Guida SSO
Introduzione
L’integrazione del Single Sign-On (SSO) con Zoom offre agli amministratori opzioni di Gestione degli utenti e di sicurezza che possono semplificare la gestione dell’account. Una volta configurato, gli utenti possono autenticare la propria identità usando le credenziali della propria azienda presso il provider di identità della propria azienda invece di usare metodi di autenticazione alternativi come Oauth tramite una app di terze parti o un Nome utente e password diretti con Zoom.
Questo documento fornisce una panoramica completa delle configurazioni SSO e delle Impostazioni all’interno di Zoom, oltre a informazioni sulla risoluzione dei problemi e sulla sicurezza.
Configurazione di SSO
SSO richiede un URL personalizzato per iniziare
Un account deve avere un URL personalizzato approvato prima di configurare SSO. Una volta approvato l’URL personalizzato, gli amministratori di Zoom possono accedere alla configurazione SSO pagina tramite il sottomenu delle opzioni avanzate nel portale web. Fai riferimento al nostro articolo di Assistenza su URL personalizzati per ulteriori informazioni.
Zoom SSO funziona con qualsiasi provider di identità SAML 2.0 o OIDC
Zoom può integrarsi con qualsiasi provider di identità che supporti l'autenticazione SAML 2.0 o OpenID Connect (OIDC).
Gli amministratori di Zoom possono gestire le informazioni del profilo utente e le licenze tramite la mappatura delle risposte o integrazioni SCIM
Gli amministratori possono gestire le informazioni del profilo utente e le licenze tramite la mappatura delle risposte o richieste dell'API (interfaccia di programmazione dell'applicazione) SCIM (System for Cross-Domain Identity Management), a seconda delle funzionalità disponibili offerte dal provider di identità. Entrambi i metodi di Gestione degli utenti offrono funzionalità pressoché equivalenti per la mappatura delle informazioni del profilo e la gestione delle licenze, ma alcune mappature SCIM richiedono una configurazione manuale.
Per un elenco completo delle funzionalità SCIM, consulta la nostra documentazione dell'API SCIM.
Gli amministratori di Zoom possono gestire lo stato dell'account utente tramite SCIM, ma non SAML o OIDC
Poiché SCIM consente ai provider di identità di comunicare direttamente con Zoom in qualsiasi momento, gli account utente possono essere attivati, disattivati, creati, oppure eliminato tramite integrazioni SCIM automaticamente. Ad esempio, se l’account di un utente in Active Directory viene disabilitato o se l’applicazione non gli viene assegnata, SCIM può inviare una richiesta automatica di disattivazione dell’account dell’utente in Zoom. Questa Funzionalità dipende dalle capacità dell’applicazione SCIM del provider di identità e le funzionalità possono variare a seconda del provider.
Pochi provider di identità offrono SCIM per Zoom
Molti provider di identità non dispongono di una Integrazioni SCIM creata per Zoom come parte dei loro servizi. Gli account che utilizzano un provider di identità che non supporta SCIM con Zoom devono usare la mappatura delle risposte per la Gestione degli utenti automatizzata.
SCIM richiede un dominio associato per effettuare automaticamente il provisioning degli utenti
Account che utilizzano SCIM per gestire e effettuare il provisioning degli utenti per l'SSO deve associare il dominio e-mail a Zoom. La mancata associazione del dominio comporterà errori nel provisioning degli utenti. Fare riferimento al nostro articolo di Assistenza su Domini associati per ulteriori informazioni sul processo.
Guida alla configurazione SAML
I seguenti link includono guide per configurare SSO con SAML.
Se il provider di identità utilizzato dal tuo Business non è elencato sopra, ti խորհուրդ di cercare nella knowledge base del provider una guida alle Integrazioni specifica per Zoom. Se non ne è disponibile una, SSO può comunque essere configurato abbinando gli identificatori chiave del tuo IdP all'interno dello schermo di configurazione SSO di Zoom. Consulta il Centro assistenza di Zoom per ulteriori informazioni su un guida rapida a SSO e quali informazioni sono necessarie per completare questo processo.
Guida alla configurazione OIDC
Zoom supporta il rilevamento OIDC, che può popolare automaticamente i dettagli comuni del provider di identità, come l'emittente, l'endpoint di autorizzazione, l'endpoint del token e le chiavi di firma. Poiché OIDC si basa su valori di configurazione standardizzati, in genere non è necessaria la documentazione di Zoom specifica del provider; quando il rilevamento non è disponibile, i valori necessari possono essere inseriti manualmente.
Di conseguenza, i provider di identità OIDC conformi agli standard possono generalmente essere configurati con Zoom anche quando una guida di Integrazioni specifica del provider non è disponibile. Per ulteriori informazioni su Zoom, consultare il Centro assistenza di Zoom per ulteriori informazioni su configurazione dell'SSO OIDC.
Opzioni di configurazione aggiuntive
Zoom può supportare più URL personalizzato e/o più applicazioni del provider di identità
Gli account Zoom possono supportare più URL personalizzato, più configurazioni del provider di identità (IdP) o una combinazione di entrambi. Le configurazioni supportate includono:
Più URL personalizzato che condividono una configurazione IdP comune.
Più URL personalizzato, ciascuno con una configurazione IdP indipendente.
Un singolo URL personalizzato associato a più configurazioni IdP.
Queste configurazioni sono abilitate tramite Assistenza Zoom e non vengono configurate tramite l'interfaccia di amministrazione SSO Standard. Invia una richiesta di assistenza per Abilita questa Funzionalità, insieme all'URL personalizzato desiderato e alla configurazione IdP e al risultato di autenticazione previsto.
