Accesso con Microsoft

Con «Accesso con Microsoft» il personale di un’organizzazione accede con il proprio account Microsoft, senza un’altra password. Il suo ruolo in Regalzeile segue i suoi gruppi in Microsoft Entra ID, la directory dell’organizzazione. L’accesso fa parte dell’offerta per le organizzazioni; il blocco in Impostazioni lo vede solo il proprietario. La configurazione ha due parti: l’IT dell’organizzazione crea una volta un’app nell’interfaccia di amministrazione Microsoft Entra e consegna i valori al proprietario; il proprietario li inserisce in Regalzeile.

Per l’IT della vostra organizzazione

1. Nell’interfaccia di amministrazione Microsoft Entra aprire «Entra ID» → «Registrazioni app» → «Nuova registrazione». Nome, per esempio «Regalzeile», tipo di account «Account solo in questa directory dell’organizzazione». Come URI di reindirizzamento scegliere il tipo «Web» e inserire https://regalzeile.ch/api/auth/entra/callback (Regalzeile la mostra nel blocco sotto «URI di reindirizzamento», da copiare).
2. Nella panoramica dell’app annotare l’«ID applicazione (client)» (è l’ID client) e l’«ID directory (tenant)» (è l’ID tenant).
3. In «Certificati e segreti» creare un «Nuovo segreto client» e scegliere una durata (al massimo 24 mesi). Copiare subito il valore; Microsoft non lo mostra più in seguito. Annotare la data di scadenza.
4. In «Autorizzazioni API» devono esserci le autorizzazioni delegate openid, profile ed email di «Microsoft Graph» (di solito ci sono già). Poi «Concedi il consenso amministratore».
5. In «Configurazione token» aggiungere un’attestazione dei gruppi: «Gruppi assegnati all’applicazione», per il token ID come ID del gruppo.
6. In «Entra ID» → «Gruppi» creare tre gruppi di sicurezza o sceglierne di esistenti: uno per i proprietari, uno per i membri, uno per i lettori. Annotare l’ID oggetto di ciascuno.
7. In «Applicazioni aziendali» aprire l’app «Regalzeile». In «Proprietà» impostare «Assegnazione obbligatoria?» su «Sì». In «Utenti e gruppi» assegnare all’app i tre gruppi.
8. Consegnare al proprietario di Regalzeile: ID tenant, ID client, segreto client (il valore del passo 3), data di scadenza e i tre ID dei gruppi.

Per il proprietario

1. Apri le Impostazioni e cerca il blocco «Accesso con Microsoft». Compare solo nel piano per le organizzazioni e solo per il proprietario.
2. Inserisci «ID tenant», «ID client» e «Segreto client», in «Segreto valido fino al» la data di scadenza (così Regalzeile te lo ricorda per tempo) e in «Domini e-mail» i domini della tua organizzazione, uno per riga, per esempio tribunale.ch. Si possono inserire solo domini verificati nel tenant Microsoft della tua organizzazione; Regalzeile lo controlla presso Microsoft al salvataggio.
3. Inserisci gli ID dei gruppi: «ID del gruppo lettore» è obbligatorio, «ID del gruppo proprietario» e «ID del gruppo membro» sono facoltativi. Chi non è in nessuno dei gruppi inseriti non entra.
4. Salva. Dopo Regalzeile non mostra più il segreto; lasciare il campo vuoto significa «invariato».
5. Premi «Verifica la connessione» e accedi presso Microsoft. Regalzeile ti mostra una verifica con il tuo indirizzo, se il tenant corrisponde, se il dominio è inserito, quali gruppi ci sono nel token e quale ruolo ne deriva. La verifica non cambia nulla: non nasce alcun account, alcuna appartenenza e alcuna nuova sessione.
6. Inoltra il «Link per la tua intranet». Ha questo aspetto, con il tuo dominio alla fine: https://regalzeile.ch/login/microsoft/tribunale.ch. Apre una pagina con il pulsante «Accedi con Microsoft», che porta direttamente da Microsoft.

