> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/sv/admin-hornan/account-and-endpoint-management/sso-field-guide.md).
# SSO-fältguide
## Introduktion
Genom att integrera enkel inloggning (SSO) med Zoom får administratörer användarhantering och säkerhetsalternativ som kan förenkla kontohanteringen. När det har konfigurerats autentiserar användarna med sina företagsuppgifter mot företagets identitetsleverantör i stället för att använda alternativa autentiseringsmetoder som OAuth via en tredjepartsapp eller ett direkt användarnamn och lösenord med Zoom.
Det här dokumentet ger en omfattande översikt över SSO-konfigurationer och inställningar i Zoom, utöver information om felsökning och säkerhet.
## Konfigurera SSO
#### SSO kräver en anpassad URL för att komma igång
Ett konto måste ha en godkänd anpassad URL innan du konfigurerar SSO. När den anpassade URL:en har godkänts kan Zoom-administratörer komma åt [SSO-konfiguration](https://zoom.us/account/sso) sidan via undermenyn för avancerade alternativ i webbportalen. Se vår supportartikel om [anpassade URL:er](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) för mer information.
#### Zoom SSO fungerar med vilken SAML 2.0- eller OIDC-identitetsleverantör som helst
Zoom kan integreras med valfri identitetsprovider som stöder Security Assertion Markup Language (SSML) (SAML) 2.0 eller OpenID Connect (OIDC) autentisering.
#### Zoom-administratörer kan hantera användarprofilinformation och licensiering genom svarsmappning eller SCIM-integreringar
Administratörer kan hantera information om användarprofiler och licensiering via svarsmappning eller förfrågningar till applikationsprogrammeringsgränssnittet (API) för System for Cross-Domain Identity Management (SCIM), beroende på de funktioner som är tillgänglig från identitetsleverantören. Båda metoderna för användarhantering erbjuder nästan likvärdig funktionalitet för mappning av profilinformation och licensieringshantering, men vissa SCIM-mappningar kräver manuell konfiguration.
För en omfattande lista över SCIM-funktioner, se vår [SCIM API-dokumentation](https://developers.zoom.us/docs/api/?ampDeviceId=157cfe5d-7f7a-45eb-afb0-efde5a7d3feb\&SessionId=1778697171616).
#### Zoom-administratörer kan hantera status för användare-konto via SCIM, men inte SAML eller OIDC
Eftersom SCIM tillåter identitetsleverantörer att kommunicera direkt med Zoom när som helst kan användarkonton för användare vara *aktiverad*, *inaktiverad*, *skapad*, eller *raderad* … automatiskt via SCIM-integreringar. Till exempel, om kontot för användare i Active Directory är inaktiverat, eller om de inte har tilldelats applikationen, kan SCIM skicka en automatisk avaktiveringsbegäran för kontot för användare i Zoom. Den här funktioner är beroende av möjligheterna i identitetsleverantörens SCIM applikation och funktionaliteten kan variera beroende på leverantör.
#### Ett begränsat antal identitetsleverantörer erbjuder SCIM för Zoom
Många identitetsleverantörer har inte någon SCIM-integreringar byggd för Zoom som en del av sina tjänster. Konton som använder en identitetsleverantör som inte stödjer SCIM med Zoom måste använda svarsmappning för automatiserad hantering av användare.
#### SCIM kräver en associerad domän för att automatiskt provisionera användare
Konton som använder SCIM för att hantera och provisionera användare för SSO **måste** associera e-postdomänen med Zoom. Om domänen inte associeras leder det till misslyckad provisionering av användare. Se vår Support-artikel om [kopplade domäner](https://support.zoom.us/hc/en-us/articles/203395207) för mer information om processen.
### SAML-konfigurationsguide
Följande länkar innehåller guider för att konfigurera SSO med SAML.
{% hint style="success" %}
**Zoom-tips**
Klicka på ✔ i kolumnen Leverantör eller Zoom-dokumentation för att öppna instruktionerna i ett nytt fönster.
{% endhint %}
Om den identitetsleverantör som ditt Business använder inte är listad ovan rekommenderar vi att du söker i leverantörens kunskapsbas efter en Zoom-specifik guide för integreringar. Om en inte är tillgänglig kan SSO fortfarande konfigureras genom att matcha nyckelidentifierare från din IdP i Zooms SSO-konfigurationsskärm. Se Zooms supportcenter för mer information om en [snabbstartsguide för SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0060673) och vilken information som krävs för att slutföra den här processen.
### OIDC-konfigurationsguide
Zoom stöder OIDC-discovery, som automatiskt kan fylla i vanliga uppgifter om identitetsleverantören såsom utfärdaren, auktoriseringsändpunkt, token-ändpunkt och signeringsnycklar. Eftersom OIDC förlitar sig på standardiserade konfigurationsvärden krävs i allmänhet ingen Zoom-dokumentation som är specifik för leverantören; när discovery inte är tillgängligt kan de nödvändiga värdena anges manuellt.
Som ett resultat kan standardkompatibla OIDC-identitetsleverantörer i allmänhet konfigureras med Zoom även när en leverantörsspecifik guide för integreringar inte är tillgänglig. Se Zooms supportcenter för mer information om [konfigurering av OIDC SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0083701).
### Ytterligare konfigurationsalternativ
#### Zoom kan stödja flera anpassad URL:er och/eller flera identitetsleverantörsapplikationer
Zoom-konton kan stödja flera anpassad URL:er, flera identitetsleverantör (IdP)-konfigurationer eller en kombination av båda. Följande konfigurationer stöds:
* Flera anpassad URL:er som delar en gemensam IdP-konfiguration.
* Flera anpassad URL:er, var och en med en oberoende IdP-konfiguration.
* En enskild anpassad URL som är associerad med flera IdP-konfigurationer.
Dessa konfigurationer aktiveras via Zoom Support och konfigureras inte via gränssnittet för standardadministration av SSO. Skicka in en [supportförfrågan](https://support.zoom.com/hc/en/contact?id=contact_us) för att aktivera dessa funktioner, tillsammans med den önskade anpassad URL och IdP-konfigurationen samt det avsedda autentiseringsresultatet.