Active Directory locale può usare Applicativo AD Sync invece di SCIM
Gli account che desiderano automatizzare il provisioning degli utenti tramite SCIM, ma non dispongono di un provider di identità basato su cloud, possono utilizzare l'applicazione Active Directory (AD) Sync Tool sviluppata da Zoom per gestire i propri utenti. Questa applicazione viene eseguita su Oracle JDK 8 e simula il provisioning SCIM gestendo gli utenti tramite comandi API. Consulta il nostro articolo di supporto sul Applicativo AD Sync per ulteriori informazioni.
I provider di identità possono persino autenticare i partecipanti alla riunione che non hanno un account Zoom
Gli account che desiderano richiedere agli utenti di autenticare la propria identità ma non vogliono fornire account Zoom possono Configura un profilo di autenticazione esterna con il proprio provider di identità. Quando è abilitato per una riunione, gli utenti che tentano di Partecipa devono autenticare le proprie credenziali di accesso presso il provider di identità per ottenere Access. Questa è una configurazione comune per le scuole che non forniscono account a tutti gli studenti ma richiedono l'autenticazione per partecipare alle lezioni. Consulta il nostro articolo di Assistenza su configurazione dell'autenticazione esterna per ulteriori informazioni.
La Modifica del provider di identità richiede la riconfigurazione di SSO in Zoom
Gli account che stanno effettuando la Modifica del provider di identità devono rifare la configurazione SSO all'interno di Zoom. Ciò include l'aggiornamento di tutti i campi nella pagina di configurazione per farli corrispondere al nuovo provider di identità. Gli account sono invitati a confermare che le mappature delle risposte non subiranno alcuna Modifica con il nuovo provider di identità.
Non dovrebbero essere necessarie configurazioni o modifiche aggiuntive, a condizione che non vi siano ulteriori modifiche.
I Clienti con sotto-account possono Configura SSO dall'account principale o dal sotto-account
I Clienti con sotto-account hanno due opzioni per configurare SSO:
Tutti gli utenti si devono autenticare utilizzando l'URL personalizzato dell'account principale e accedono automaticamente al sotto-account tramite mappatura avanzata delle risposte (si applicano alcune limitazioni di mappatura)
Ogni sotto-account ha un URL personalizzato univoco e una configurazione SSO indipendente, utilizzata esclusivamente dai membri di quel sotto-account
Ogni configurazione offre vantaggi unici, e la seconda opzione offre la massima flessibilità. I Clienti che stanno valutando l'implementazione di una delle due configurazioni dovrebbero discutere con il proprio team account quale configurazione si adatta meglio alle loro esigenze.
Metodi di provisioning
Le modalità di provisioning e SCIM sono due meccanismi diversi e possono essere usati insieme
Provisioning Al momento dell'accesso e Prima dell'accesso sono i due valori Disponibile di una singola impostazione SSO. Stabiliscono se Zoom creerà un account per un utente al momento di autenticare, oppure richiederà che l'account esista già. SCIM non è un terzo valore di quell'impostazione — è un meccanismo separato, basato su API, che effettua il provisioning degli utenti indipendentemente dall'autenticazione, e opera insieme alla modalità di provisioning selezionata.
Al momento dell'accesso (Just-in-time)
Crea l'account quando l'utente si autentica per la prima volta
Nessuno
Sì
No
Prima dell'accesso (Pre-provisioning)
Verifica che un utente sia autorizzato ad accedere tramite SSO
Un account con il tipo di accesso SSO. Spesso usato con il provisioning SCIM.
No, ma è spesso usato con SCIM
No, ma è spesso usato con SCIM
SCIM
Sincronizza i dati dell'utente dal provider di identità secondo la propria Pianificare tramite API
supporto SCIM dell'IdP e un dominio associato
Sì
Sì, se supportato dall'IdP
Al momento dell'accesso
Il provisioning al momento dell'accesso crea l'account e il tipo di accesso SSO in un solo passaggio
Con la Al momento dell'accesso impostazione (nota anche come provisioning just-in-time), un utente a cui viene assegnata l'applicazione Zoom all'interno del provider di identità e che riceve una qualsiasi licenza Zoom supportata avrà un account creato per lui la prima volta che si autentica. Non deve esistere nulla in Zoom in anticipo. Questo la rende l'opzione più semplice da implementare, ed è il motivo per cui è consigliata quando si configura per la prima volta l'SSO su un account.
Il provisioning al momento dell'accesso è anche compatibile con SCIM — i due possono funzionare contemporaneamente. In pratica, però, SCIM di solito elimina la necessità di questa opzione, perché gli account esistono già quando un utente si autentica per la prima volta.
Prima dell'accesso
Il provisioning prima dell'accesso dipende dal fatto che qualcos'altro abbia creato prima l'account o il tipo di accesso
La Prima dell'accesso impostazione (nota anche come pre-provisioning) non esegue il provisioning di nulla automaticamente. Impone invece una condizione: un utente può autenticarsi solo se il suo account Zoom esiste già e ha il tipo di accesso SSO. Qualcos'altro deve quindi essere responsabile della creazione di quegli account, e ci sono due opzioni pratiche.
Provisioning SCIM, che crea automaticamente account dal provider di identità man mano che agli utenti viene assegnata l'applicazione.
Caricamento CSV in blocco con l' Utente SSO opzione selezionata, che crea account e applica il tipo di accesso SSO in un'unica importazione.
Ecco perché il pre-provisioning e SCIM vengono spesso associati. Il pre-provisioning stabilisce un requisito; SCIM è il meccanismo che lo soddisfa su larga scala.
Gli amministratori Zoom possono confermare se un account dispone di un tipo di accesso SSO visualizzando l'account utente nella sezione Gestione degli utenti del portale web e cercando l'icona “SSO” sotto l'e-mail dell'utente.
