SSO e gestione delle identità per configuratori di prodotto
Offri a ogni cliente, rivenditore e membro del team il giusto livello di accesso a Configurix.
Configurix collega l’identità aziendale alla configurazione del prodotto, ai prezzi, ai preventivi e ai progetti. Un’implementazione affidabile separa SSO, provisioning, ruoli, isolamento dei tenant, identità di servizio e sicurezza delle sessioni, quindi verifica ogni confine con test di accesso reali.
Mercato di vendita · Italia · EUR · IVA
Una decisione sull'identità
L'accesso è solo il primo limite
Fornitore di identità
Utente autenticato · emittente attendibile
Account Configurix
Oggetto risolto · attivo
Locatario e ruolo
Rivenditore Nord · ruolo di vendita
Decisione sull'oggetto
Progetto CX-4821 · consentito
Un'asserzione valida crea un contesto di identità. Configurix controlla comunque l'utente locale, il tenant aziendale, il ruolo e l'oggetto richiesto prima di mostrare un prezzo, un progetto, un preventivo, un ordine o una funzione amministrativa.
Definizione dell’architettura delle identità
Il SSO è un livello, non l’intero sistema di controllo degli accessi.
L'accesso aziendale diventa più sicuro e più facile da spiegare quando autenticazione, federazione, provisioning e autorizzazione rimangono distinti. Ogni livello ha protocolli, proprietari, modalità di fallimento e prove di accettazione diversi.
Autenticazione
Come una persona o un servizio dimostra la propria identità. SSO può delegare l'autenticazione umana a un provider di identità attendibile.
Federazione
In che modo Configurix, in qualità di aware party, verifica un'asserzione da un provider di identità e stabilisce una sessione locale.
Provisioning
Come vengono gestiti gli account utente, l'appartenenza ai gruppi, l'attivazione, l'aggiornamento e la disattivazione durante tutto il loro ciclo di vita.
Autorizzazione
Cosa può fare l'identità autenticata a uno specifico inquilino, progetto, listino prezzi, preventivo, ordine o oggetto di amministrazione.
Pianificatore interattivo dell’architettura delle identità
Definisci insieme utenti, federazione, ciclo di vita e autorizzazioni.
Scegli la distribuzione più vicina. Il risultato identifica le prove di fiducia, mappatura e accettazione a cui dare priorità. Le effettive capacità, protocolli, ruoli e requisiti di sicurezza del provider dipendono dai sistemi operativi e dall'ambito di Configurix firmato.
Matrice di fiducia e responsabilità
Metti la prova dell'identità e l'autorizzazione aziendale al confine corretto.
| Autorità | Responsabilità primaria | Confine da dimostrare |
|---|---|---|
| Fornitore di identità | Autenticazione della forza lavoro principale o dei partner, autenticatori, stato dell'account, asserzioni di gruppi o attributi e chiavi di federazione | Configurix convalida l'emittente e l'asserzione affidabili; non si fida ciecamente di un indirizzo email o di un campo del browser non firmato. |
| Livello di identità di configurazione | Risoluzione di account federati, identità utente locale, sessione, appartenenze tenant, mappature dei ruoli ed eventi di controllo dell'identità | L'autenticazione stabilisce chi ha effettuato l'accesso. La policy locale determina comunque quali risorse Configurix sono accessibili. |
| Proprietario inquilino dell'azienda | Decisioni di rivenditore, distributore, showroom, marchio, persona giuridica, mercato e assegnazione del prodotto in base al flusso di lavoro concordato | I gruppi IdP esterni non possono concedere l'accesso a un altro tenant a meno che l'autorità aziendale e di mappatura non lo consenta esplicitamente. |
| Proprietari di prodotti e prezzi | Catalogo, regola, listino, sconti, preventivi, documenti e permessi di pubblicazione | Azioni efficaci su prodotti o prezzi richiedono ruoli espliciti, ambiti degli oggetti, approvazione e controllo, non uno stato di autenticazione generico. |
| API dell'applicazione | API della sessione umana, identità del servizio, ambiti, autorizzazione degli oggetti, controlli della velocità e audit dell'integrazione | Un token di accesso valido non è una prova sufficiente che il suo soggetto possa leggere o modificare il progetto o il tenant richiesto. |
| CRM, ERP o e-commerce connessi | I propri utenti, account di servizio, autorizzazioni sugli oggetti e autorità aziendale a valle | Non riutilizzare i privilegi di un utente del browser come identità di integrazione non controllata né copiare attributi di identità non necessari. |
Contratto canonico dell’identità
Porta con te un'identità affidabile senza trasformare ogni richiesta in autorizzazione.