Come accede il personale

Nella pagina di accesso la persona digita il proprio indirizzo. Se il dominio appartiene a una configurazione, sotto gli altri modi di accesso compare il pulsante «Accedi con Microsoft». Chi usa il link dell’intranet vede una pagina con proprio questo pulsante. Se il dispositivo è già connesso a Microsoft, si prosegue senza password (single sign-on). La prima volta Regalzeile crea l’account; non serve alcun invito. Con il clic su «Accedi con Microsoft» la persona accetta le condizioni d’uso e l’informativa sulla privacy, collegate sotto il pulsante, come con Google. Password, Google e Apple restano possibili accanto, e gli inviti funzionano ancora, per esempio per persone esterne.

Ruolo e «da Microsoft»

Il ruolo viene dai gruppi: chi è nel gruppo proprietario diventa proprietario, altrimenti vale il gruppo membro, altrimenti il gruppo lettore. Con più gruppi conta il ruolo più alto. A ogni accesso Regalzeile riallinea il ruolo: se qualcuno cambia gruppo in Entra, il ruolo cambia al successivo accesso. Nell’elenco dei membri, in Impostazioni, queste persone hanno la nota «da Microsoft» al posto della scelta del ruolo; il ruolo si cambia in Entra, non in Regalzeile. Se rimuovi una persona dall’elenco, la sua appartenenza si ricrea al successivo accesso finché è in un gruppo. L’accesso alle singole raccolte resta in Regalzeile: continui a stabilirlo per membro, e l’accesso con Microsoft non lo tocca mai. Maggiori dettagli in Biblioteche, ruoli, inviti.

L’ultimo proprietario resta proprietario: se un accesso dovesse declassarlo, mantiene il ruolo, e un avviso spiega che la biblioteca altrimenti non avrebbe nessun proprietario.

Quando una persona lascia l’organizzazione, Entra da solo non basta: tolta da tutti i gruppi Regalzeile non può più accedere con Microsoft, ma conserva l’appartenenza, la sessione in corso e un eventuale accesso con password, Google o Apple. Rimuovi quindi la persona anche dall’elenco dei membri nelle Impostazioni.

Quando l’accesso non riesce

La pagina di accesso indica il motivo; ecco i sette casi con la causa.

• «Per questo dominio e-mail non è configurato alcun accesso con Microsoft.» Il dominio non è in nessuna configurazione, oppure la configurazione è stata eliminata. Controlla «Domini e-mail».
• «L’accesso con Microsoft non è più disponibile per questa organizzazione.» La configurazione esiste, ma il piano della biblioteca non comprende più l’accesso con Microsoft.
• «… appartiene a una directory Microsoft diversa …» L’account proviene da un tenant diverso da quello inserito in «ID tenant».
• «Microsoft non ha trasmesso alcun indirizzo e-mail …» L’account non ha un indirizzo e-mail in Entra. L’IT deve aggiungerlo.
• «L’indirizzo e-mail … non appartiene ai domini …» Il dominio dell’indirizzo manca in «Domini e-mail».
• «… non fa parte di alcun gruppo Regalzeile.» La persona non è in nessuno dei gruppi inseriti, oppure i gruppi mancano nel token. Controlla gli ID dei gruppi, l’assegnazione dei gruppi all’app e l’attestazione dei gruppi «Gruppi assegnati all’applicazione».
• «L’accesso con Microsoft non è riuscito.» Microsoft ha rifiutato o interrotto, oppure la procedura è stata troppo lenta (dura al massimo dieci minuti). Causa più frequente: un segreto client errato o scaduto. «Verifica la connessione» lo mostra.

Il segreto scade

Se in «Segreto valido fino al» hai inserito una data, Regalzeile invia 30 giorni prima un’e-mail a tutti i proprietari. Crea allora in Entra, in «Certificati e segreti», un nuovo segreto, inserisci il valore in «Segreto client» insieme alla nuova data e salva. Poi puoi eliminare il vecchio segreto in Entra. Se il segreto scade prima che tu l’abbia sostituito, l’accesso non riesce con «L’accesso con Microsoft non è riuscito.»

Protezione dei dati

All’accesso Regalzeile riceve nome e indirizzo e-mail nonché gli identificativi del tenant, della persona e dei suoi gruppi. Regalzeile non vede mai una password Microsoft. Responsabile del tenant è l’organizzazione.