{% hint style="info" %}
**Anmärkning**
OIDC-autentisering stöder för närvarande inte flera Vanity-URL:er eller IdP:er. Om du inte är säker på om detta gäller dig, prata med ditt Zoom-kontoteam för mer information.
{% endhint %}
#### On-premises Active Directory kan använda AD Sync-verktyg i stället för SCIM
Konton som vill automatisera användarprovisionering via SCIM men som inte har en molnbaserad identitetsprovider kan använda applikationen Active Directory (AD) synkronisera Tool som har utvecklats av Zoom för att hantera sina användare. Den här applikationen körs på Oracle JDK 8 och simulerar SCIM-provisionering genom att hantera användare via API-kommandon. Se vår Support-artikel om den [AD Sync-verktyg](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) för mer information.
{% hint style="success" %}
**Zoom-rekommendation**
AD Sync-verktyg kräver noggrann konfiguration för användarhantering. Grundlig testning och genomgång av verktygets konfiguration krävs innan full implementering för att undvika driftstörningar.
{% endhint %}
#### Identitetsleverantörer kan till och med autentisera mötesdeltagare som inte har ett Zoom-konto
Konton som vill kräva att användare autentiserar sin identitet men inte vill tillhandahålla Zoom-konton kan konfigurera en extern autentiseringsprofil med sin identitetsleverantör. När det är aktiverat för ett möte måste användare som försöker gå med autentisera sina inloggningsuppgifter mot er identitetsleverantör för att få Access. Detta är en vanlig konfiguration för skolor som inte tillhandahåller konton till alla elever men kräver autentisering för att gå med i klasser. Se vår Support-artikel om [konfigurera extern autentisering](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) för mer information.
#### Att ändra identitetsleverantören kräver omkonfigurering av SSO i Zoom
Konton som ändrar identitetsleverantör måste göra om sin SSO-konfiguration i Zoom. Detta inkluderar att uppdatera alla fält på konfigurationssidan så att de matchar deras nya identitetsleverantör. Konton uppmanas att bekräfta att svarsmappningarna inte kommer att ändras med den nya identitetsleverantören.
Inga ytterligare konfigurationer eller ändringar bör krävas, förutsatt att det inte finns några fler ändringar.
#### Kunder med underkonton kan konfigurera SSO från huvudkontot eller underkontot
Kunder med underkonton har två alternativ för att konfigurera SSO:
1. Alla användare autentiserar med huvudkontots anpassad URL och loggas automatiskt in i underkontot via avancerad svarsmappning ([vissa mappningsbegränsningar gäller](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons))
2. Varje underkonto har en unik anpassad URL och en oberoende SSO-konfiguration, som endast används av medlemmar i det underkontot
Varje konfiguration erbjuder unika fördelar, där det andra alternativet erbjuder störst flexibilitet. Kunder som överväger att implementera någon av konfigurationerna bör diskutera med sitt kontoteam vilken konfiguration som bäst passar deras behov.
## Provisioneringsmetoder
#### Provisioneringslägen och SCIM är två olika mekanismer, och de kan användas tillsammans
Provisionering *Vid inloggning* och *Före inloggning* är de två tillgängliga värdena för en enda SSO-inställning. De styr om Zoom ska skapa ett konto för en användare i det ögonblick de autentiserar, eller kräva att kontot redan finns. SCIM är inte ett tredje värde i den inställningen — det är en separat, API-driven mekanism som provisionerar användare oberoende av autentisering, och den fungerar parallellt med vilket provisioneringsläge som än väljs.
| Provisioneringsmetod | Hur det fungerar | Förutsättningar | Skapar konton | Inaktiverar konton |
| ----------------------------------------------------------- | ------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------- | ------------------------------ | ------------------------------ |
|
Vid inloggning (Precis i tid)
| Skapar kontot när användaren först autentiserar sig | Inget | Ja | Nej |
|
Före inloggning (Förförsörjning)
| Verifierar att en användare är auktoriserad att logga in via SSO | Ett konto med SSO-inloggningstypen. Används ofta med SCIM-provisionering. | Nej, men används ofta med SCIM | Nej, men används ofta med SCIM |
| **SCIM** | Synkroniserar användardata från identitetsleverantören enligt sin egen schemaläggning via API:er | IdP:s SCIM-stöd och en tillhörande domän | Ja | Ja, om det stöds av IdP:n |
### Vid inloggning
#### Provisionering vid inloggning skapar kontot och SSO-inloggningstypen i ett enda steg
Med *Vid inloggning* inställningen (även känd som just-in-time-provisionering) kommer en användare som tilldelas Zoom applikation inom identitetsleverantören och som får en valfri stödd Zoom licens att få ett konto skapat för sig första gången de behöver autentisera. Inget behöver finnas i Zoom sedan tidigare. Detta gör det till det enklaste alternativet att införa, och därför rekommenderas det när SSO först konfigureras på ett konto.
Provisionering vid inloggning är också kompatibelt med SCIM — de två kan köras samtidigt. I praktiken tar SCIM dock vanligtvis bort behovet av det, eftersom konton redan finns när en användare autentiserar för första gången.
### Före inloggning
#### Provisionering före inloggning är beroende av att något annat först har skapat kontot eller inloggningstypen
Den *Före inloggning* inställningen (även kallad förprovisionering) provisionerar inte något automatiskt. I stället upprätthåller den ett villkor: en användare får bara autentisera om deras Zoom-konto redan finns och har inloggningstypen SSO. Något annat måste därför ansvara för att skapa dessa konton, och det finns två praktiska alternativ.
* **SCIM-provisionering**, som skapar konton automatiskt från identitetsleverantören när användare tilldelas applikationen.
* **Massuppladdning av CSV** med *SSO-användare* alternativet valt, vilket skapar konton och tillämpar inloggningstypen SSO i en enda import.