La federazione stabilisce un contesto di autenticazione affidabile. Configurix dovrebbe conservare il più piccolo contratto di identità necessario per identificare un utente, creare una sessione, mappare l'appartenenza aziendale approvata e spiegare le decisioni di autorizzazione.
issuerIdentificatore esatto del provider di identità attendibile e connessione federativa configurata
subjectIdentificatore di soggetto stabile con ambito provider utilizzato con l'emittente per risolvere l'account locale
audienceIl client Configurix previsto o l'identificatore della componente accettata per questa asserzione
assuranceTempo di autenticazione, metodo, contesto o informazioni sulla garanzia concordata necessarie dalla policy
attributesNome minimo approvato, indirizzo email, lingua, organizzazione o altre affermazioni con fonte e scopo
tenantOrganizzazione di Configurix, rivenditore, regione o appartenenza al marchio stabiliti tramite mappatura controllata
rolesAssegnazione di ruoli e capacità locali, oltre a chi o cosa è autorevole per ogni modifica
lifecycleStato creato, attivo, sospeso, disattivato, rimosso e riattivato con tempistica effettiva sessione
sessionStato emesso, aggiornato, scaduto, ri-autenticato, revocato e disconnesso per canale
auditCorrelazione, attore, fonte, oggetto destinatario, decisione, motivo, marca temporale e prova amministrativa
Modello dei ruoli
Definisci le capacità aziendali senza indebolire l'isolamento di tenant e oggetti.
Cliente
Crea e riprendi progetti di proprietà, rivedi i prezzi o i preventivi consentiti e approva o richiedi azioni in base all'ambito.
Utente rivenditore
Lavora solo all'interno degli account dei rivenditori, dei cataloghi, dei listini prezzi, dei clienti, dei progetti e delle azioni commerciali consentite assegnati.
Responsabile rivenditoria
Gestisci gli utenti o le assegnazioni dei rivenditori approvati senza oltrepassare il tenant del produttore o i confini dell'amministrazione globale.
Venditore
Crea e porta avanti progetti dei clienti, prepara preventivi e utilizza flussi di lavoro con prezzi o sconti consentiti.
Responsabile prodotto
Mantenere il contenuto, le scelte, le regole, le risorse e le versioni del catalogo assegnati attraverso il processo di governance accettato.
Responsabile prezzi
Mantieni le fonti di prezzo assegnate, la politica di sconto, la validità e le approvazioni senza ereditare un'amministrazione di sistema non correlata.
Utente operazioni
Leggi il progetto accettato, l'ordine, il sondaggio, l'installazione o il contesto di produzione richiesto per il lavoro operativo assegnato.
Amministratore
Gestire la configurazione del tenant e le identità autorizzate; le azioni globali sensibili rimangono deliberatamente limitate e controllate.
Un ruolo non è un diritto dati globale. Ogni richiesta protetta dovrebbe inoltre valutare l'organizzazione, la proprietà, l'assegnazione del prodotto, il mercato, l'autorità sui prezzi, la condivisione del progetto e altre policy applicabili sull'oggetto.
Ciclo di vita dell'identità federata
Rendere la fiducia, l'accesso e la disattivazione osservabili da un capo all'altro.
Stabilisci la fiducia
Registra gli identificatori IdP e Configurix esatti, gli endpoint, le posizioni di reindirizzamento, le chiavi, i certificati e il profilo accettato.
Risolvi l'organizzazione
Determina l'inquilino, il rivenditore, il mercato o il marchio approvati da una connessione controllata o da una mappatura aziendale.
Autentica
Invia l'utente attraverso il flusso di federazione concordato e convalida le protezioni di emittente, pubblico, firma, ora e transazione.
Risolvi conto
Abbina la coppia emittente-oggetto a un utente Configurix; evitare di trattare solo la posta elettronica mutevole come identità permanente.