Se l'icona è presente, l'utente è predisposto per SSO; se l'icona non è presente, l'utente non potrà accedere tramite SSO mentre il pre-provisioning è abilitato finché non viene aggiunta. Un amministratore Zoom può aggiungere questo tipo di accesso aggiungendo utenti in blocco tramite un file CSV e selezionando l'opzione “Utente SSO”, oppure facendo autenticare l'utente mentre il provisioning all'accesso è abilitato.
SCIM
SCIM effettua il provisioning degli utenti tramite API e non asserisce mai valori di identità come SAML o OIDC
SCIM differisce dalla mappatura delle risposte in un modo che vale la pena esporre chiaramente. La mappatura delle risposte, sia tramite asserzioni SAML sia tramite attestazioni OIDC, trasporta informazioni sull'utente nell'ambito di un Evento di autenticazione. Nulla viene applicato finché l'utente non accede e le informazioni viaggiano all'interno dell'asserzione.
SCIM non trasporta alcuna asserzione o attestazione. Il provider di identità chiama direttamente l'API di Zoom secondo la propria pianificazione, inviando informazioni sull'utente indipendentemente dal fatto che l'utente abbia mai effettuato l'accesso. Questo consente a SCIM di creare, aggiornare, disattivare ed eliminare account senza il coinvolgimento dell'utente ed è il motivo per cui SCIM può gestire lo stato dell'account, mentre la mappatura delle risposte non può farlo.
SCIM è compatibile con entrambe le modalità di provisioning e viene più spesso distribuito insieme al pre-provisioning.
Consulta il Guida pratica SCIM per Entra ID e Okta per ulteriori informazioni sulla configurazione di SCIM per il tuo account con Entra ID o Okta.
Impostazioni di sicurezza
Gli amministratori Zoom possono imporre la disconnessione automatica dopo un periodo di tempo definito
Gli amministratori Zoom possono configurare Zoom affinché disconnetta automaticamente gli utenti dalle sessioni attive dopo periodi di tempo definiti, personalizzabili da 15 minuti a 180 giorni. Questo processo imposterà la scadenza del token di Access Zoom al periodo predeterminato una volta generato il token. Questo token non ha alcuna relazione con un provider di identità ed è univoco per Zoom.
Un dominio deve essere associato e gestito per imporre l'autenticazione SSO
Gli amministratori Zoom possono imporre l'autenticazione SSO solo se il dominio e-mail è associato e gestito in Zoom. Quando questa opzione è abilitata, tutti gli utenti che si autenticano utilizzando i domini della tua azienda verranno reindirizzati automaticamente alla pagina di autenticazione del provider di identità, indipendentemente dalla piattaforma.
Una volta approvato e gestito il dominio, un amministratore Zoom può imporre l'autenticazione SSO tramite la pagina di sicurezza in Metodi di accesso. Consulta il nostro articolo di Assistenza su Domini associati per ulteriori informazioni sull'associazione e sulla gestione di un dominio.
Gli utenti specificati possono essere esentati dall'autenticazione SSO imposta
Gli amministratori Zoom possono escludere utenti specifici dall'autenticazione SSO imposta. L'esclusione di utenti specifici, ad esempio un account admin, può essere utile se una configurazione SSO non funziona e un amministratore dell'account necessita di Access non SSO all'account Zoom. Gli admin esentati possono accedere ad admin.zoom.us in qualsiasi momento in caso di blocco dell'account o di configurazione SSO non funzionante (l'utente deve avere il Ruolo admin admin Ruolo). Se un admin Zoom non riesce ad accedere all'account, deve contattare l'Assistenza Zoom per ricevere assistenza.
Per abilitare un'eccezione per un utente, apri Centro admin → Sicurezza e affidabilità → scheda Generale, individua l'elenco dei domini soggetti a imposizione e aggiungi un'eccezione tramite l'elenco di modifica.
I client mobili e desktop possono essere configurati per richiedere agli utenti di utilizzare l'autenticazione SSO
I client Zoom possono essere preconfigurati per automatizzare la funzionalità SSO, incluse l'accesso automatico, la disconnessione automatica, l'autenticazione solo SSO sul Dispositivo e altro ancora tramite Criteri di gruppo, servizi di gestione dei Dispositivo mobili (MDM) e client di distribuzione di massa.
Per un elenco completo delle possibilità di configurazione, consulta le nostre opzioni di configurazione per Criteri di gruppo, iOS, Android, Mac e Windows.
Gli utenti di Office 365 possono accedere automaticamente al componente aggiuntivo Zoom per Outlook utilizzando le credenziali SSO
I Clienti che utilizzano Office 365 possono effettuare automaticamente l'accesso dei propri utenti al componente aggiuntivo Zoom per Outlook utilizzando le credenziali SSO. Questo può essere abbinato a un manifest personalizzato del componente aggiuntivo che precompila l'URL personalizzato dell'account, creando un'esperienza di autenticazione fluida per gli utenti. Questa Funzionalità utilizza il token di sessione SSO dell'utente se è Attiva, oppure richiederà una nuova autenticazione con il provider di identità se non viene trovata alcuna sessione Attiva.
Un admin Zoom può Abilita questa impostazione nell'account pagina di sicurezza sotto il avanzato menu.
Mappatura delle risposte
Nella mappatura delle risposte, attributi sono categorie di dati definite da valori, e vengono utilizzati per trasferire informazioni dal provider di identità a un fornitore di servizi come Zoom. La mappatura di attributi e valori è essenziale per automatizzare le informazioni del profilo utente e gestire le licenze utente.
La mappatura delle risposte di Zoom è suddivisa in due parti: Basic e avanzato. La mappatura Basic viene utilizzata per mappare le informazioni di base del profilo, tra cui nome, numero di telefono, reparto, ecc., mentre la mappatura avanzata viene utilizzata per gestire assegnazioni dinamiche di licenze, assegnare gruppi di utenti, ruoli utente e altro ancora.
