> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/sv/adminhornan/account-and-endpoint-management/sso-field-guide.md).
# Fältguide för SSO
## Introduktion
Genom att integrera enkel inloggning (SSO) med Zoom får administratörer användarhantering och säkerhetsalternativ som kan förenkla kontohantering. När det har konfigurerats autentiserar användare sig med sina företagsuppgifter mot företagets identitetsleverantör i stället för att använda alternativa metoder för autentisering som OAuth via en app från tredje part eller ett direkt användarnamn och lösenord med Zoom.
Detta dokument ger en omfattande översikt över SSO-konfigurationer och inställningar i Zoom, utöver felsöknings- och säkerhetsinformation.
## Konfigurera SSO
#### SSO kräver en anpassad URL för att komma igång
Ett konto måste ha en godkänd anpassad URL innan SSO konfigureras. När den anpassade URL:en har godkänts kan Zoom-administratörer komma åt [SSO-konfiguration](https://zoom.us/account/sso) sidan via undermenyn för avancerade alternativ i webbportalen. Se vår Supportartikel om [anpassade URL:er](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) för mer information.
#### Zoom SSO fungerar med valfri SAML 2.0- eller OIDC-identitetsleverantör
Zoom kan integreras med vilken identitetsleverantör som helst som stöder Security Assertion Markup Language (SSML) 2.0 eller OpenID Connect (OIDC) autentisering.
#### Zoom-administratörer kan hantera användareprofilinformation och licensiering via svarsmappning eller SCIM-integrationer
Administratörer kan hantera information om användarprofiler och licensiering via svarsmappning eller System for Cross-Domain Identity Management (SCIM) Applikation Programming Interface (API)-begäranden, beroende på de tillgängliga funktionerna från identitetsleverantören. Båda användarhanteringsmetoderna erbjuder nästan likvärdig funktionalitet för kartläggning av profilinformation och licenshantering, men vissa SCIM-kartläggningar kräver manuell konfiguration.
För en omfattande lista över SCIM-funktioner, se vår [SCIM API-dokumentation](https://developers.zoom.us/docs/api/?ampDeviceId=157cfe5d-7f7a-45eb-afb0-efde5a7d3feb\&SessionId=1778697171616).
#### Zoom-administratörer kan hantera status för användare och konto via SCIM, men inte via SAML eller OIDC
Eftersom SCIM gör det möjligt för identitetsleverantörer att kommunicera direkt med Zoom när som helst kan användarkonton för användare vara *aktiverad*, *inaktiverad*, *skapad*, eller *raderad* genom SCIM-integreringar automatiskt. Till exempel, om ett användarkonto i Active Directory är inaktiverat, eller om de inte har tilldelats applikationen, kan SCIM skicka en automatisk avaktiveringsbegäran för användarens konto inom Zoom. Den här funktionen är beroende av möjligheterna i identitetsleverantörens SCIM-applikation och funktionaliteten kan variera mellan leverantörer.
#### Ett begränsat antal identitetsleverantörer erbjuder SCIM för Zoom
Många identitetsleverantörer har inte SCIM-integreringar byggda för Zoom som en del av sina tjänster. Konton som använder en identitetsleverantör som inte stöder SCIM med Zoom måste använda svarsmappning för automatiserad användarhantering.
#### SCIM kräver en associerad domän för att automatiskt provisionera användare
Konton som använder SCIM för att hantera och provisionera användare för SSO **måste** associera e-postdomänen med Zoom. Om domänen inte associeras kommer det att leda till fel vid användarprovisionering. Se vår Supportartikel om [kopplade domäner](https://support.zoom.us/hc/en-us/articles/203395207) för mer information om processen.
### SAML-konfigurationsguide
Följande länkar innehåller guider för att konfigurera SSO med SAML.
{% hint style="success" %}
**Zoom-tips**
Klicka på ✔ i kolumnen Leverantör eller Zoom-dokumentation för att öppna instruktionerna i ett nytt fönster.
{% endhint %}
Om den identitetsleverantör som ditt Business använder inte finns listad ovan rekommenderar vi att du söker i leverantörens kunskapsbas efter en Zoom-specifik guide för integreringar. Om en sådan inte är tillgänglig kan SSO fortfarande konfigureras genom att matcha nyckelidentifierare från din IdP i Zooms skärm för SSO-konfiguration. Se Zooms supportcenter för mer information om en [snabbstartsguide för SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0060673) och vilken information som krävs för att slutföra denna process.