Fornisci appartenenza
Crea o aggiorna attributi locali approvati, appartenenza a tenant, gruppi e stato tramite JIT, SCIM o amministrazione.
Autorizza oggetto
Valuta ruolo, inquilino, proprietà, prodotto, prezzo e politica del progetto su ogni richiesta protetta.
Aziona la sessione
Applica criteri di scadenza, aggiornamento, riautenticazione, disconnessione, dispositivo e azioni sensibili alla sessione di Configurix.
Disattiva e riconcilia
Rimuovi tempestivamente l'accesso, termina o limita le sessioni in base alla policy e confronta lo stato IdP, SCIM e Configurix.
Modelli di integrazione delle identità
Abbina il modello di accesso alle persone e ai sistemi utilizzando Configurix.
Un IdP della forza lavoro
I dipendenti utilizzano un provider di identità gestito per i ruoli di vendita, prodotto, determinazione dei prezzi e amministrazione di Configurix.
Controllo: Mantieni espliciti i ruoli privilegiati e testa gli utenti sospesi, la rimozione dei gruppi, le vecchie sessioni e il ripristino dell'amministratore.
Federazione produttori e rivenditori
Gli utenti interni e le organizzazioni di rivenditori esterni si autenticano tramite diverse connessioni di identità attendibili.
Controllo: Associa ogni connessione alle organizzazioni approvate; non derivare mai l'accesso tra tenant solo da un dominio immesso dall'utente.
Ciclo di vita aziendale gestito da SCIM
L'organizzazione richiede la creazione, l'aggiornamento, la sospensione e il deprovisioning centralizzati di utenti e gruppi.
Controllo: Definisce la mappatura da gruppo a ruolo, l'eliminazione temporanea o definitiva, la riattivazione, i conflitti, i nuovi tentativi e la proprietà manuale delle eccezioni.
Identità del cliente invitato
I clienti ricevono accesso controllato a specifici progetti configurati senza ereditare la politica di identità della forza lavoro.
Controllo: Utilizza inviti in scadenza, risoluzione account verificata, autorizzazione a livello di progetto e revoca chiara della condivisione.
Step-up per azioni sensibili
La pubblicazione dei prezzi, gli sconti elevati, l'amministrazione degli utenti o l'approvazione degli ordini richiedono un'autenticazione più forte o recente.
Controllo: Definire quali azioni richiedono step-up, quali prove vengono accettate, scadenza e comportamento quando l'IdP non è disponibile.
Identità di servizio separate
CRM, ERP, e-commerce, PIM o automazione necessitano dell'accesso API senza impersonare un utente umano del browser.
Controllo: Utilizza privilegi minimi, rotazione, isolamento dell'ambiente, proprietà del carico di lavoro e nessun privilegio di accesso interattivo.
Sessione, logout e ripristino
Definisce cosa succede dopo che il provider di identità dice di sì.
La federazione crea una sessione Configurix; non gestisce automaticamente ogni decisione della sessione successiva. La scadenza, l'aggiornamento, la riautenticazione, il logout, la disattivazione e il ripristino necessitano di comportamenti espliciti ed evidenze operative.
Creazione della sessione
Crea una sessione Configurix solo dopo aver completato l'asserzione e la convalida della transazione.
Scadenza inattiva e assoluta
Definisci sia l'inattività che l'età massima della sessione in base al ruolo e al rischio aziendale.
Riautenticazione
Richiedere un'autenticazione recente o più forte per azioni amministrative o commerciali sensibili quando la policy lo richiede.
Aggiornamento e rotazione
Proteggi e ruota il materiale di aggiornamento in base al protocollo scelto e all'architettura dell'applicazione.
Logout locale e federato
Documenta cosa terminano effettivamente il logout locale, il logout dell'IdP, il comportamento del canale anteriore e del canale posteriore.
Disattivazione dell'account
Decidi se le sessioni esistenti vengono revocate immediatamente, scadono naturalmente o richiedono un evento di revoca separato.
Recupero
Definisci break-glass e ripristino da parte dell'amministratore senza creare un bypass permanente attorno alla politica di identità aziendale.
Controllo
Registra prove di accesso, errore, mappatura, cambio di ruolo, avanzamento, disconnessione, revoca e azione privilegiata.
Progetto di implementazione
Inizia con un provider di identità e ogni ruolo che può raggiungere.
