Microsoft Entra ID -kertakirjautumisella käyttäjä tunnistautuu Spotillaan organisaationsa Microsoft-tunnuksella. Spotillan asetuksissa toiminnosta käytetään myös aiempaa nimeä Azure AD. Kirjautuminen toimii selaimessa, Androidissa ja iOS:ssä, kun asiakkuuden ja käytettävien alustojen määritykset ovat kunnossa.

Kertakirjautumista voi käyttää pelkkään tunnistautumiseen ja ylläpitää Spotillan sisältöoikeuksia käsin. Automaattinen Spotillan roolien kohdistaminen Entra-jäsenyyksien perusteella on valinnainen käyttötapa. Käsin ylläpidettävillä rooleilla ei tällöin pidä olla ulkoista viitettä: ulkoisesti kohdistettujen roolien jäsenyydet päivitetään kirjautumisessa.

Kirjautumisen salliminen ja Spotillan käyttöoikeudet ovat eri asioita. Entra ID tunnistaa käyttäjän, mutta Spotillan roolit määräävät hänen sisältöoikeutensa. Kertakirjautuminen voi myös luoda puuttuvia käyttäjätunnuksia. Uusi tunnus ei saa sisältöoikeuksia pelkästä onnistuneesta tunnistautumisesta.

Sovi käyttöönoton määritykset

Aloita käyttöönotto ottamalla yhteyttä Spotillan helpdeskiin: helpdesk@spotilla.com. Kertakirjautuminen voidaan ottaa käyttöön nopeasti ilman erillistä projektia. Jos myös Spotillan käyttöoikeudet halutaan kohdistaa automaattisesti Entra-jäsenyyksien perusteella, asiakkaalta tarvitaan enemmän roolien ja oikeuksien suunnittelua.

Spotilla tekee kertakirjautumisen tekniset määritykset. Organisaatiosi Entra-ylläpitäjä hyväksyy tarvittavat oikeudet omassa Azure-/Entra-ympäristössänne; hänen ei tarvitse tehdä kertakirjautumisen teknisiä määrityksiä käsin. Asiakkaan pääkäyttäjä suunnittelee tarvittavat Spotillan roolit ja niiden oikeudet sekä valinnaiset ulkoiset kohdistukset.

Sopikaa seuraavat tiedot Spotillan kanssa. Teknisiä asetuksia koskevat kohdat ovat Spotillan toteuttamia määrityksiä, eivät asiakkaan itse täytettävä asetuslista:

  • Spotillan asiakkuus ja sen oma selainosoite.
  • Sallitun Microsoft-kirjautumistunnuksen rajaus. Tarkistus käyttää Microsoftin palauttamaa kirjautumistunnusta, joka voi poiketa käyttäjän tutusta sähköpostiosoitteesta.
  • Kirjautumistapa: Microsoft Graph tai OpenID Connect eli OIDC.
  • Microsoft-sovelluksen tunniste, Entra-hakemiston tiedot ja valitun tavan tarvitsemat sovellusmääritykset sekä palautusosoitteet selaimelle, Androidille ja iOS:lle.
  • Graph-käytössä tarvittava käyttäjä- ja ryhmätietojen luku sekä mahdollinen kirjautumisen pakollinen ryhmä. OIDC-käytössä mahdollisen automaattisen roolikohdistuksen tarvitsemat sovellusroolit ja niiden palautettavat arvot.
  • Kullekin käyttäjäryhmälle tarvittavat Spotillan mobiili- ja manageriroolit, ylläpidetäänkö jäsenyyksiä käsin vai ulkoisilla kohdistuksilla, sekä testikäyttäjät.

Microsoft-kirjautumisen on oltava käytössä asiakkuudessa ja kirjautumistavan asetettuna. Microsoft- ja Google-kirjautumista ei tule ottaa samanaikaisesti käyttöön samalle asiakkuudelle: selainpainikkeet ja mobiilin Microsoft-määritysten haku edellyttävät, ettei Google-kirjautuminen ole käytössä.

Tässä kuvattu kirjautuminen käyttää Microsoftin Entra-palvelua. Pelkkä paikallinen Active Directory ilman Entra-kirjautumista ei riitä tähän toteutukseen. Jos organisaatiosi käyttää paikallisen AD:n ja Entran hybridiympäristöä, varmista sen soveltuvuus Spotillan kanssa käyttöönoton yhteydessä.

