SSO-inloggning med Bemlo – översikt

Bemlo stödjer single sign-on (SSO) via SAML eller OpenID Connect (OIDC). Den
här artikeln beskriver vad SSO innebär och hur ett införande går till.
Detaljerade instruktioner finns i separata artiklar:

• 📄 SSO via SAML

• 📄 SSO via OpenID Connect

• 📄 Åtkomststyrning och användartyper

• 📄 Roller och enheter via attribut (avancerat)

Vad SSO innebär

Med SSO står Bemlo inte för någon inloggning. När en användare väljer er
organisation på Bemlos inloggningssida skickas hen till er
identitetsleverantör (IdP), autentiserar sig där och slussas tillbaka till
Bemlo med en inloggningsbiljett.

Hur användaren loggar in hos er – SITHS-kort, e-post och lösenord eller något
annat – är helt upp till er. Bemlo har ingen preferens och ser aldrig hur
autentiseringen går till.

Grundläggande användaruppgifter

Oavsett protokoll förväntar sig Bemlo tre attribut i inloggningsbiljetten:

• firstName – förnamn

• lastName – efternamn

• email – e-postadress

Användarkonton skapas automatiskt vid första lyckade inloggning
(just-in-time-provisionering). Inga användare behöver läsas in i förväg.

Så går införandet till

1. Val av protokoll. Första frågan är om ni vill använda SAML eller OIDC.
   Vilket som passar bäst beror på er interna miljö.

2. Gemensam kanal. Vi sätter upp en gemensam chattkanal (t.ex. Teams) med
   er tekniska kontaktperson, där anslutningsuppgifter utbyts och tester
   koordineras.

3. Testmiljö först. Hela kopplingen sätts upp och verifieras i Bemlos
   testmiljö.

4. Produktion. När testmiljön fungerar upprepas uppsättningen för
   produktionsmiljön.

Separata konfigurationer för test och produktion

Sätt upp två separata applikationer/konfigurationer hos er IdP – en för
Bemlos testmiljö och en för produktion. Då kan framtida förändringar, till
exempel nya attribut, testas isolerat utan att påverka produktionsmiljön.

Testning och felsökning

När båda sidor är konfigurerade delar Bemlo en direktlänk till er
organisations inloggning för test. Bemlo loggar alla SSO-inloggningsförsök,
inklusive vilka attribut som skickats. Behöriga administratörer kan själva se
inloggningsförsöken under inställningar i Bemlo, vilket gör det enkelt att
felsöka till exempel felnamngivna attribut.

Börja enkelt

Stegen ovan räcker för en organisation där alla som kan autentisera sig ska
ha tillgång. Behov som åtkomstbegränsning, anställdas inloggning och
attributstyrda behörigheter byggs på stegvis, där varje steg bygger på det
föregående – se artikeln 📄 Åtkomststyrning och användartyper.