Identità e viaggi di inventario
Elenca i casi d'uso di clienti, rivenditori, vendite, manager, prodotti, prezzi, amministratori e account di servizio.
Scegli il profilo della federazione
IdP del documento, protocollo, flusso, identità del cliente o del fornitore di servizi, endpoint, chiavi, attestazioni e aspettative di disconnessione.
Definire la risoluzione stabile dell'account
Utilizza l'identità dell'emittente e del soggetto, i controlli duplicati, le regole di migrazione e il comportamento deliberato di modifica delle email.
Tenancy e ruoli del modello
Mappa organizzazioni, conti dei rivenditori, mercati, prodotti, listini prezzi e capacità con autorità esplicita.
Provisioning della progettazione
Scegli JIT, SCIM, invito o amministrazione; specificare il comportamento di creazione, aggiornamento, sospensione, eliminazione, riattivazione e riconciliazione.
Proteggi sessioni e API
Imposta i controlli di sessione, riautenticazione, token, identità del servizio, segreto, ambiente e autorizzazione degli oggetti.
Test fallito e ripristino
Copre asserzioni non valide, chiavi obsolete, gruppi rimossi, disattivazione, interruzione dell'IdP, utenti duplicati e amministratori bloccati.
Gestisce la relazione di fiducia
Monitora il rollover della chiave di firma, la scadenza del certificato, la deviazione della mappatura, l'accesso inattivo, l'audit e la proprietà degli incidenti.
Federazione e sicurezza degli accessi
Valida l’assertion, quindi autorizza l’accesso alla risorsa.
- Convalida emittente, destinatario, firma, chiave, ora, nonce, stato e l'esatta transazione del protocollo in base al profilo scelto.
- Preferisci identità soggetto stabile con ambito provider; trattare le richieste di posta elettronica, nome e gruppo come attributi modificabili a meno che la politica non dica diversamente.
- Riduci al minimo le richieste richieste e documenta il motivo per cui Configurix riceve, archivia, aggiorna ed elimina ogni attributo di identità.
- Applica l'autorizzazione del locatario e dell'oggetto dopo l'autenticazione su ogni richiesta di progetto, prezzo, preventivo, ordine, documento e amministrazione.
- Previene l'escalation dei ruoli tramite attestazioni non attendibili, campi del profilo modificabili, nomi di gruppo ambigui o provider di identità non supportati.
- Sessioni browser separate, token di accesso API, credenziali SCIM, identità di integrazione e accesso amministrativo di emergenza.
- Proteggi chiavi di firma, credenziali client, certificati e token SCIM con rotazione, isolamento dell'ambiente e proprietà responsabile.
- Monitora anomalie di accesso, errori di mappatura, modifiche ai privilegi, ritardi di deprovisioning e accessi ripetuti a oggetti non autorizzati.
Prove di accettazione
Testa i percorsi vietati con la stessa attenzione dell'accesso riuscito.
- 1Un utente valido dell'IdP attendibile accede una volta e si risolve esattamente in un account Configurix e in un'appartenenza al tenant previsti.
- 2Un'asserzione con emittente, destinatario, firma, ora, stato, nonce o contesto di transazione errati viene rifiutata in modo sicuro.
- 3Due provider di identità che emettono lo stesso indirizzo email non uniscono gli utenti a meno che un processo di collegamento degli account controllato esplicito non lo approvi.
- 4Il rivenditore A non può leggere, indovinare, cercare, esportare o modificare progetti, clienti, prezzi, preventivi, ordini o documenti del rivenditore B.
- 5La rimozione di un utente dal gruppo autorevole o dalla directory SCIM rimuove il ruolo o l'accesso previsto entro l'intervallo di tempo accettato.
- 6La sospensione, l'eliminazione e la riattivazione preservano la corretta cronologia degli audit e non ripristinano accidentalmente privilegi obsoleti.
- 7Le modifiche al ruolo e agli attributi influiscono solo sulle funzionalità consentite di tenant, mercato, prodotto, prezzo e amministrazione.
- 8Le sessioni e i token scaduti, revocati, riprodotti o disconnessi non possono continuare le azioni protette oltre la policy documentata.
- 9Un'azione sensibile richiede il contesto di autenticazione recente o più forte previsto e fallisce onestamente quando le prove sono insufficienti.