Det är därför förprovisionering och SCIM så ofta används tillsammans. Förprovisionering anger ett krav; SCIM är mekanismen som uppfyller det i stor skala.
Zoom-administratörer kan bekräfta om ett konto har en SSO-inloggningstyp genom att visa användarkontot på [användarhantering](https://zoom.us/account/user#/) sidan i webbportalen och leta efter ikonen “SSO” under användarens e-post.
Platsen där SSO-ikonen presenteras under en användares e-post.
Om ikonen finns är användaren provisionerad för SSO; om ikonen saknas kommer användaren inte att kunna logga in via SSO medan förprovisionering är aktiverad förrän den har lagts till. En Zoom-administratör kan lägga till denna inloggningstyp genom att lägga till användare i bulk via en CSV-fil och välja alternativet “SSO-användare” eller låta användaren autentisera medan Provisionering vid inloggning är aktiverat.
Exempel som visar alternativet SSO-användare för massuppladdning.
### SCIM
#### SCIM provisionerar användare via API:er och hävdar aldrig identitetsvärden som SAML eller OIDC
SCIM skiljer sig från svarsmappning på ett sätt som är värt att säga tydligt. Svarsmappning — oavsett om den sker via SAML-påståenden eller OIDC-anspråk — bär användarinformation *som en del av ett autentiseringstillfälle*. Ingenting tillämpas förrän användaren loggar in, och informationen färdas inuti påståendet.
SCIM innehåller inga påståenden eller anspråk alls. Identitetsleverantören anropar Zooms API direkt enligt sitt eget sätt att schemalägga anropen och skickar användarinformation oavsett om användaren någonsin har loggat in eller inte. Det är detta som gör att SCIM kan skapa, uppdatera, inaktivera och radera konton utan användarens inblandning, och det är därför SCIM kan hantera kontostatus medan svarsmappning inte kan det.
SCIM är kompatibelt med båda provisioneringslägena och används oftast tillsammans med förprovisionering.
{% hint style="success" %}
**Zoom-rekommendation**
När du konfigurerar SSO och SCIM tillsammans på ett nytt konto, aktivera *Provisionering vid inloggning* först. Det hjälper till att garantera att användare kan autentisera medan SCIM-integreringar fortfarande valideras. När du har bekräftat att SCIM skapar konton med inloggningstypen SSO tillämpad, växla till *Före inloggning* om den stramare kontrollen önskas.
{% endhint %}
## Säkerhetsinställningar
#### Zoom-administratörer kan verkställa automatisk utloggning efter en definierad tidsperiod
Zoom-administratörer kan konfigurera Zoom så att användare automatiskt loggas ut från aktiva sessioner efter definierade tidsperioder, anpassningsbara från 15 minuter till 180 dagar. Denna process kommer att ställa in att Zoom-åtkomsttokenen upphör att gälla efter den förutbestämda tiden när tokenen har genererats. Denna token har inget samband med en identitetsleverantör och är unik för Zoom.
#### En domän måste vara associerad och hanterad för att verkställa SSO-autentisering
Zoom-administratörer kan verkställa SSO-autentisering *endast* om e-postdomänen är associerad och hanterad inom Zoom. När detta är aktiverat kommer alla användare som autentiserar med din/dina företagsdomän(er) automatiskt att omdirigeras till identitetsleverantörens autentiseringssida, oavsett plattform.
När domänen har godkänts och hanteras kan en Zoom-administratör verkställa SSO-autentisering via ditt kontos [säkerhetssida](https://zoom.us/account/setting/security) under **Inloggningsmetoder**. Se vår supportartikel om [kopplade domäner](https://support.zoom.us/hc/en-us/articles/203395207) för mer information om att associera och hantera en domän.
#### Angivna användare kan undantas från verkställd SSO-autentisering
Zoom-administratörer kan undanta specifika användare från verkställd SSO-autentisering. Att undanta specifika användare (till exempel ett administratörskonto) kan vara användbart om en SSO-konfiguration slutar fungera och en kontoadministratör behöver icke-SSO-åtkomst till Zoom-kontot. Undantagna administratörer kan logga in på admin.zoom.us när som helst vid en kontolåsning eller trasig SSO-konfiguration (användaren måste ha den standard **admin** rollen). Om en Zoom-administratör inte kan komma åt kontot måste de ta kontakt med Zoom Support för hjälp.
För att aktivera ett användarundantag, navigera till kontot [säkerhetssida](https://zoom.us/account/setting/security) i webbportalen under avancerade alternativ, hitta listan över verkställda domäner och lägg till ett undantag via redigeringslistan.
Exempel på domänlista för SSO.
#### Mobila och stationära klienter kan konfigureras så att användare måste använda SSO-autentisering
Zoom-klienter kan förkonfigureras för att automatisera SSO-funktioner, inklusive automatisk inloggning, automatisk utloggning, autentisering endast med SSO på enheten, och mer via Gruppolicy, tjänster för hantering av mobila enheter (MDM) och klienter för massdistribution.
För en fullständig lista över konfigurationsmöjligheter, se våra konfigurationsalternativ för [Gruppolicy](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) och [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows).
#### Office 365-användare kan automatiskt logga in i tillägget Zoom för Outlook med hjälp av SSO-uppgifter
Kunder som använder Office 365 kan automatiskt logga in sina användare i tillägget Zoom för Outlook med hjälp av SSO-uppgifter. Detta kan kombineras med ett [anpassat tilläggsmanifest](https://support.zoom.us/hc/en-us/articles/360041403311) som förifyller kontots anpassade URL och skapar en sömlös autentiseringsupplevelse för användare. Den här funktionen använder användarens SSO-sessiontoken om den är aktiv, eller uppmanar till en ny autentisering med din identitetsleverantör om ingen aktiv session hittas.
En Zoom-admin kan aktivera den här inställningen på kontots [säkerhetssida](https://zoom.us/account/setting/security) under den **avancerade** menyn.
Exempel på admininställning för SSO med Outlook-tillägget.