### OIDC-konfigureringsguide
Zoom stöder OIDC-discovery, som automatiskt kan fylla i vanliga uppgifter om identitetsleverantören såsom utfärdare, auktoriseringsändpunkt, tokenändpunkt och signeringsnycklar. Eftersom OIDC bygger på standardiserade konfigurationsvärden krävs vanligtvis ingen Zoom-dokumentation som är specifik för leverantören; när discovery inte är tillgängligt kan de nödvändiga värdena anges manuellt.
Som ett resultat kan standardkompatibla OIDC-identitetsleverantörer vanligtvis konfigureras med Zoom även när en leverantörsspecifik guide för integreringar inte finns tillgänglig. Se Zooms supportcenter för mer information om [konfigurering av OIDC SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0083701).
### Ytterligare konfigurationsalternativ
#### Zoom kan stödja flera anpassad URL:er och/eller flera applikationer för identitetsleverantörer
Zoom-konton kan stödja flera anpassad URL:er, flera identitetsleverantörs (IdP)-konfigurationer eller en kombination av båda. Följande konfigurationer stöds:
* Flera anpassad URL:er som delar en gemensam IdP-konfiguration.
* Flera anpassad URL:er, var och en med en oberoende IdP-konfiguration.
* En enskild anpassad URL kopplad till flera IdP-konfigurationer.
Dessa konfigurationer aktiveras via Zoom Support och konfigureras inte via standard SSO-administrationsgränssnittet. Skicka in en [Supportärende](https://support.zoom.com/hc/en/contact?id=contact_us) för att aktivera den här funktioner, tillsammans med den önskade anpassad URL och IdP-konfigurationen samt det avsedda autentisering-resultatet.
{% hint style="info" %}
**Notera**
OIDC-autentisering stöder för närvarande inte flera Vanity-URL:er eller IdP:er. Om du är osäker på om detta gäller dig, prata med teamet för ditt Zoom-konto för mer information.
{% endhint %}
#### On-premises Active Directory kan använda AD Sync-verktyg i stället för SCIM
Konton som vill automatisera användare-provisionering via SCIM men som inte har en molnbaserad identitetsleverantör kan använda Active Directory (AD) synkronisera Tool applikation utvecklad av Zoom för att hantera sina användare. Denna applikation körs på Oracle JDK 8 och simulerar SCIM-provisionering genom att hantera användare via API-kommandon. Se vår Supportartikel om den [AD Sync-verktyg](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) för mer information.
{% hint style="success" %}
**Zoom-rekommendation**
AD Sync-verktyg kräver exakt konfiguration för användarhantering. Grundlig testning och granskning av verktygets konfiguration krävs innan fullständig implementering för att undvika driftstörningar.
{% endhint %}
#### Identitetsleverantörer kan till och med autentisera mötesdeltagare som inte har ett Zoom-konto
Konton som vill kräva att användare autentiserar sin identitet men inte vill tillhandahålla Zoom-konton kan konfigurera en extern autentiseringsprofil med sin identitetsleverantör. När detta är aktiverat för ett möte måste användare som försöker gå med autentisera sina inloggningsuppgifter mot din identitetsleverantör för att få Access. Detta är en vanlig konfiguration för skolor som inte tillhandahåller konton till alla elever men kräver autentisering för att gå med i klasser. Se vår supportartikel om [konfigurera extern autentisering](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) för mer information.
#### Att ändra identitetsleverantören kräver att SSO konfigureras på nytt i Zoom
Konton som ändrar identitetsleverantör måste göra om sin SSO-konfiguration i Zoom. Detta inkluderar att uppdatera alla fält på konfigurationssidan så att de matchar deras nya identitetsleverantör. Konton uppmuntras att bekräfta att svarsmappningarna inte kommer att ändras med den nya identitetsleverantören.
Inga ytterligare konfigurationer eller ändringar bör krävas, förutsatt att det inte görs några fler ändringar.
#### Kunder med underkonton kan konfigurera SSO från huvudkonto eller underkonto
Kunder med underkonton har två alternativ för att konfigurera SSO:
1. Alla användare autentiseras med huvudkonto och anpassad URL och loggas automatiskt in i underkontot genom avancerad svarsmappning ([vissa mappningsbegränsningar gäller](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons))
2. Varje underkonto har en unik anpassad URL och oberoende SSO-konfiguration, som endast används av medlemmar i det underkontot
Varje konfiguration erbjuder unika fördelar, där det andra alternativet erbjuder mest flexibilitet. Kunder som överväger att implementera någon av konfigurationerna bör diskutera med sitt kontoteam vilken konfiguration som bäst passar deras behov.