Questa sezione copre i fondamenti della mappatura delle risposte Basic e avanzata e mette in evidenza le condizioni uniche richieste per alcune Funzionalità.
Zoom supporta la mappatura delle risposte tramite SAML e OIDC
Zoom può configurare la mappatura delle risposte tramite SAML o OIDC. Le informazioni di identità SAML vengono scambiate in asserzioni in formato XML, mentre le informazioni di identità OIDC vengono fornite tramite insiemi di chiavi Web JSON (JWK). In entrambi i casi, Zoom può utilizzare gli attributi o i claim ricevuti dal provider di identità per mappare le informazioni del profilo utente, le licenze, i gruppi e altre impostazioni dell'account supportate.
Fondamenti: Attributi e Valori
La maggior parte dei provider di identità passa le informazioni di base del profilo utilizzando semplici nomi di attributi e valori. Ad esempio, il reparto di un dipendente può arrivare con un attributo di department e un valore di Human Resources. La tabella seguente mostra la relazione tra attributi e valori quando si trasmettono informazioni su un utente.
nome
John
cognome
Smith
john.smith@companydomain.com
reparto
Risorse Umane
Assegnando correttamente un attributo a una mappatura delle risposte, le informazioni dell'utente possono essere applicate automaticamente a un profilo utente per semplificare il processo di creazione e gestione dell'account.
Basic Mapping: Informazioni del profilo
Basic Mapping viene utilizzata per applicare informazioni del profilo come nome, cognome, reparto, numero di telefono, centro di costo e Posizione da una directory al profilo di un utente. Molte di queste categorie sono autoesplicative e possono essere configurate facilmente; tuttavia, alcune categorie richiedono una spiegazione per una configurazione corretta, al fine di bloccare conseguenze impreviste o errori dell'applicazione. La sezione seguente evidenzia opzioni di mappatura uniche e impostazioni di configurazione per la mappatura di base. Fai riferimento al nostro articolo su Basic Mapping per un elenco completo degli attributi supportati.
Il tipo di licenza predefinito si applica solo a utenti appena creati
L'opzione del tipo di licenza predefinito applicherà la licenza designata a tutti i nuovi utenti che vengono provisionati nell'account tramite autenticazione iniziale. Ciò non si applica agli utenti che si autenticano per una seconda volta, agli utenti che sono stati consolidati nell'account da un account precedente, agli utenti che vengono provisionati tramite SCIM o agli utenti che sono stati invitati manualmente.
Per informazioni su aggiornare le licenze utente con autenticazione, fai riferimento alla configurazione della licenza in Mappatura avanzata.
Un tipo di licenza predefinito di Nessuno non consentirà ai nuovi utenti di autenticarsi, a meno che la mappatura avanzata non sia configurata per assegnare una licenza
Gli utenti Zoom devono avere un tipo di licenza assegnato (Non assegnato senza Zoom Meetings Basic, Zoom Workplace, ecc.) per accedere al servizio Zoom. Se viene selezionato un tipo di licenza predefinito Nessuno, i nuovi utenti non possono accedere né creare un nuovo account a meno che non ricevano una licenza tramite Mappatura avanzata.
La maggior parte delle mappature di base verrà riapplicata all'accesso, salvo diversa indicazione
La maggior parte delle mappature di base verrà aggiornata ogni volta che un utente accede, per predefinito, tranne per nome, cognome, nome da mostrare e numero di telefono. Per predefinito, queste quattro mappature si applicheranno solo la prima volta che un utente si autentica e non verranno applicate di nuovo, anche se aggiornate da un utente o admin. Gli amministratori di Zoom possono Modifica questo comportamento abilitando l'opzione per Aggiorna a ogni accesso SSO nella pagina di mappatura della risposta.
Le mappature dei Numeri telefonici dovrebbero includere un prefisso del paese e un prefisso locale se si trovano al di fuori degli Stati Uniti
I Numeri telefonici mappati tramite asserzioni dovrebbero includere il prefisso del paese e il prefisso locale dell'utente, quando possibile. Zoom assumerà un prefisso del paese di +1 se non definito, per predefinito.
Gli account che non conservano i codici paese nella loro directory possono modificare le proprie asserzioni nel proprio provider di identità per includerli automaticamente, se necessario.
Ogni utente può avere fino a tre Numeri telefonici e un numero di fax associati al proprio profilo
Gli amministratori di Zoom possono Configura fino a tre Numeri telefonici separati e una mappatura di un numero di fax per ogni utente. Ogni numero di telefono deve essere univoco e non può duplicare il valore di un altro campo.
Le immagini del profilo devono essere mappate da un URL accessibile pubblicamente oppure codificate in Base64
Gli account che desiderano mappare le immagini del profilo dalla propria directory devono mappare le immagini utilizzando un URL accessibile pubblicamente oppure codificare l'immagine in Base64 quando si effettua l'asserzione.
identificativo univoco del dipendente
L'identificativo univoco del dipendente Modifica l'identificativo principale che Zoom usa per identificare gli utenti e aiuta a bloccare gli account utente duplicati dopo una Modifica dell'e-mail
La identificativo univoco del dipendente è una Funzionalità offerta da Zoom per assistere nella gestione dell'identità. Per impostazione predefinita, l'identificazione principale per un utente Zoom è la sua e-mail indirizzo e-mail. Questo significa che, se il tipo di accesso e-mail di lavoro è john.smith@company.com, quindi Zoom identificherà sempre questo utente tramite quell'indirizzo di posta elettronica. Questo identificativo consente alle integrazioni come SSO o agli account OAuth di Facebook e Google di associare l'utente allo stesso account Zoom.