Erota kirjautumisehdot ja roolien kohdistus

Molemmissa kirjautumistavoissa Microsoftista palautuvan kirjautumistunnuksen on täytettävä Spotillan asiakkuudelle sovittu rajaus. Toteutus vertaa tunnuksen sisältöä asetettuun rajausarvoon; kyse ei ole Entra-hakemiston tunnisteen tarkistuksesta. Roolikohdistuksen osuma ei ole kirjautumislupa.

Graph hakee käyttäjän ryhmäjäsenyydet Microsoft Graphista. Jos asiakkuudelle on määritetty pakollinen kirjautumisryhmä, sen tunnisteen pitää löytyä palautetuista jäsenyyksistä. Tarkistus koskee sekä selain- että mobiilikirjautumista. Älä oleta pelkän sisäkkäisen ryhmärakenteen riittävän, vaan varmista, että tarvittava jäsenyys palautuu kirjautumisessa.

Jos pakollista ryhmää ei ole määritetty, Graph ei vaadi tätä ryhmäjäsenyyttä. Kirjautuminen edellyttää silti onnistunutta Microsoft-tunnistautumista ja palautuvan tunnuksen sopimista asiakkuuden rajaukseen sekä käytettävän sovelluskäyttöoikeuden edellytysten täyttymistä. Ryhmäehdon puuttuminen ei siis avaa Spotillaa kaikille Microsoft-käyttäjille.

Pakollisen ryhmän jäsenyys täyttää vain kirjautumisen ryhmäehdon, eikä yksin myönnä Spotillan sisältöoikeuksia. Jos saman ryhmän halutaan antavan myös oikeuksia, sen tunniste on kohdistettava erikseen tarvittaviin Spotillan rooleihin.

OIDC ei käytä Graphin pakollisen ryhmän tarkistusta. Se tarkistaa edelleen kirjautumistunnuksen rajauksen. Valinnainen roolikohdistus käyttää kirjautumisessa palautettavia roles-arvoja. Spotillan roolin ulkoiseksi tunnisteeksi tarvitaan täsmälleen palautettava arvo, ei sovellusroolin näyttönimi tai automaattisesti sen tekninen tunnus. Sovellusroolin osumaa ei vaadita pelkän tunnistautumisen ehdoksi.

Jos käytät automaattista kohdistusta, Spotillan mobiiliroolit ja manageriroolit määritetään erikseen. Sama ulkoinen jäsenyys voidaan kohdistaa kumpaankin, mutta kummankin roolin oikeudet täytyy suunnitella ja tallentaa. Tarkemmat oikeusvalinnat kuvataan ohjeissa Mobiiliroolit ja kansio-oikeudet ja Managerin oikeuksien määrittäminen.

Teknistä taustaa on Microsoftin OpenID Connect -protokollakuvauksessa ja Graphin jäsenyystietojen kuvauksessa. Ne kuvaavat käytettyjä rajapintoja; asiakkaan ei tarvitse tehdä niiden perusteella teknisiä määrityksiä itse.

Kohdista ulkoinen jäsenyys Spotillan rooliin tarvittaessa

Tee tämä vaihe vain, jos haluat ylläpitää roolijäsenyyksiä automaattisesti Entra-tietojen perusteella. Pelkkää tunnistautumista varten rooleihin ei tarvitse lisätä ulkoisia viitteitä. Säilytä käsin ylläpidettävät roolit ilman ulkoista viitettä.

  1. Avaa pääkäyttäjänä selaimen valikosta Käyttäjien hallinta → Käyttäjäroolit.
  2. Avaa kohdistettava rooli sen rivin kynäkuvakkeesta. Muokkauslomakkeen asetukset ovat roolin tyypin mukaan Mobiilikäyttäjärooli- tai Managerikäyttäjärooli-välilehdellä.
  3. Etsi lomakkeen Ulkoiset referenssit -osio ja paina Lisää uusi ulkoinen referenssi.
  4. Täytä Otsikko ja Tunniste. Molemmat ovat pakollisia. Otsikko kuvaa kohdistusta ihmiselle; Tunniste ratkaisee osuman. Käytä Graphissa ryhmän tunnistetta ja OIDC:ssä palautettavaa sovellusroolin arvoa.
  5. Paina lomakkeen alareunan Tallenna-painiketta. Avaa rooli uudelleen ja varmista, että viite säilyi oikein.

Tee kohdistus roolin omassa lomakkeessa. Käyttäjän henkilötiedoissa oleva samanniminen ulkoisten viitteiden osio ei korvaa roolin kohdistusta. Yhdellä roolilla voi olla useita viitteitä; käyttäjä saa roolin, kun jokin niistä vastaa kirjautumisessa palautettua arvoa.