## Svarsmappning
I svarsmappning, **attribut** är datakategorier definierade av **värden**, och används för att överföra information från identitetsleverantören till en tjänsteleverantör som Zoom. Att mappa attribut och värden är avgörande för att automatisera användarprofilsinformation och hantera användarlicenser.
Zooms svarsmappning är uppdelad i två delar: *Basic* och *avancerade*. Basic-mappning används för att mappa grundläggande profilinformation, inklusive namn, telefonnummer, avdelning osv., medan avancerad mappning används för att hantera dynamiska licenstilldelningar, tilldela användargrupper, användarroller och mer.
Detta avsnitt täcker grunderna för Basic- och avancerad svarsmappning och lyfter fram unika villkor som krävs för vissa funktioner.
#### Zoom stöder svarsmappning via både SAML och OIDC
Zoom kan konfigurera svarsmappning via antingen SAML eller OIDC. SAML-identitetsinformation utbyts i XML-formaterade assertioner, medan OIDC-identitetsinformation tillhandahålls genom JSON Web Key-uppsättningar (JWK:er). I båda fallen kan Zoom använda attributen eller anspråken som tas emot från identitetsleverantören för att mappa användarprofilsinformation, licensiering, grupper och andra kontoinställningar som stöds.
#### Grunder: Attribut och värden
De flesta identitetsleverantörer skickar grundläggande profilinformation med vanliga attributnamn och värden. Till exempel kan en medarbetares avdelning komma igenom med ett attribut för avdelning och ett värde av Personalavdelningen. Följande tabell visar relationen mellan attribut och värden när information om en användare skickas.
| Attribut | Värde |
| --------- | ------------------------------ |
| förnamn | John |
| efternamn | Smith |
| e-post | |
| avdelning | Personalavdelningen |
Genom att korrekt tilldela ett attribut till en svarsmappning kan användarinformation automatiskt tillämpas på en användarprofil för att förenkla processen för att skapa och hantera konton.
### Basic-mappning: Profilinformation
Basic-mappning används för att tillämpa profilinformation som förnamn, efternamn, avdelning, telefonnummer, kostnadsställe och plats från en katalog till en användares profil. Många av dessa kategorier är självförklarande och kan enkelt konfigureras; vissa kategorier kräver dock förklaring för korrekt konfiguration för att förhindra oväntade konsekvenser eller fel i applikationen. Följande avsnitt lyfter fram unika mappningsalternativ och konfigurationsinställningar för Basic-mappning. Se vår [artikel om Basic-mappning](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) för en komplett lista över stödda attribut.
#### Standardlicenstypen gäller endast för *helt nya användare*
Alternativet för standardlicenstypen kommer att tilldela den angivna licensen till alla *helt nya* användare som tillhandahålls i kontot genom autentisering för första gången. Detta gäller inte användare som autentiserar sig för andra gången, användare som har konsoliderats till kontot från ett tidigare konto, användare som tillhandahålls via SCIM eller användare som har bjudits in manuellt.
För information om *uppdatering* för användarlicenser med autentisering, se licenskonfigurationen under [Avancerad mappning](#advanced-mapping-licenses-add-ons-and-access).
#### En standardlicenstyp av *Inget* kommer inte att tillåta nya användare att autentisera om inte avancerad mappning har konfigurerats för att tilldela en licens
Zoom-användare måste ha en tilldelad licenstyp (Ej tilldelad utan Zoom Meetings Basic, Zoom Workplace osv.) för att logga in på Zoom-tjänsten. Om en standardlicenstyp av None väljs kan nya användare inte logga in eller skapa ett nytt konto om de inte kommer att få en licens via [Avancerad mappning](#advanced-mapping-licenses-add-ons-and-access).
#### De flesta grundläggande mappningar kommer att tillämpas igen vid inloggning, om inget annat anges
De flesta grundläggande mappningar uppdateras som standard varje gång en användare loggar in, *förutom* *för* förnamn, efternamn, visningsnamn och telefonnummer. Som standard kommer dessa fyra mappningar endast att tillämpas första gången en användare autentiserar och kommer inte att tillämpas igen, även om de uppdateras av en användare eller admin. Zoom-administratörer kan ändra detta beteende genom att aktivera alternativet för **Uppdatera vid varje SSO-inloggning** på sidan för svarsmappning.
Exempel på alternativet Uppdatera vid varje SSO-inloggning.
#### Mappningar för telefonnummer bör innehålla landskod och riktnummer om de är utanför USA
Telefonnummer som mappas via påståenden bör om möjligt inkludera användarens landskod och riktnummer. Som standard antar Zoom en landskod på +1 om den inte är definierad.
Konton som inte behåller landskoder i sin katalog kan redigera sina påståenden i sin identitetsleverantör för att automatiskt inkludera dessa vid behov.
#### Varje användare kan ha upp till tre telefonnummer och ett faxnummer mappade till sin profil
Zoom-administratörer kan konfigurera upp till tre separata telefonnummer och en faxnummermappning för varje användare. Varje telefonnummer måste vara unikt och får inte duplicera värdet i något annat fält.
Exempel på alternativ för telefonnummer för varje användare.
#### Profilbilder måste mappas från antingen en offentligt tillgänglig URL eller kodas med Base64
Konton som vill mappa profilbilder från sin katalog måste mappa bilderna med antingen en offentligt tillgänglig URL eller koda bilden i Base64 när de gör ett påstående.
### Unikt medarbetar-ID
**Det unika medarbetar-ID:t ändrar den primära identifierare som Zoom använder för att identifiera användare och hjälper till att förhindra dubbla användarkonton efter en ändring av e-postadress**
Den *Unikt medarbetar-ID* är en funktion som Zoom erbjuder för att hjälpa till med identitetshantering. Som standard är den primära identifieringen för en Zoom-användare deras **e-post** **e-postadress**. Detta innebär att om inloggningstypen för e-postadress för arbetet är ****, då kommer Zoom alltid att identifiera den här användaren med den e-postadressen. Denna identifierare är det som gör att integrationer som SSO eller Facebook- och Google OAuth-konton kan associera användaren med samma Zoom-konto.