Tuttavia, questo processo di identificazione può essere problematico se il nome o l'e-mail di un utente cambia. Ad esempio, se john.smith@company.com ha una Modifica e-mail a jonathan.smith@company.com, Zoom non può determinare in modo sicuro che si tratti della stessa persona (perché l'identificativo fondamentale è diverso), quindi Zoom creerà un nuovo account la prima volta jonathan.smith@company.com accede.
Per semplificare questo problema, Zoom offre la Funzionalità Unique Dipendente ID, che cambia l'identificativo principale di un utente dal suo indirizzo e-mail a un ID univoco stabilito. Questo non Modifica il Nome utente Zoom dell'utente, ma invece offre un attributo identificativo alternativo. Questa Modifica consente a Zoom di aggiornare dinamicamente l'indirizzo e-mail di un utente all'interno di Zoom se:
a nuovo indirizzo e-mail è accompagnato da un ID univoco del dipendente noto; e
il dominio e-mail dell’utente interessato è associato all’interno di Zoom
Ad esempio, se john.smith@company.com esegue l'autenticazione e passa un valore di 12345 (il proprio numero dipendente) per l'attributo ID univoco del dipendente, Zoom identificherà ora l'utente nell'account in base al valore dichiarato. Se John esegue nuovamente l'autenticazione usando l'e-mail jonathan.smith@company.com pur continuando a passare l'ID univoco del dipendente 12345, Zoom identificherà che john.smith@company.com ora è jonathan.smith@company.com e aggiornerà dinamicamente l'e-mail dell'utente nell'account se il dominio è associato.
Gli amministratori delle identità dovrebbero essere positivi che non vi siano due utenti con lo stesso valore di ID univoco del dipendente prima di stabilire una mappatura per questa categoria. Se un altro utente esegue l'autenticazione e trasmette lo stesso valore, l'e-mail verrà nuovamente aggiornata al nuovo utente e ciò può causare notevoli interruzioni ai servizi e all'esperienza utente.
La Funzionalità ID univoco del dipendente richiede Domini associati per modificare l'e-mail di un utente
La Funzionalità ID univoco del dipendente non può aggiornare l'indirizzo e-mail di un utente a meno che il dominio e-mail non sia ufficialmente associato al tuo profilo dell'account. Consulta il nostro articolo di assistenza su Domini associati per ulteriori informazioni.
Gli amministratori e i Titolari non possono aggiornare la propria e-mail tramite l'ID univoco del dipendente
Le e-mail di admin e Titolare in Zoom non possono essere aggiornate tramite la Funzionalità ID univoco del dipendente. Questa misura è intesa come misura di sicurezza per bloccare l'Access non autorizzato. Gli amministratori e i Titolari devono modificare la propria e-mail tramite la pagina del proprio profilo.
Le e-mail degli utenti possono essere aggiornate solo una volta al giorno tramite l'ID univoco del dipendente
Le e-mail degli utenti possono essere aggiornate solo una volta ogni 24 ore tramite la Funzionalità ID univoco del dipendente. Un utente deve attendere un intero giorno di calendario dall'aggiornamento precedente prima di aggiornare nuovamente la propria e-mail tramite SSO.
L'impostazione dell'attributo su <NameID> utilizzerà il NameID dichiarato dell'utente
Mappatura dell'attributo ID univoco del dipendente a <NameID> utilizzerà automaticamente il valore NameID asserito dell'utente come identificativo univoco. Può essere uno strumento utile se il provider di identità asserisce un NameID diverso dall'e-mail dell'utente, ad esempio un User Principal Name (UPN) o un valore simile che non subisce Modifica. Non utilizzare questo valore se i NameID degli utenti corrispondono ai loro indirizzi e-mail.
Mappatura avanzata: licenze e Aggiungi-on
La sezione Advanced Information Mapping può applicare dinamicamente licenze (incluso Zoom Phone), componenti aggiuntivi e gruppi di Access utente agli utenti man mano che devono autenticare. A differenza del Basic mapping, il mapping avanzato contiene molte sfumature che possono richiedere un'attenzione diligente durante la configurazione, a seconda della complessità del tuo ambiente. Questa sezione evidenzia le sfumature per configurare il mapping di risposta avanzato. Consulta il nostro Articolo di mappatura avanzata per un elenco completo degli attributi supportati.
La mappatura avanzata si applica ogni volta che un utente si autentica
A differenza della mappatura di base, che ha aggiornamenti Facoltativo per alcune categorie, le configurazioni di mappatura avanzata verranno applicate ogni volta che un utente si autentica, secondo l'ordine di applicazione dall'alto verso il basso.
Ad esempio, se un utente ha una licenza Basic e poi si autentica tramite SSO passando un attributo e un valore mappati per concedere una licenza completa, all’utente verrà immediatamente concessa la licenza completa. Se il profilo dell’utente viene quindi modificato all’interno del provider di identità per riportarlo a una licenza Basic, la licenza Basic verrà riassegnata quando si riautenticheranno in Zoom.
La mappatura avanzata consente più attributi e valori per categoria
A differenza della mappatura di base, che consente un solo attributo per categoria, la mappatura avanzata può supportare più attributi e valori per ciascuna categoria. Ciò offre una notevole flessibilità nella gestione delle licenze utente e dell'accesso tramite gruppi di sicurezza all'interno del provider di identità, come mostrato nella seguente configurazione.
La mappatura avanzata applica le licenze dall'alto verso il basso quando vengono dichiarati più attributi
Se un utente passa più attributi o valori configurati per la mappatura avanzata, Zoom mapperà le licenze dall'alto verso il basso. Vedi il seguente esempio:
In base alla configurazione sopra, se un utente dovesse passare un attributo per entrambi global_users e marketing, perché marketing è il più alto nella configurazione, questo attributo verrà applicato all'utente e i restanti attributi applicabili verranno ignorati.