Voit muuttaa viitteen arvoa samalla lomakkeella. Viiterivin roskakorikuvake merkitsee tallennetun viitteen poistettavaksi, ja poisto toteutuu roolin tallennuksessa. Viitteen poistaminen ei itsessään poista roolia tai sen nykyisiä jäseniä. Tarkista olemassa olevat jäsenyydet erikseen: kun roolilla ei enää ole yhtään ulkoista viitettä, sen jäsenyydet säilyvät seuraavassa kirjautumisessa käsin ylläpidettävinä.

Kirjaudu selaimessa ja mobiilissa

Selaimessa avaa organisaatiosi oma Spotillan kirjautumissivu. Valitse Microsoft-tunnuksella merkitty Kirjaudu sisään -painike ja tunnistaudu organisaation Microsoft-tilillä. Spotilla käyttää asiakkuudelle määritettyä Graph- tai OIDC-tapaa.

Androidissa ja iOS:ssä valitse kirjautumisnäkymästä KIRJAUDU SISÄÄN MICROSOFTILLA. Kirjoita avautuvan kyselyn Asiakas-kenttään Spotillan asiakkuustunnus ja paina Tallenna (iOS:ssä TALLENNA). Asiakkuustunnus valitsee Spotillan ympäristön; siihen ei kirjoiteta Entra-hakemiston tunnistetta. Sovellus hakee asiakkuuden määritykset ja käynnistää niiden mukaisen Microsoft-kirjautumisen.

Jos et tiedä asiakkuustunnusta tai omaa selainosoitetta, pyydä ne organisaatiosi Spotilla-pääkäyttäjältä. Yleiset kirjautumis- ja uloskirjautumisohjeet ovat artikkelissa Kirjautuminen ja salasanan palautus.

Mitä ensimmäinen kirjautuminen luo?

Spotilla etsii käyttäjätilin Microsoftin palauttaman kirjautumistunnuksen perusteella tilin sähköpostiosoitteesta. Samalla osoitteella löytyvä tili käytetään uudelleen; jos sitä ei löydy, kirjautuminen voi luoda uuden tilin. Varmista siksi ennen käyttöönottoa, että olemassa olevan tilin sähköpostiosoite vastaa Microsoftista palautuvaa tunnusta.

  • Graph selaimessa: olemassa olevalle tilille luodaan tarvittaessa managerin selainkäyttöoikeus. Kokonaan uudelle tilille luodaan sekä managerin selainkäyttöoikeus että mobiilikäyttöoikeus. Olemassa olevalle tilille ei tällä polulla lisätä puuttuvaa mobiilikäyttöoikeutta.
  • OIDC selaimessa: tilille luodaan tarvittaessa managerin selainkäyttöoikeus. Puuttuvaa mobiilikäyttöoikeutta ei luoda.
  • Graph tai OIDC mobiilissa: tilille luodaan tarvittaessa mobiilikäyttöoikeus. Puuttuvaa managerin selainkäyttöoikeutta ei luoda.

Automaattisesti luotava sovelluskäyttöoikeus on aktiivinen, mutta sen sisältöoikeudet riippuvat rooleista. Entra-kirjautuminen ei myönnä pääkäyttäjäoikeutta. Graphin selainkirjautuminen on managerikäyttäjille; pääkäyttäjän erillinen kirjautuminen on varmistettava käyttöönoton yhteydessä.

Miten kirjautuminen muuttaa oikeuksia ja työvastuita?

Kirjautumisessa Spotilla poistaa käyttäjältä aiemmat jäsenyydet niissä rooleissa, joilla on ulkoinen viite, ja lisää nykyisiä ulkoisia arvoja vastaavat jäsenyydet. Tämä koskee myös käsin lisättyä jäsenyyttä, jos roolilla on ulkoinen viite. Ilman ulkoista viitettä olevat käsin annetut roolit säilyvät.

Päivitys voi koskea samalla käyttäjätilillä sekä mobiili- että managerirooleja riippumatta siitä, kummalla sovelluksella käyttäjä kirjautuu. Esimerkiksi mobiilikirjautuminen voi muuttaa myös olemassa olevan selainkäyttöoikeuden rooleja. Puuttuva osuma voi siis poistaa aiemmin käytettävissä olleita oikeuksia, vaikka kirjautuminen onnistuu.