Men denna identifieringsprocess kan bli problematisk om en användares namn eller e-post ändras. Till exempel, om **** har en ändring av e-postadress till ****, kan Zoom inte på ett säkert sätt avgöra att detta är samma person (eftersom den grundläggande identifieraren är annorlunda) så Zoom kommer att skapa ett nytt konto första gången **** loggar in.
För att förenkla detta problem erbjuder Zoom funktionen Unikt medarbetar-ID, som ändrar den primära identifieraren för en användare från deras e-postadress till ett etablerat unikt ID. *Detta ändrar inte en användares Zoom-användarnamn*, utan erbjuder i stället ett alternativt identifierande attribut. Denna ändring gör att Zoom dynamiskt kan uppdatera en användares e-postadress i Zoom om:
* en *ny* e-postadress åtföljs av ett känt Unikt medarbetar-ID; och
* den berörda användarens e-postdomän är kopplad inom Zoom
Till exempel, om **** autentiserar och skickar ett värde på 12345 (deras medarbetarnummer) för attributet Unikt medarbetar-ID, kommer Zoom nu att identifiera användaren i kontot med det angivna värdet. Om John autentiserar igen med e-postadressen **** samtidigt som han fortfarande skickar Unikt medarbetar-ID på 12345, kommer Zoom att identifiera att nu är **** och kommer dynamiskt att uppdatera användarens e-post i kontot om domänen är kopplad.
Identitetsadministratörer bör vara *helt* övertygade om att inga två användare kommer att överlappa med samma värde för Unikt medarbetar-ID innan de upprättar en mappning för denna kategori. Om en annan användare autentiserar och skickar samma värde kommer e-postadressen att uppdateras igen till den nya användaren och kan orsaka betydande störningar för användartjänster och användarupplevelse.
**Funktionen Unikt medarbetar-ID kräver kopplade domäner för att ändra en användares e-post**
Funktionen Unikt medarbetar-ID kan inte uppdatera en användares e-postadress om inte e-postdomänen officiellt är kopplad till din kontoprofil. Se vår supportartikel om [kopplade domäner](https://support.zoom.us/hc/en-us/articles/203395207) för mer information.
**Admin och ägare kan inte uppdatera sin e-post via Unikt medarbetar-ID**
E-postadresserna för admin och ägare i Zoom kan inte uppdateras via funktioner för medarbetares unika ID. Detta är avsett som en säkerhetsåtgärd för att förhindra obehörig åtkomst. Admin och ägare måste ändra sin e-post via sin profilsida.
**Användares e-postadresser kan bara uppdateras en gång per dag via medarbetarens unika ID**
Användarens e-post kan bara uppdateras en gång var 24:e timme via medarbetare Unique ID-funktioner. En användare måste vänta en hel kalenderdag från den föregående uppdateringen innan hen uppdaterar sin e-post via SSO igen.
Diagram över ett exempel på flöde för att uppdatera användares e-postadresser.
**Om attributet sätts till \ kommer den angivna NameID:n för användaren att användas**
Mappning av attributet medarbetares unika ID till **\** kommer automatiskt att använda det påstådda NameID-värdet för användaren som deras unika identifierare. Detta kan vara ett fördelaktigt verktyg om din identitetsprovider påstår ett NameID som är något annat än användarens e-post, som t.ex. ett användarens huvudnamn (User Principal Name, UPN) eller ett liknande värde som inte ändras. Använd inte detta värde om användarnas NameIDs matchar deras e-post.
Exempel på admin-inställningen <NameID>.
### Avancerad mappning: Licenser och lägga till-tillägg
Avsnittet för avancerad informationsmappning kan dynamiskt tilldela licens (inklusive Zoom Phone), tillägg och användares Access-grupper till användare när de autentiserar sig. Till skillnad från Basic-mappning innehåller avancerad mappning många nyanser som kan kräva noggrann uppmärksamhet vid konfiguration, beroende på komplexiteten i din miljö. Det här avsnittet belyser nyanserna för att konfigurera avancerad svarsmappning. Se vår [artikeln om avancerad mappning](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) för en komplett lista över stödda attribut.
#### Avancerad mappning tillämpas varje gång en användare autentiserar sig
Till skillnad från Basic-mappning, som har valfria uppdateringar för vissa kategorier, kommer konfigurationer för avancerad mappning att tillämpas varje gång en användare autentiserar sig, enligt applikationens uppifrån-och-ned-ordning.
Om användarens profil sedan ändras hos identitetsleverantören för att flytta dem tillbaka till en Basic-licens, kommer de att tilldelas Basic-licensen på nytt när de autentiserar sig igen i Zoom.
#### Avancerad mappning tillåter flera attribut och värden per kategori
Till skillnad från Basic-mappning, som endast tillåter ett attribut per kategori, kan avancerad mappning stödja flera attribut och värden för varje kategori. Detta ger stor flexibilitet när du hanterar användares licensiering och Access genom säkerhetsgrupper i din identitetsleverantör, enligt konfigurationen nedan.
Exempel på avancerad attributmappning.
{% hint style="success" %}
**Zoom-tips**
Attribut kan variera beroende på identitetsleverantör, särskilt för säkerhetsgrupper. Bekräfta med din identitetsleverantör eller via [svarsloggar](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) hur attribut anges.
{% endhint %}
#### Avancerad mappning tillämpar licenser uppifrån och ned när flera attribut anges
Om en användare skickar flera attribut eller värden som är konfigurerade för avancerad mappning, kommer Zoom att mappa licenserna uppifrån och ned. Se följande exempel:
Exempel på val av licenstyp i admin-inställningar.
Enligt ovanstående konfiguration, om en användare skulle skicka ett attribut för både **global\_users** och **marketing**, eftersom **marketing** är högst i konfigurationen, kommer detta attribut att tillämpas på användaren, och de återstående tillämpliga attributen kommer att ignoreras.