- 10Il rollover della chiave di firma o il rinnovo del certificato riesce senza accettare una chiave non attendibile o causare un blocco incontrollato.
- 11Un'identità di servizio non può utilizzare flussi interattivi del cliente o dell'amministratore e può accedere solo agli oggetti e alle azioni API approvati.
- 12La riconciliazione identifica gli account aggiuntivi, mancanti, inattivi, duplicati e con privilegi ridotti nel provider di identità e in Configurix.
Schemi di errore
Dove l'SSO aziendale crea un falso senso di sicurezza.
SSO viene trattato come un'autorizzazione
Un login valido può accedere a ogni tenant, progetto o azione di amministrazione perché la policy dell'oggetto non è mai stata progettata.
L'e-mail è la chiave utente permanente
Un'e-mail tra provider modificata, riciclata o identica collega l'identità sbagliata o duplica un utente.
Ogni gruppo IdP diventa un ruolo
La denominazione o le attestazioni di gruppi non controllati possono garantire privilegi di determinazione dei prezzi, pubblicazione o amministrazione.
Il provisioning JIT non prevede offboarding
Gli utenti vengono creati al primo accesso ma mai sospesi quando lasciano l'organizzazione o il rivenditore.
Il successo di SCIM significa che l'accesso è stato interrotto
L'account cambia, ma le sessioni, i token, le appartenenze ai tenant o le condivisioni di progetti esistenti rimangono attivi.
Il logout promette troppo
L'interfaccia dice che è stato effettuato l'accesso mentre un'altra sessione Configurix, una sessione IdP o un percorso di aggiornamento rimane valido.
Le integrazioni di servizi impersonano le persone
L'automazione ERP o CRM eredita l'accesso umano e produce proprietà, rotazione e prove di audit deboli.
Il conto di emergenza diventa normale
Un'identità break-glass aggira l'SSO in modo permanente ed è condivisa, non monitorata o con privilegi eccessivi.
Standard di identità primari
Progetta federazione, ciclo di vita e sessioni in base alle linee guida primarie attuali.
OpenID Foundation · OpenID Connect Core
Specifica primaria per l'autenticazione su OAuth 2.0 e attestazioni interoperabili sull'utente finale autenticato.
Sorgente primaria apertaOASIS · Panoramica tecnica SAML 2.0
Panoramica ufficiale delle asserzioni SAML, dei ruoli dei fornitori di identità e di servizi, dei profili, dei metadati e degli scambi di messaggi.
Sorgente primaria apertaIETF · Protocollo SCIM RFC 7644
Protocollo Internet Standards Track per la creazione, il recupero, la sostituzione, l'aggiornamento, l'eliminazione e il rilevamento delle risorse di identità.
Sorgente primaria apertaIETF · OAuth 2.0 Sicurezza BCP RFC 9700
Linee guida attuali sulle migliori pratiche sulla sicurezza che aggiornano il modello di minaccia OAuth 2.0 originale e deprecano i modelli non sicuri.
Sorgente primaria apertaNIST · Linee guida sull'identità digitale SP 800-63-4
Attuale quadro NIST per la verifica dei rischi, la verifica dell'identità, l'autenticazione e la garanzia della federazione con considerazioni sulla sicurezza e sulla privacy.
Sorgente primaria apertaNIST · Federazione e Asserzioni SP 800-63C-4
Linee guida attuali della federazione per l'IdP e l'attendibilità delle parti, le asserzioni, la limitazione del pubblico, la riproduzione e la protezione dall'iniezione.
Sorgente primaria apertaW3C · Autenticazione Web Livello 3
Standard Web primario per le credenziali di chiave pubblica con ambito di una delivering party e create con autenticatori.
Sorgente primaria apertaDomande frequenti su SSO e identità
Risposte dettagliate per i team di sicurezza, IT, vendite, rivenditori e prodotti.
Porta un IdP e il tuo modello dei ruoli reale
Associa l'identità attendibile all'esatto accesso Configurix di cui la tua azienda ha bisogno.
Possiamo definire federazione, risoluzione account, provisioning, mappature di tenant e ruoli, sessioni, identità di servizio, disattivazione, ripristino e test di autorizzazione al lavoro tra clienti, rivenditori e team interni.