In alternativa, se la configurazione è stata impostata con global_users come il più alto, come mostrato nella schermata seguente, se l'asserzione di un utente conteneva global_users, marketing, umano risorse, e IT, perché global_users ha la priorità più alta, verrà assegnata solo una licenza basic.
Gli amministratori Zoom possono regolare l'ordine di applicazione durante la modifica dei valori di mappatura usando le frecce ↑↓ nell'editor.
Le mappature webinar e Grande riunione possono condividere un valore comune per applicare entrambi i componenti aggiuntivi
Per semplificare il processo di applicazione, gli amministratori Zoom possono configurare lo stesso attributo e valore due volte per applicare sia i componenti aggiuntivi webinar sia quelli di Grande riunione agli utenti, come mostrato nella seguente immagine con il global_users valore. Questi componenti aggiuntivi possono anche essere configurati in modo indipendente, se desiderato, come mostrato con il solo_webinar e solo_grande_riunione valori.
Gli utenti specificati e i Gruppi utente possono essere esentati da mappature specifiche
Ogni opzione in Mappatura avanzata può essere Configura per esentare utenti specifici e gruppi di utenti dal comportamento di mappatura. Questo può essere utile per evitare che gli utenti VIP subiscano un'interruzione del servizio a causa di una potenziale Modifica nella licenza.
Zoom supporta fino a cinque attributi personalizzati
Gli amministratori di Zoom possono Configura fino a cinque attributi personalizzati per aggiungere dati dell'utente al proprio profilo Zoom sotto la Gestione degli utenti avanzata pagina. Dopo aver aggiunto i campi personalizzati, gli amministratori di Zoom possono Configura la mappatura sulla Mappatura delle risposte pagina.
La mappatura degli utenti a un sotto-account farà solo applicare una licenza per riunione e componenti aggiuntivi
La mappatura di un utente a un sotto-account applicherà solo la licenza per riunione e i componenti aggiuntivi dell'utente, come Webinar e Large Meetings, al sotto-account. I Gruppi utente, i Gruppi IM, i Ruoli utente, ecc. non si applicheranno e devono essere configurati all'interno del sotto-account.
I Clienti che richiedono maggiore flessibilità per la mappatura delle risposte con i sotto-account avranno bisogno di un URL personalizzato univoco e di una nuova configurazione SSO all'interno del sotto-account.
Mappatura avanzata: assegnazione di utenti e gruppi di contatto
L'assegnazione dei Gruppi utente e dei Gruppi di contatto è l'unica area della mappatura avanzata che opera in due modalità distinte: mappatura standard e multi-mappatura.
Mappatura standard applica una singola corrispondenza. Un amministratore può configurare molte coppie attributo-valore, ma quando un utente si autentica, solo la prima voce corrispondente ha effetto e le restanti vengono ignorate. Raggiungere un risultato specifico dipende quindi da una configurazione precisa ed esatta. Questo è il comportamento predefinito per tutti gli account.
Multi-mappatura è una modalità facoltativa che applica ogni corrispondenza. Una singola autenticazione può corrispondere a più attributi e valori contemporaneamente, assegnando l'utente a più gruppi in un'unica passata. Questo la rende particolarmente adatta agli account con strutture di gruppi complesse che collocano gli utenti in un'ampia varietà di Gruppi utente e Gruppi di contatto. La multi-mappatura deve essere abilitata tramite Assistenza Zoom.
La mappatura standard assegna un utente al primo Gruppo utente o Gruppo di contatto corrispondente
Nella mappatura standard, quando l'asserzione di un utente corrisponde a più valori configurati all'interno della categoria Gruppo utente o Gruppo di contatto, Zoom applica solo la voce corrispondente più in alto nella configurazione. Le voci vengono valutate dall'alto verso il basso e viene applicata la prima corrispondenza. Tutte le altre corrispondenze all'interno di quella categoria vengono ignorate.
Ad esempio, in una configurazione contenente venti coppie attributo-valore mappate a Gruppi utente diversi, un utente la cui asserzione corrisponde a diverse di queste coppie viene inserito solo nel gruppo associato alla voce corrispondente più alta.
Un singolo valore può aggiungere un utente a più gruppi, e il primo gruppo aggiunto diventa il Gruppo primario
Gli amministratori Zoom possono configurare la mappatura dei Gruppi utente per aggiungere un utente a più gruppi con un solo valore. Questo comportamento si applica sia alla mappatura standard sia alla multi-mappatura.
Il primo gruppo utente aggiunto verrà impostato come Gruppo primario dell'utente e determinerà le impostazioni predefinite dell'utente a meno che un gruppo sottostante non abbia un'impostazione bloccata. Per ulteriori informazioni sui Gruppi utente, consulta il nostro articolo di supporto.
Nell'immagine seguente, se un utente passava i valori per Leadership, Risorse Umane, e Regolamentato, verrebbero inseriti solo nei gruppi per Leadership, perché è la prima corrispondenza e non si applicano ulteriori corrispondenze.
La multi-mappatura assegna un utente a ogni Gruppo utente e Gruppo di contatto corrispondente, fino a 50 corrispondenze di regole
Quando la multi-mappatura è abilitata, Zoom applica ogni voce corrispondente all'interno delle categorie Gruppo utente e Gruppo di contatto invece della sola corrispondenza più alta. Lo stesso attributo può essere configurato fino a cinquanta volte e ogni valore configurato che corrisponde a un'asserzione inserisce l'utente nel gruppo associato.
Questo significa che un singolo attributo passato con cinquanta valori distinti, ciascuno mappato a un gruppo diverso, può inserire un utente in tutti e cinquanta i gruppi in una sola autenticazione. Ciò consente una relazione uno-a-uno tra i gruppi di sicurezza del provider di identità e i gruppi Zoom, in modo che aggiungere un utente a un gruppo di sicurezza all'interno del provider di identità lo assegni al corrispondente gruppo Zoom alla successiva autenticazione.