Alternativt, om konfigurationen var inställd med **global\_users** som det högsta, som visas i följande skärmbild, om en användares påstående innehöll **global\_users**, **marketing**, **människa** **resurser**, och **IT**, eftersom **global\_users** är högsta prioritet, kommer endast en grundläggande licens att göras gällande.
Exempel på att justera prioriteringsordningen
Zoom-administratörer kan justera ordningen för applikation när de redigerar mappningsvärdena med hjälp av ↑↓-pilarna i redigeraren.
{% hint style="success" %}
**Zoom-rekommendation**
Konfigurera de avancerade konfigurationerna från det mest specifika till det mest allmänna för att förhindra felaktig användning av licens.
{% endhint %}
#### Webbinarium och Large Meeting-mappningar kan dela ett vanligt värde för att tillämpa båda tilläggen lägga till
För att förenkla applikationsprocessen kan Zoom-administratörer konfigurera samma attribut och värde två gånger för att tillämpa tillägg för både webbinarium och stora möten på användarna, vilket visas i följande bild med **global\_users** värdet. Dessa tillägg kan också konfigureras oberoende av varandra om så önskas, vilket visas med **webbinarium\_endast** och **stort\_möte\_endast** värden.
Exempel på attribut för stort_möte_endast och webbinarium_endast.
#### Angivna användare och användargrupper kan undantas från specifika mappningar
Alla alternativ under Avancerad mappning kan konfigureras för att undanta specifika användare och användargrupper från mappningsbeteende. Detta kan vara fördelaktigt för att förhindra tjänsteavbrott för VIP-användare på grund av en potentiell ändra i licensieringen.
Exempel på undantag för användare.
#### Zoom stöder upp till fem anpassade attribut
Zoom-administratörer kan konfigurera upp till *fem* anpassade attribut för att lägga till användardata i deras Zoom-profil under [avancerad användarhantering](https://zoom.us/account/user#/advanced) sidan. Efter att ha lagt till de anpassade fälten kan Zoom-administratörer konfigurera mappningen på [Svarsmappning](https://zoom.us/account/sso/mapping) sidan.
Exempel på anpassade attribut
#### Mappning av användare till ett underkonto kommer att *endast* tillämpa en möteslicens och tillägg
Mappning av en användare till ett underkonto tillämpar endast användarens möteslicens och tillägg som webbinarium och Stora möten på underkontot. Användargrupper, IM-grupper, användarroller osv. tillämpas inte och måste konfigureras inom underkontot.
Kunder som behöver större flexibilitet för svars-mappning med underkonton behöver en unik anpassad URL och en ny SSO-konfiguration inom underkontot.
### Avancerad mappning: Tilldelning av användar- och kontaktgrupp
Tilldelning av användargrupp och kontaktgrupp är det enda området inom avancerad mappning som fungerar i två olika lägen: *standardmappning* och *flerfaldig mappning*.
* **Standardmappning** tillämpar en enda träff. En administratör kan konfigurera många attribut- och värdepar, men när en användare autentiseras får endast den första matchande posten effekt och resten ignoreras. Att uppnå ett specifikt resultat beror därför på noggrann, exakt konfiguration. Detta är standardbeteendet för alla konton.
* **Flerfaldig mappning** är ett valfritt läge som tillämpar varje träff. En enda autentisering kan matcha flera attribut och värden samtidigt och tilldela användaren till flera grupper i ett steg. Det är därför väl lämpat för konton med komplexa gruppstrukturer som placerar användare i ett stort antal användargrupper och kontaktgrupper. Flerfaldig mappning måste aktiveras via Zoom Support.
#### **Standardmappning tilldelar en användare till den första matchande användargruppen eller kontaktgruppen**
Vid standardmappning tillämpar Zoom endast den översta matchande posten i konfigurationen när en användares försäkran matchar flera konfigurerade värden inom kategorin användargrupp eller kontaktgrupp. Posterna utvärderas uppifrån och ned, och den första som matchar tillämpas. Alla återstående träffar inom den kategorin ignoreras.
Exempelvis placeras en användare vars försäkran matchar flera av de tjugo attribut- och värdepar som i en konfiguration är mappade till olika användargrupper endast i gruppen som är kopplad till den högsta matchande posten.
#### Ett enda värde kan lägga till en användare i flera grupper, och den första gruppen som läggs till blir primärgruppen
Zoom-administratörer kan konfigurera mappning av användargrupp för att lägga till en användare i flera grupper med ett värde. Detta beteende gäller både standardmappning och flerfaldig mappning.
Den första användargruppen som läggs till anges som användarens primärgrupp och avgör användarens standardinställningar *om inte en underliggande grupp har en inställning låst*. Mer information om användargrupper finns i vår [Support-artikel](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings).
I följande bild, om en användare skickade värdena för **Ledarskap**, **Personalavdelningen**, och **Reglerad**, skulle de endast placeras i grupperna för **Ledarskap**, eftersom det är den första träffen och inga ytterligare träffar tillämpas.
Exempel på standardmappning av användargrupp.
#### Flerfaldig mappning tilldelar en användare till varje matchande användargrupp och kontaktgrupp, för upp till 50 regelträffar
När flerfaldig mappning är aktiverad tillämpar Zoom *varje* matchande post inom kategorierna användargrupp och kontaktgrupp i stället för enbart den översta träffen. Samma attribut kan konfigureras upp till femtio gånger, och varje konfigurerat värde som matchar en försäkran placerar användaren i den tillhörande gruppen.
Detta innebär att ett enda attribut som skickas med femtio olika värden, där varje värde är mappat till en annan grupp, kan placera en användare i samtliga femtio grupper vid en enda autentisering. Detta möjliggör en en-till-en-relation mellan säkerhetsgrupper hos identitetsleverantören och Zoom-grupper, så att om en användare läggs till i en säkerhetsgrupp hos identitetsleverantören tilldelas de motsvarande Zoom-grupp vid nästa autentisering.