## Provisioneringsmetoder
#### Provisioneringslägen och SCIM är två olika mekanismer, och de kan användas tillsammans
Provisionering *Vid inloggning* och *Före inloggning* är de två tillgängliga värdena för en enda SSO-inställning. De avgör om Zoom ska skapa ett konto för en användare i det ögonblick de ska autentisera sig, eller kräva att kontot redan finns. SCIM är inte ett tredje värde för den inställningen — det är en separat, API-driven mekanism som tilldelar användare oberoende av autentisering, och den fungerar tillsammans med det provisioneringsläge som har valts.
| Provisioneringsmetod | Hur det fungerar | Förutsättningar | Skapar konton | Avaktiverar konton |
| -------------------------------------------------------------- | ------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------- | ------------------------------ | ------------------------------ |
|
Vid inloggning (Precis i tid)
| Skapar kontot när användaren autentiserar sig första gången | Ingen | Ja | Nej |
|
Före inloggning (Förprovisionering)
| Verifierar att en användare är auktoriserad att logga in via SSO | Ett konto med inloggningstypen SSO. Ofta används med SCIM-provisionering. | Nej, men används ofta med SCIM | Nej, men används ofta med SCIM |
| **SCIM** | Synkroniserar användardata från identitetsleverantören på sitt eget schemalägga-schema via API:er | IdP:s Support för SCIM och en associerad domän | Ja | Ja, om det stöds av IdP:n |
### Vid inloggning
#### Provisionering vid inloggning skapar kontot och inloggningstypen SSO i ett enda steg
Med *Vid inloggning* inställningen (även känd som just-in-time-provisionering), kommer en användare som tilldelas Zoom-applikationen inom identitetsleverantören och som får någon stödd Zoom-licens att få ett konto skapat för sig första gången de autentisera sig. Inget behöver finnas i Zoom i förväg. Detta gör det till det enklaste alternativet att sätta upp, och anledningen till att det rekommenderas när SSO först konfigureras på ett konto.
Provisionering vid inloggning är också kompatibel med SCIM — de två kan köras samtidigt. I praktiken tar dock SCIM vanligtvis bort behovet av det, eftersom konton redan finns när en användare autentiserar för första gången.
### Före inloggning
#### Provisionering före inloggning förutsätter att något annat först har skapat kontot eller inloggningstypen
Den *Före inloggning* Inställningen (även känd som förprovisionering) provisionerar inte något automatiskt. I stället upprättar den ett krav: en användare får endast autentisera om deras Zoom-konto redan finns och har SSO-inloggningstypen. Något annat måste därför ansvara för att skapa dessa konton, och det finns två praktiska alternativ.
* **SCIM-provisionering**, som skapar konton automatiskt från identitetsprovidern när användare tilldelas applikationen.
* **Massuppladdning av CSV** med *SSO-användare* markerat, vilket skapar konton och tillämpar SSO-inloggningstypen i en enda import.
Det är därför förprovisionering och SCIM så ofta paras ihop. Förprovisionering anger ett krav; SCIM är mekanismen som uppfyller det i stor skala.
Zoom-administratörer kan bekräfta om ett konto har en SSO-inloggningstyp genom att visa användarkontot på [användarhantering](https://zoom.us/account/user#/) i webbportalen och leta efter ikonen “SSO” under användarens e-post.
Plats för SSO-ikonen under en användares e-post.
Om ikonen finns är användaren provisionerad för SSO; om ikonen saknas kommer användaren inte att kunna logga in via SSO medan förprovisionering är aktiverad förrän den har lagts till. En Zoom-administratör kan lägga till denna inloggningstyp genom att lägga till användare i bulk via en CSV-fil och välja alternativet “SSO-användare”, eller låta användaren autentisera medan Provisionering vid inloggning är aktiverat.
Exempel som visar alternativet SSO-användare för massuppladdning.
### SCIM
#### SCIM provisionerar användare via API:er och anger aldrig identitetsvärden som SAML eller OIDC
SCIM skiljer sig från svarsmappning på ett sätt som är värt att säga rakt ut. Svarsmappning — oavsett om det sker genom SAML-assertioner eller OIDC-anspråk — för med sig användarinformation *som en del av en autentiseringshändelse*. Ingenting tillämpas förrän användaren loggar in, och informationen följer med i assertionen.
SCIM innehåller inga assertioner eller anspråk alls. Identitetsprovidern anropar Zooms API direkt och kan schemalägga anropen efter eget schema, och skickar användarinformation oavsett om användaren någonsin har loggat in eller inte. Det är detta som gör att SCIM kan skapa, uppdatera, inaktivera och ta bort konton utan användarinblandning, och det är därför SCIM kan hantera kontostatus medan svarsmappning inte kan det.
SCIM är kompatibelt med båda provisioneringslägena och används oftast tillsammans med förprovisionering.