Entra-jäsenyyden muutos tulee tähän kohdistukseen seuraavassa Microsoft-kirjautumisessa. Kyse ei ole jatkuvasta synkronoinnista, eikä muutoksen perusteella voi päätellä kaikkien jo avoinna olevien istuntojen päättyneen.

Roolimuutos voi päivittää taustalla roolin jäseniä seuraavien tehtävien ja ryhmätöiden tekijöitä, käyttötuntihuoltopohjia, tarjousasetuksia sekä tehtävien, tehtäväpohjien ja sopimusten resursointia. Tekijämuutos voi ulottua myös valmistuneisiin tehtäviin. Uudelle tehtävän tekijälle muodostetaan oletusresursointi, ja poistuvan tekijän aikavaraukset voivat poistua. Tarkista siksi työvastuut ja suunnitellut työajat roolimuutoksen jälkeen. Suoraan henkilölle nimetyt vastuut on käsiteltävä erikseen.

Roolijäsenyyden poistaminen ei poista käyttäjätiliä eikä vastaa käyttöoikeuden sulkemista. Myös poistettu tili tai puuttuva sovelluskäyttöoikeus voi syntyä uudelleen hyväksytyssä Microsoft-kirjautumisessa. Pysyvän pääsyn lopettaminen on sovitettava Entra-palvelussa annettuun pääsyyn; katso Käyttäjän käyttöoikeuden lopettaminen ja poistaminen.

Salasana ja tavallinen kirjautuminen

Microsoft-salasanaa hallitaan organisaation Microsoft-palvelussa. Spotillan salasanan palautus ei vaihda Microsoft-salasanaa.

Selaimen Muut kirjautujat avaa tavalliset kirjautumiskentät, mutta ei ohita organisaation kirjautumisrajoitusta. Entra-rajaukseen kuuluva olemassa oleva manageritunnus ohjataan Microsoft-kirjautumiseen. Pääkäyttäjät on erotettu tästä ohjauksesta.

Graph-mobiilikirjautumisen Microsoft-tiliin liittämältä tunnukselta estetään tavallinen salasanakirjautuminen. Tätä ei voi yleistää kaikkiin OIDC-mobiilitileihin: OIDC-kirjautuminen ei tee samaa liitosta.

Testaa käyttöönotto ja myöhemmät muutokset

  1. Kirjaudu sovitulla testikäyttäjällä erikseen selaimessa, Androidissa ja iOS:ssä niillä alustoilla, joita organisaatio käyttää. Tarkista oikea asiakkuus ja Microsoft-tili.
  2. Tarkista pääkäyttäjänä Käyttäjien hallinta → Käyttäjäroolit -sivulta odotetut jäsenyydet. Varmista erikseen mobiili- ja manageriroolit. Jos käytät kertakirjautumista vain tunnistautumiseen, varmista, että käsin annetut, ilman ulkoista viitettä olevien roolien jäsenyydet säilyvät.
  3. Hae verkkoyhteydessä tarvittavat Spotit ja työt ja kokeile sallittua toimintoa. Pelkkä onnistunut tunnistautuminen ei varmista sisältöoikeuksia.
  4. Jos käytät automaattista roolikohdistusta, muuta testikäyttäjän ulkoista jäsenyyttä, kirjaudu uudelleen ja varmista sekä odotettujen oikeuksien lisääntyminen että poistuminen. Tarkista taustapäivityksen jälkeen myös roolia seuraavien töiden tekijät ja resursointi.

Jos Microsoft-painike puuttuu tai mobiilin asiakkuuskysely ei jatka tunnistautumiseen, pyydä Spotillan helpdeskiä tarkistamaan asiakkuuden käyttöönotto, kirjautumistapa ja alustakohtaiset määritykset. Jos Microsoft-tunnistautuminen onnistuu mutta Spotilla hylkää kirjautumisen, tarkistakaa palautuva kirjautumistunnus, sen rajaus ja Graphissa mahdollinen pakollinen ryhmä.

Jos kirjautuminen onnistuu mutta sisältö puuttuu, tarkista roolin oikeudet ja kyseisen sovelluskäyttöoikeuden tila. Käsin ylläpidettävissä rooleissa tarkista käyttäjän jäsenyys. Automaattisessa kohdistuksessa tarkista lisäksi ulkoisen arvon ja roolin Tunniste-kentän vastaavuus. Älä päättele pelkästä Microsoftiin kirjautumisesta, että Spotillan käyttöoikeus on kunnossa.