I följande bild, om en användare skickade värdena för **ledarskap**, **testning**, **AI**, och **human\_resources** med flerfaldig mappning aktiverad skulle användaren placeras i alla användargrupper, eftersom Zoom tillämpar de första 50 regelträffarna när flerfaldig mappning är aktiverad.
Exempel på flerfaldig mappning av användargrupper
Beteckningen primärgrupp påverkas inte av mappningsläget. Vid både standardmappning och flerfaldig mappning blir den första matchande grupp som läggs till användarens primärgrupp, om inte en underliggande grupp har en inställning låst.
#### Flerfaldig mappning förenklar grupptilldelning i stora Enterprise-miljöer
Flerfaldig mappning minskar den konfigurationsprecision som krävs för att tilldela användare till flera användargrupper eller kontaktgrupper. Vid standardmappning beror placering av en användare i flera grupper på en exakt konfiguration uppifrån och ned som löses korrekt i en utvärdering. Flerfaldig mappning tar bort denna begränsning genom att tillämpa alla matchande poster samtidigt, vilket stöder miljöer där användare tillhör många grupper och där konfigurationer per attribut och värde annars skulle vara svåra att genomföra i ett enda steg.
#### Flerfaldig mappning kräver aktivering via Zoom Support
Flerfaldig mappning aktiveras inte via standardgränssnittet för SSO-administration. För att aktivera funktionen måste du skicka in en [supportförfrågan](https://support.zoom.com/hc/en/contact?id=contact_us) till Zoom med en begäran om att flerfaldig mappning ska aktiveras för kontot. Tills begäran har behandlats fungerar tilldelning av användargrupp och kontaktgrupp enligt standardbeteendet för första träff.
### Avancerad mappning: Automatisk mappning
#### Automatisk mappning fungerar som en reservlösning som tilldelar användare till en användar-, kanal- eller IM-grupp som har fått namn efter deras försäkrade värde när ingen uttrycklig regel matchar
Automatisk mappning kan användas för att automatiskt tilldela användare till en användargrupp, kanal och IM-grupp som har fått namn efter deras försäkrade värde. Till skillnad från andra avancerade mappningskomponenter, som kan konfigureras för att tilldela en användare till valfri grupp baserat på värdet, tilldelar automatisk mappning alltid en användare till en grupp baserat på det exakta värdet. Om gruppen inte fanns tidigare skapas den automatiskt.
Automatisk mappning fungerar som en reservlösning och tillämpas endast när en användares försäkran inte matchar någon av de uttryckliga regler som konfigurerats i avsnitten för avancerad mappning ovan. Om en användare redan har tilldelats en grupp genom en uttrycklig regel – till exempel placerats i en användargrupp baserat på medlemskap i en säkerhetsgrupp hos identitetsleverantören – har den uttryckliga tilldelningen företräde och motsvarande regel för automatisk mappning ignoreras. I samma exempel skulle en användargrupp som automatiskt mappats från användarens avdelningsvärde inte tillämpas, eftersom den uttryckliga regeln för användargrupp redan har matchat.
Exempel på en konfiguration för automatisk mappning.
Om exempelvis automatisk mappning är inställd på att mappa en användare till grupper baserat på deras avdelning och användaren inte matchade en uttrycklig regel för den kategorin, tilldelas användare automatiskt till en grupp som matchar avdelningsnamnet om avdelningsvärdet inte redan är definierat för användargrupp, kanal eller IM-grupp, såsom visas i följande tabell:
| Attribut | Värde | Finns Zoom-gruppen redan? | Resultat |
| --------- | ------------------- | ------------------------- | ----------------------------------------------------------------------- |
| Avdelning | Personalavdelningen | Ja | Användare har lagts till i gruppen Human Resources |
| Avdelning | Marknadsföring | Ja | Användare har lagts till i gruppen Marknadsföring |
| Avdelning | Försäljning | Nej | Gruppen Försäljning skapas, användaren läggs till i gruppen Försäljning |
## Felsökning av SSO
#### Svarsloggar kan sparas för felsökning
Zoom kan spara svarsloggar från autentiseringsförsök i sju dagar efter en autentisering. Dessa svarsloggar kan vara ett ovärderligt verktyg för felsökning av konfigurations- och användarfel, utöver konfigurationer för svars-mappning. Läs avsnittet om [felsökning av fel med svarsloggar](#using-saml-response-logs-to-troubleshoot) för mer information.
{% hint style="success" %}
**Zoom-rekommendation**
Aktivera sparande av svarsloggar för att underlätta felsökning.
{% endhint %}
#### Använda svarsloggar för felsökning
Sparade svarsloggar kan vara ett ovärderligt verktyg för felsökning av konfigurations- och användarfel, utöver konfigurationer för svars-mappning. Om din Zoom SSO-konfiguration är inställd på att spara svarsloggar kan de nås via fliken [Svarslogg](https://zoom.us/account/sso/saml_logs) som finns på sidan för SSO-konfiguration under Avancerade inställningar. För att visa svarsloggar klickar du på **Visa information** bredvid ett autentiseringsförsök.
#### De flesta autentiseringar visas i svarsloggarna
De flesta misslyckade autentiseringsförsök visas på sidan med svarsloggar. Om ett autentiseringsförsök inte visas har Zoom troligen inte tagit emot en försäkran från din identitetsleverantör, eller så är sparande av svarsloggar inaktiverat.
#### Svarsloggar kan tala om ifall din konfiguration är felaktig eller ditt certifikat är inaktuellt
När sparande av svarsloggar är aktiverat skickas information från identitetsleverantören till Zoom för att autentisera identiteter för varje part. Om en försäkrad inställning eller informationssträng, som X509-certifikatet eller utfärdar-ID:t, skiljer sig från Zooms aktuella konfiguration visas ett fel som anger att informationen ”inte matchar de aktuella SSO-inställningarna”. En Zoom-administratör kan uppdatera SSO-konfigurationen så att den matchar dessa försäkrade värden, om de är korrekta, för att lösa felet.