Nell'immagine seguente, se un utente passava i valori per leadership, testing, IA, e risorse_umane con la multi-mappatura abilitata, l'utente verrebbe inserito in tutti i gruppi utente, perché Zoom applicherà le prime 50 corrispondenze di regole quando la multi-mappatura è abilitata.
La designazione di Gruppo primario non viene influenzata dalla modalità di mappatura. Sia nella mappatura standard sia nella multi-mappatura, il primo gruppo corrispondente aggiunto diventa il Gruppo primario dell'utente, a meno che un gruppo sottostante non abbia un'impostazione bloccata.
La multi-mappatura semplifica l'assegnazione dei gruppi in ambienti enterprise di grandi dimensioni
La multi-mappatura riduce la precisione di configurazione richiesta per assegnare gli utenti a più Gruppi utente o Gruppi di contatto. Nella mappatura standard, inserire un utente in diversi gruppi dipende da una configurazione esatta dall'alto verso il basso che si risolve correttamente in una sola valutazione. La multi-mappatura rimuove questo vincolo applicando tutte le voci corrispondenti in una volta sola, supportando così ambienti in cui gli utenti appartengono a molti gruppi e in cui configurazioni per attributo e per valore sarebbero altrimenti difficili da eseguire in un'unica passata.
La multi-mappatura richiede l'attivazione tramite Assistenza Zoom
La multi-mappatura non viene abilitata tramite l'interfaccia di amministrazione SSO standard. L'abilitazione della funzionalità richiede l'invio di una richiesta di assistenza a Zoom chiedendo che la multi-mappatura venga attivata per l'account. Fino a quando la richiesta non viene elaborata, l'assegnazione dei Gruppi utente e dei Gruppi di contatto opera secondo il comportamento standard della prima corrispondenza.
Mappatura avanzata: mappatura automatica
La mappatura automatica funge da fallback e assegna gli utenti a un gruppo Utente, Canale o IM denominato in base al valore asserito quando non corrisponde alcuna regola esplicita
La mappatura automatica può essere usata per assegnare automaticamente gli utenti a un Gruppo utente, Canale e Gruppo IM denominato in base al valore asserito. A differenza degli altri componenti di mappatura avanzata, che possono essere configurati per assegnare un utente a qualsiasi gruppo in base al valore, la mappatura automatica assegna sempre un utente a un gruppo in base al valore esatto. Se il gruppo non esisteva in precedenza, verrà creato automaticamente.
La mappatura automatica funziona come fallback e si applica solo quando l'asserzione di un utente non corrisponde ad alcuna delle regole esplicite configurate nelle sezioni di mappatura avanzata sopra. Se a un utente è già stato assegnato un gruppo tramite una regola esplicita — ad esempio, inserendolo in un Gruppo utente in base all'appartenenza a un gruppo di sicurezza del provider di identità — tale assegnazione esplicita ha la precedenza e la relativa regola di mappatura automatica viene ignorata. Nello stesso esempio, non si applicherebbe un Gruppo utente mappato automaticamente dal valore del dipartimento dell'utente, perché la regola esplicita del Gruppo utente ha già trovato corrispondenza.
Ad esempio, se la mappatura automatica è impostata per mappare un utente nei gruppi in base al dipartimento e l'utente non ha corrisposto a una regola esplicita per quella categoria, allora, se il valore del dipartimento non è già definito per il Gruppo utente, Canale o Gruppo IM, gli utenti verranno assegnati automaticamente a un gruppo che corrisponde al nome del loro dipartimento, come mostrato nella tabella seguente:
Dipartimento
Risorse Umane
Sì
Utente aggiunto al gruppo Risorse umane
Dipartimento
Marketing
Sì
Utente aggiunto al gruppo Marketing
Dipartimento
Vendite
No
Il gruppo Vendite viene creato, utente aggiunto al gruppo Vendite
Risoluzione dei problemi SSO
I log delle risposte possono essere salvati per la risoluzione dei problemi
Zoom può salvare i log delle risposte dei tentativi di autenticazione per sette giorni dopo un'autenticazione. Questi log delle risposte possono essere uno strumento preziosissimo per la risoluzione dei problemi di configurazione e degli errori utente, oltre alle configurazioni di mappatura delle risposte. Consulta la sezione su la risoluzione degli errori con i log delle risposte per ulteriori informazioni.
Utilizzo dei log delle risposte per la risoluzione dei problemi
I log delle risposte salvati possono essere uno strumento preziosissimo per la risoluzione dei problemi di configurazione e degli errori utente, oltre alle configurazioni di mappatura delle risposte. Se la configurazione SSO di Zoom è impostata per salvare i log delle risposte, questi possono essere accessibili tramite la scheda Log delle risposte disponibile nella pagina di configurazione SSO in Impostazioni avanzate. Per visualizzare i log delle risposte, fai clic su Visualizza dettagli accanto a un tentativo di autenticazione.
La maggior parte delle autenticazioni viene visualizzata nei log delle risposte
La maggior parte dei tentativi di autenticazione falliti o non riusciti viene visualizzata nella pagina dei log delle risposte. Se un tentativo di autenticazione non viene visualizzato, molto probabilmente Zoom non ha ricevuto un'asserzione dal tuo provider di identità oppure il salvataggio dei log delle risposte è disabilitato.
I log delle risposte possono indicarti se la tua configurazione è errata o se il tuo certificato è obsoleto
Quando il salvataggio dei log delle risposte è abilitato, le informazioni del provider di identità vengono dichiarate a Zoom per autenticare le identità di ciascuna parte. Se un'impostazione dichiarata o una stringa di informazioni, come il certificato X509 o l'ID dell'emittente, è diversa dalla configurazione corrente di Zoom, verrà visualizzato un errore che segnala che le informazioni “non corrispondono alle impostazioni SSO correnti”. Un amministratore Zoom può aggiornare la configurazione SSO in modo che corrisponda a questi valori dichiarati, se sono corretti, per risolvere l'errore.
