, Google Workspace, Keycloak e qualsiasi provider conforme a OIDC. Se la tua organizzazione utilizza un'identità basata su OAuth2, OIDC è la strada giusta.

Entrambi i protocolli raggiungono lo stesso risultato: il tuo team accede tramite il provider di identità aziendale e Archyl si fida della decisione di autenticazione del tuo IdP. Non memorizziamo le password degli utenti SSO. Non gestiamo le credenziali. Il tuo IdP è l'unica fonte di verità.

Come Funziona

L'esperienza di accesso è immediata.

Un membro del team naviga alla pagina di login di Archyl e clicca "Continua con SSO". Inserisce la propria email aziendale — ad esempio, ingegnere@azienda.com. Archyl estrae il dominio, cerca la configurazione SSO registrata per azienda.com e reindirizza l'utente al provider di identità aziendale.

L'utente si autentica attraverso qualsiasi flusso richiesto dall'IdP — nome utente e password, autenticazione a più fattori, verifica biometrica, smart card. Questo avviene tra l'utente e l'IdP; Archyl non vede mai quelle credenziali.

Una volta autenticato, l'IdP reindirizza ad Archyl con un'asserzione firmata (SAML) o un codice di autorizzazione (OIDC). Verifichiamo la firma crittografica, estraiamo l'email dell'utente ed emettiamo un token di sessione JWT. L'utente arriva sulla sua dashboard, connesso, in pochi secondi.

L'intero flusso è come qualsiasi altra esperienza "Accedi con...". Nessun attrito, nessuna confusione.

Provisioning Automatico degli Utenti

Quando qualcuno della tua organizzazione accede tramite SSO per la prima volta, Archyl crea automaticamente il suo account. Nessun invito da inviare, nessun modulo di registrazione da compilare, nessun amministratore che crea manualmente gli utenti.

L'account del nuovo utente è collegato immediatamente alla tua organizzazione. Viene aggiunto come visualizzatore per impostazione predefinita — un punto di partenza sicuro che gli amministratori dell'organizzazione possono modificare. Riceve il proprio spazio di lavoro personale insieme all'appartenenza all'organizzazione, così può esplorare Archyl in modo indipendente pur accedendo ai progetti condivisi del team.

Questo significa che l'onboarding è semplice come dire al tuo team: "Vai su Archyl e accedi con la tua email aziendale." La connessione SSO si occupa del resto.

Sicurezza by Design

Abbiamo costruito l'implementazione SSO con la sicurezza come fondamento, non come ripensamento.

Protezione CSRF: Ogni flusso SSO inizia con un token di stato firmato crittograficamente (HMAC-SHA256) che include un timestamp, un nonce casuale e il dominio email. Il token scade dopo dieci minuti. Quando l'IdP reindirizza, verifichiamo la firma e controlliamo la scadenza prima di elaborare qualsiasi cosa. Questo previene attacchi cross-site request forgery e attacchi di replay.

Validazione dell'asserzione SAML: Per i flussi SAML, validiamo la firma XML dell'IdP contro il certificato X.509 registrato per quel dominio. Un'asserzione manomessa viene rifiutata immediatamente. Supportiamo formati multipli per l'attributo email per gestire i diversi modi in cui gli IdP strutturano le loro asserzioni.

Verifica del token OIDC: Per i flussi OIDC, utilizziamo il grant del codice di autorizzazione — il flusso OAuth2 più sicuro. Il codice di autorizzazione viene scambiato lato server per un token ID, che viene verificato contro le chiavi pubbliche pubblicate dal provider. Il browser dell'utente non vede mai i token grezzi.

Nessun segreto esposto: I client secret, i certificati e altre configurazioni sensibili non sono mai inclusi nelle risposte API. Sono memorizzati in modo sicuro e utilizzati solo lato server durante il flusso di autenticazione.

Configurazione Basata sul Dominio

Le connessioni SSO sono configurate per dominio email. Quando registri azienda.com come dominio SAML o OIDC per la tua organizzazione, ogni utente con un indirizzo email @azienda.com viene instradato attraverso il tuo IdP.

Un dominio, un'organizzazione. Il vincolo di dominio univoco previene i conflitti — nessuna due organizzazioni può rivendicare lo stesso dominio email. Questo mantiene l'instradamento chiaro e sicuro.

Per le organizzazioni con più domini email (una situazione comune dopo le acquisizioni o per aziende con domini regionali), ogni dominio può essere registrato separatamente, tutti puntando alla stessa organizzazione.

Cosa Serve per la Configurazione

Per SAML, fornirai tre cose dal tuo IdP:

• L'Entity ID (l'identificatore del tuo IdP)
• L'URL SSO (dove Archyl invia le richieste di autenticazione)
• Il certificato X.509 (usato per verificare le asserzioni firmate)

Per OIDC, fornirai:

• Il Client ID e il Client Secret (dalla registrazione dell'applicazione nel tuo IdP)
• L'URL dell'Issuer (Archyl utilizza la discovery OIDC per configurare automaticamente gli endpoint)

Il tuo provider di identità avrà bisogno degli URL di callback di Archyl configurati come URI di reindirizzamento consentiti. La configurazione è la stessa di aggiungere qualsiasi altra applicazione SAML o OIDC al tuo IdP — il tuo team di identità l'ha fatto decine di volte.

Pensato per le Aziende

SSO è disponibile esclusivamente sul piano Custom, insieme a progetti illimitati, oggetti del modello illimitati, supporto dedicato e integrazioni personalizzate. È progettato per le organizzazioni dove la gestione centralizzata dell'identità non è opzionale — è una policy.

Se la tua organizzazione richiede SSO per tutti gli strumenti SaaS, il piano Custom ti dà quel controllo. Il tuo team di sicurezza può imporre l'autenticazione tramite il tuo IdP, garantire la conformità MFA attraverso le tue policy esistenti e revocare l'accesso istantaneamente quando i dipendenti se ne vanno — il tutto senza alcuna azione necessaria dal lato Archyl.

Cosa Succede Dopo

La configurazione SSO è attualmente gestita tramite i nostri strumenti di amministrazione, con un'interfaccia di amministrazione self-service in arrivo. Gli amministratori dell'organizzazione potranno registrare domini, scegliere protocolli e gestire le loro connessioni SSO direttamente dalla dashboard di Archyl.

Stiamo anche valutando SCIM 2.0 per il provisioning automatizzato di utenti e gruppi, l'imposizione SSO (disabilitazione del login email/password per un'organizzazione) e la mappatura dei ruoli guidata dall'IdP. L'identità aziendale è uno spazio profondo e ci impegniamo a incontrare le organizzazioni dove si trovano.

Per Iniziare

Se sei sul piano Custom o sei interessato a fare l'upgrade, contatta il nostro team per configurare la tua connessione SSO. Ti guideremo nella configurazione dell'IdP, registreremo il tuo dominio e il tuo team potrà accedere tramite SSO lo stesso giorno.

L'identità del tuo team appartiene alla tua organizzazione. Ora il loro strumento di architettura rispetta questo.

Scopri di più sulle funzionalità enterprise di Archyl nella nostra pagina Prezzi, oppure guarda come la Scoperta dell'Architettura con IA può mappare i tuoi sistemi esistenti in modo che il tuo team abbia qualcosa su cui collaborare fin dal primo giorno.