Exempel på varningar för felaktig konfiguration.
#### Svarsloggar visar vilka värden och attribut som försäkras
Genomgång av svarsloggar kan hjälpa till att lösa konfigurationer för svars-mappning genom att verifiera vilka attribut och värden som försäkras av användare när de autentiseras. Dessa kan jämföras med konfigurationen för att säkerställa att attributen och värdena matchar.
Exempel på information som försäkras av identitetsleverantörstjänsten.
Om attribut eller värden saknas försäkras inte informationen av identitetsleverantörstjänsten. Användare som upplever detta problem rekommenderas att kontakta supporttjänsterna hos sin identitetsleverantör för ytterligare hjälp.
#### Svarsloggar innehåller en felkod och en kort förklaring vid misslyckande
Om en användare inte kan autentisera eller får ett fel innehåller svarsloggarna en felkod och en kort förklaring av felet.
Exempel på felkod och förklaring.
De flesta problem kan identifieras och lösas med hjälp av dessa felmeddelanden. Om du inte kan lösa felet kontaktar du Zoom Support för ytterligare hjälp.
#### Fel med webbspårnings-ID
Om en användare misslyckas med SSO-autentisering får de en WEB Tracking ID-felkod. Dessa koder är inte ett felmeddelande som rör ett specifikt fel, utan ett unikt logg-ID som kan granskas i Svars-mappning för att identifiera autentiseringsproblem.
Exempel på ett användarvänligt fel med en WEB Tracking ID-felkod.
För att identifiera felet går du, om svarsloggning är aktiverad, till fliken [Svarslogg](https://zoom.us/account/sso/saml_logs) som finns på sidan för SSO-konfiguration under Avancerade inställningar. Där anger du WEB-spårnings-ID:t i fältet Spårnings-ID och söker för att fylla i svarsloggen
Exempel på sökning i svarsloggen med den tidigare nämnda WEB Tracking ID-felkoden.
Svarsloggarna bör visa den mottagna försäkran samt en felkod och ett meddelande längst ned i svaret som kan användas för ytterligare felsökning.
### SCIM-fel
#### Användaren finns inte eller tillhör inte detta konto
Detta fel uppstår när en avsedd användares e-postadress inte kan etableras på grund av ett redan befintligt konto. Zoom-administratörer rekommenderas att kontakta användaren direkt och manuellt bjuda in användaren till kontot.
Exempel på ett etableringsfel.
#### Du kan inte lägga till betalda användare
Detta fel uppstår när SCIM försöker etablera en användare när det finns otillräckliga licenser på kontot. För att lösa felet måste användaren etableras som en Basic-användare, eller så måste en licens göras tillgänglig för etablering.
### Använda SCIM-loggar för att felsöka användaretablering
Zoom tillhandahåller de 100 senaste API-begärandeloggarna i [Zoom Marketplace](https://marketplace.zoom.us/). En Zoom-administratör kan använda dessa loggar för att bekräfta vilken information som skickas och tas emot via etablerings-API:er. För att komma åt loggarna loggar du in på Zoom Marketplace som Zoom-administratör och klickar på **Hantera**. På följande sida markerar du **Samtalsloggar** under **Hantering av personliga appar**. Därifrån klickar du på en post för att expandera API-loggarna och granska innehållet.
Följande bild visar ett exempel på en SCIM-begäran för användaretablering, med användarens identitets- och licensattribut markerade som referens.
Exempel på en SCIM-begäran för användaretablering.
Precis som vid svars-mappning kan Zoom endast tillämpa information som skickas från identitetsleverantören i etableringsbegäran. Använd dessa loggar för att bekräfta att användaridentitets- och licensattribut skickas från identitetsleverantören. Om förväntad information saknas i dessa försäkringar kontaktar du din identitetsleverantör för Support.
## Dataflöden och autentisering
#### SAML-autentisering
Följande diagram beskriver en användares SAML-autentiseringsflöde när en session med enkel inloggning initieras med Zoom.
Diagram över ett exempel på SAML-autentiseringsflöde.
#### OIDC-autentisering
Följande diagram beskriver en användares OIDC-autentiseringsflöde när en session med enkel inloggning initieras med Zoom.
Diagram över ett exempel på SAML-autentiseringsflöde.
#### SSO-token för webbinloggning
Efter att en användare autentiseras skapas användarens session i deras webbläsare och har som standard en livslängd på två timmar. Om användaren fortsätter att aktivt använda sin Zoom-webbsida uppdateras sessionen. Om användaren däremot inte använder sin webbsida på två timmar upphör token att gälla och användaren måste autentisera på nytt. Zoom-administratörer kan konfigurera längden på denna aktiva session på [Säkerhet](https://zoom.us/account/setting/security) sidan under Användare måste logga in igen efter en tids inaktivitet och **Ange tidsperiod för inaktivitet på webben (minuter)**.
#### Klientinloggningstoken
När en användare försöker autentisera via SSO i en klient öppnar användarens dator en webbläsare och omdirigerar dem till identitetsleverantörens inloggningssida. När en användare har autentiserats tar användarens webbläsare emot en starttoken för Zoom-klienten. När en användare klickar på knappen ”öppna” eller ”starta” använder webbläsaren URL-schemat tillsammans med starttoken för att öppna Zoom-klienten.
Zoom-klienten använder starttoken för att hämta åtkomsttoken och uppdateringstoken från Zoom-servern. Klienten använder åtkomsttoken i två timmar åt gången och använder vid utgång uppdateringstoken för att få en ny uppsättning token som lagras i klientens lokala databas. Denna uppdateringsprocess är som standard obegränsad och kan kontinuerligt växla mellan token tills en användare loggar ut eller token upphör att gälla. Zoom-administratörer kan anpassa sessionslängden på [SSO-inställningar](https://zoom.us/account/sso) sidan under [*framtvinga automatisk utloggning*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time).
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://library.zoom.com/technical-library/sv/admin-hornan/account-and-endpoint-management/sso-field-guide.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