I log delle risposte ti indicano quali valori e attributi vengono dichiarati
La revisione dei log delle risposte può aiutare a risolvere le configurazioni di mappatura delle risposte verificando quali attributi e valori vengono dichiarati dagli utenti mentre si autenticano. Questi possono essere confrontati con la configurazione per assicurarsi che attributi e valori corrispondano.
Se attributi o valori mancano, le informazioni non vengono dichiarate dal servizio del provider di identità. Gli utenti che riscontrano questo problema sono invitati a contattare i servizi di supporto del proprio provider di identità per ulteriore assistenza.
I Log delle risposte includono un codice di errore e una breve spiegazione, se l'operazione non ha successo
Se un utente non riesce ad autenticarsi o riceve un errore, i log delle risposte contengono un codice di errore e una breve spiegazione dell'errore.
La maggior parte dei problemi può essere identificata e risolta utilizzando questi messaggi di errore. Se non riesci a risolvere l'errore, contatta Assistenza Zoom per ulteriore supporto.
Errori dell'ID di tracciamento WEB
Se un utente non riesce ad autenticarsi SSO, riceverà un codice di errore WEB Tracking ID. Questi codici non sono un messaggio di errore relativo a un errore specifico, ma piuttosto un ID di log univoco che può essere esaminato nella Mappatura delle risposte per identificare i problemi di autenticazione.
Per identificare l'errore, se la registrazione delle risposte è abilitata, vai alla scheda Log delle risposte scheda disponibile nella pagina di configurazione SSO in Impostazioni avanzate. Da lì, inserisci l'ID di tracciamento WEB nel campo ID di tracciamento e cerca per popolare il log delle risposte
I log delle risposte dovrebbero mostrare l'asserzione ricevuta e un codice di errore e un messaggio nella parte inferiore della risposta, che possono essere usati per ulteriori attività di risoluzione dei problemi.
Risoluzione dei problemi SCIM
Errori
L'utente non esiste o non appartiene a questo account
Questo errore si verifica quando l'indirizzo e-mail di un utente target non riesce a essere provisionato a causa di un account già esistente. Gli amministratori Zoom sono incoraggiati a contattare direttamente l'utente e a invitarlo manualmente nell'account.
Non puoi aggiungere utenti a pagamento
Questo errore si verifica quando SCIM tenta di provisionare un utente quando nell'account ci sono licenze insufficienti. Per risolvere l'errore, l'utente deve essere provisionato come utente Basic, oppure deve essere resa disponibile una licenza per il provisioning.
Uso dei log SCIM per risolvere i problemi di provisioning degli utenti
Zoom fornisce i 100 log più recenti delle richieste API nel Zoom Marketplace. Un amministratore Zoom può usare questi log per confermare quali informazioni vengono inviate e ricevute tramite le API di provisioning. Per accedere ai log, accedi a Zoom Marketplace come amministratore Zoom e fai clic su Gestisci. Nella pagina seguente, seleziona Registri delle chiamate in Gestione app personali. Da lì, fai clic su una voce per espandere i log API e rivederne i contenuti.
L'immagine seguente mostra un esempio di una richiesta di provisioning SCIM per un utente, con gli attributi di identità e di licenza dell'utente evidenziati come riferimento.
Come per il mapping delle risposte, Zoom può applicare solo le informazioni inviate dal provider di identità nella richiesta di provisioning. Usa questi log per confermare che gli attributi di identità e di licenza dell'utente vengano inviati dal provider di identità. Se le informazioni previste mancano da queste asserzioni, contatta il tuo provider di identità per ricevere assistenza.
Flussi di dati e autenticazione
Autenticazione SAML
Il diagramma seguente illustra in dettaglio il flusso di autenticazione SAML di un utente quando avvia una sessione di single sign-on con Zoom.
Autenticazione OIDC
Il diagramma seguente illustra in dettaglio il flusso di autenticazione OIDC di un utente quando avvia una sessione di single sign-on con Zoom.
Token di accesso web SSO
Dopo che un utente si autentica, la sessione dell'utente viene creata all'interno del browser e ha una durata predefinita di due ore. Se l'utente continua a usare attivamente la propria pagina web Zoom, la sessione verrà aggiornata; tuttavia, se l'utente non usa la propria pagina web per due ore, il token scadrà e l'utente dovrà autenticarsi di nuovo. Gli amministratori Zoom possono configurare questa durata della sessione attiva nella Sicurezza pagina sotto gli utenti devono accedere di nuovo dopo un periodo di inattività e Imposta il periodo di inattività sul web (minuti).
Token di accesso client
Quando un utente tenta di autenticarsi tramite SSO all'interno di un client, il computer dell'utente aprirà un browser web e lo reindirizzerà alla pagina di accesso del provider di identità. Dopo che un utente si autentica, il browser dell'utente riceverà un token di avvio del client Zoom. Una volta che l'utente fa clic sul pulsante "open" o "launch", il browser usa lo schema URL combinato con il token di avvio per aprire il client Zoom.
Il client Zoom utilizzerà il token di avvio per ottenere il token di accesso e il token di refresh dal server Zoom. Il client utilizzerà il token di accesso per una durata di due ore alla volta e, alla scadenza, userà il token di refresh per ottenere un nuovo insieme di token, che vengono archiviati nel database locale del client. Questo processo di refresh è illimitato per impostazione predefinita e può continuare a ciclare tra i token finché un utente non esegue il logout o i token non scadono. Gli amministratori Zoom possono personalizzare la durata della sessione nella impostazioni SSO pagina sotto forza la disconnessione automatica.
Ultimo aggiornamento
È stato utile?