Jak skonfigurować logowanie jednokrotne (SSO) z Microsoft Entra

Funkcja „Single Sign On” zapewnia Twojej firmie bezpieczniejsze środowisko poprzez zwiększenie bezpieczeństwa dostępu do projektów Dalux. Dzięki tej funkcji możesz kontrolować, w jaki sposób użytkownicy Twojej organizacji uzyskują dostęp do projektów, dając im możliwość wyboru lub wymagając użycia SSO.

Artykuł opisze, jak skonfigurować SSO dla Twoich projektów za pomocą Microsoft Login (MS Entra, wcześniej AzureAD).

Logowanie musi zostać uzgodnione zarówno przez Dalux, jak i organizację klienta, aby umożliwić użytkownikom logowanie za pomocą Microsoft Login.

Opcje konfiguracji

Podczas konfigurowania SSO masz różne opcje kontrolowania, jak powinno wyglądać logowanie dla użytkowników Twojej organizacji. W każdym przypadku Dalux musi być zarejestrowany w Microsoft Entra, zanim będziesz mógł przekazać Dalux wymagane informacje do konfiguracji.

Jeśli chcesz używać grup Microsoft Entra do zarządzania uprawnieniami użytkowników w Dalux HelpDesk, Operations & Maintenance lub BIM & Documentation, upewnij się, że zarejestrowałeś Dalux jako 'Multitenant'.

Administrator Microsoft z dostępem do Dalux

1. Dalux umożliwia logowanie Microsoft dla domeny klienta
2. Administrator z odpowiednimi uprawnieniami w Microsoft Entra loguje się do Dalux. Tutaj zostaną poproszeni o przyznanie dostępu wszystkim użytkownikom organizacji.
3. (Opcjonalnie) Jeśli zgoda administratora nie została udzielona podczas pierwszego logowania Microsoft do Dalux, aplikację Dalux można znaleźć w 'Applications' w Microsoft Entra. Administrator może wtedy udzielić zgody z tego miejsca.
4. W Dalux zdefiniuj politykę logowania organizacji.

Administrator Microsoft bez dostępu do Dalux

1. Dalux umożliwia logowanie Microsoft dla domeny klienta
2. Administrator Dalux organizacji definiuje politykę logowania organizacji
3. Administrator Microsoft udziela zgody aplikacji w 'Applications' w Microsoft Entra.

Aktywuj żądania zatwierdzenia

Możesz zdecydować, czy chcesz udzielić zgody użytkownikom swojej organizacji ogólnie, czy też czy recenzent powinien udzielać zgody indywidualnie.

Aby to zrobić, włącz żądania zgody w Microsoft Entra i dodaj co najmniej jeden typ recenzenta. W ten sposób, gdy użytkownik będzie próbował zalogować się za pomocą Microsoft Login, zostanie mu wyświetlony formularz żądania zatwierdzenia:

Recenzent może następnie zatwierdzić lub odrzucić żądanie dla tego użytkownika w Microsoft Entra.

Informacje do przekazania Dalux

Dalux obsługuje Single Sign-On (SSO) przez OAuth2.0 za pośrednictwem Microsoft Entra i Microsoft Graph. Poproś o aktywację, kontaktując się ze swoim konsultantem Dalux i przekazując następujące informacje:

• Aktywacja SSO: Poinformuj swojego konsultanta, że chcesz aktywować SSO dla swojej organizacji.
• Domeny: Wymień domeny, dla których chcesz aktywować SSO, i podaj rekord DNS TXT dla Dalux (DALUX=COXXXXXX), aby zidentyfikować się jako administrator zarejestrowanej domeny.
• Nazwa Twojej organizacji w Dalux (Profil firmy)

Zarządzanie zasadami logowania

Możesz określić, w jaki sposób użytkownicy Twojej organizacji mogą logować się do Dalux. Możliwe jest skonfigurowanie domeny jako „wyłącznie SSO”, co oznacza, że użytkownicy zarejestrowani z adresem e-mail z tej domeny będą mieli dostęp do Dalux tylko po pomyślnej autoryzacji przez AD. To uniemożliwi użytkownikom posiadanie oddzielnych haseł w Dalux.

Kontrolujesz tę opcję w następujących ustawieniach. Dla Field, Box, Tender lub Handover przejdź do

Profile firm Wybierz swoją firmę Ustawienia 'Zarządzane domeny'

Wybierz domenę połączoną z Twoją organizacją i wybierz jej 'Polityka logowania'.

• Require AD: Wymaga, aby użytkownicy logowali się przy użyciu logowania Microsoft
• AD i DaluxID: Użytkownicy mogą wybrać logowanie za pomocą Microsoft Login lub konta Dalux.

Dla HelpDesk, Operations & Maintenance lub BIM & Documentation: Skontaktuj się z lokalnym CSM.

Zarządzanie użytkownikami w Dalux FM z Entra

Zarządzanie uprawnieniami użytkowników

Dalux FM pozwala zarządzać grupami użytkowników Dalux za pomocą grup z Microsoft Entra. Dzięki temu możesz zarządzać uprawnieniami użytkowników w swoim AD, które będą synchronizowane z Dalux.

Upewnij się, że Twoje grupy użytkowników w Dalux FM są poprawnie skonfigurowane i przejdź do

UstawieniaIntegracjeAzure AD

Kopiuj 'Client Id' i 'Tenant Id' z Microsoft Entra i wpisz 'Client Secret' w pojawiającym się oknie, a następnie kliknij 'Zapisz'. Dopiero po zapisaniu usługa spróbuje nawiązać połączenie. Jeśli połączenie się powiedzie, pojawią się rzeczywiste opcje mapowania grup Microsoft, grup Dalux i regionów.

Mapowanie grup AD z grupami użytkowników i regionami użytkowników pozwala, aby grupa AD była mapowana na jedną grupę użytkowników Dalux i jeden region. Nie pozwala na mapowanie do wielu kombinacji. Możesz mapować wiele grup AD do tej samej grupy użytkowników Dalux i regionu.

Podczas wpisywania nazwy grupy AD możesz kliknąć 'Validate', aby upewnić się, że Dalux znajdzie grupę w Twoim katalogu.

Nowe grupy użytkowników Dalux lub grupy AD są wyświetlane od razu i można je mapować; synchronizacja jest wykonywana co noc, więc zmiany pojawiają się w Dalux po dniu.

Aktualizowanie informacji o użytkowniku

Gdy użytkownik uwierzytelnia się za pośrednictwem Microsoft Entra, lokalny profil użytkownika Dalux może zostać zaktualizowany następującymi wartościami z Microsoft Graph API (user.read):

• Użytkownik.email -> E-mail
• Użytkownik.givenName -> Imię
• Użytkownik.surname -> Nazwisko
• Użytkownik.companyName -> Firma
• Użytkownik.mobilePhone -> Telefon

Te dane w Dalux są nadpisywane wpisami dokonanymi w Twoim katalogu. Jeśli wartość w Twoim katalogu jest pusta, dane w Dalux zostaną zachowane.