Se [SCIM för Entra ID och Okta fältguide](/technical-library/sv/adminhornan/account-and-endpoint-management/scim-guide.md) för mer information om hur du konfigurerar SCIM för ditt konto med antingen Entra ID eller Okta.
{% hint style="success" %}
**Zoom-rekommendation**
När du konfigurerar SSO och SCIM tillsammans på ett nytt konto, aktivera *Provisionering vid inloggning* först. Det hjälper till att säkerställa att användare kan autentisera medan SCIM-integreringarna fortfarande valideras. När du har bekräftat att SCIM skapar konton med SSO-inloggningstypen tillämpad, växla till *Före inloggning* om den strängare kontrollen önskas.
{% endhint %}
## Säkerhetsinställningar
#### Zoom-administratörer kan framtvinga automatisk utloggning efter en definierad tidsperiod
Zoom-administratörer kan konfigurera Zoom så att användare automatiskt loggas ut från aktiva sessioner efter definierade tidsperioder, anpassningsbara från 15 minuter till 180 dagar. Den här processen ställer in att Zoom Access-token ska löpa ut efter den förutbestämda tiden när tokenet genereras. Detta token har inget samband med en identitetsprovider och är unikt för Zoom.
#### En domän måste vara associerad och hanterad för att framtvinga SSO-autentisering
Zoom-administratörer kan framtvinga SSO-autentisering *endast* om e-postdomänen är associerad och hanterad inom Zoom. När detta är aktiverat omdirigeras alla användare som autentiserar med din/dina företagsdomän(er) automatiskt till din identitetsproviders autentiseringssida, oavsett plattform.
När domänen har godkänts och hanterats kan en Zoom-administratör framtvinga SSO-autentisering via ditt kontos [säkerhetssida](https://zoom.us/account/setting/security) under **Inloggningsmetoder**. Se vår Support-artikel om [kopplade domäner](https://support.zoom.us/hc/en-us/articles/203395207) för mer information om hur du associerar och hanterar en domän.
#### Angivna användare kan undantas från framtvingad SSO-autentisering
Zoom-administratörer kan utesluta specifika användare från framtvingad SSO-autentisering. Att utesluta specifika användare (t.ex. ett administratörskonto) kan vara användbart om en SSO-konfiguration går sönder och en kontoadministratör behöver icke-SSO Access till Zoom-kontot. Administratörer som är undantagna kan logga in på admin.zoom.us när som helst vid ett kontolås eller en trasig SSO-konfiguration (användaren måste ha den standardmässiga adminrollen). Om en Zoom-admin inte kan komma åt kontot måste hen ta kontakt med Zoom Support för hjälp. **admin** roll). Om en Zoom-admin inte kan komma åt kontot måste hen kontakta Zoom Support för hjälp.
För att aktivera ett användarundantag, gå till kontoinställningarna [säkerhetssida](https://zoom.us/account/setting/security) på webbportalen under avancerade alternativ, leta upp listan över framtvingade domäner och lägg till ett undantag via redigeringslistan.
Exempel på domänlista för SSO.
#### Mobila och skrivbordsklienter kan konfigureras så att användare måste använda SSO-autentisering
Zoom-klienter kan förkonfigureras för att automatisera SSO-funktioner, inklusive automatisk inloggning, automatisk utloggning, autentisering endast för SSO på enheten och mer via Gruppolicy, tjänster för hantering av mobila enheter (MDM) och klienter för massdistribution.
För en fullständig lista över konfigurationsmöjligheter, se våra konfigurationsalternativ för [Gruppolicy](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) och [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows).
#### Användare av Office 365 kan automatiskt logga in i tillägget Zoom för Outlook med SSO-uppgifter
Kunder som använder Office 365 kan automatiskt logga in sina användare i tillägget Zoom för Outlook med SSO-uppgifter. Detta kan kombineras med ett [anpassat tilläggsmanifest](https://support.zoom.us/hc/en-us/articles/360041403311) som förifyller kontots anpassade URL och skapar en sömlös autentiseringsupplevelse för användare. Den här funktionen använder användarens SSO-sessionstoken om den är aktiv, eller kommer att be om en ny autentisering med din identitetsleverantör om ingen aktiv session hittas.
En Zoom-admin kan aktivera den här inställningen på kontots [säkerhetssida](https://zoom.us/account/setting/security) under **avancerad** menyn.
Exempel på admininställning för SSO med Outlook-tillägget.
## Svarsmappning
I svarsmappning, **attribut** är datakategorier som definieras av **värden**, och används för att överföra information från identitetsleverantören till en tjänsteleverantör som Zoom. Att mappa attribut och värden är avgörande för att automatisera användarprofilinformation och hantera användarnas licenser.
Zooms svarsmappning är uppdelad i två delar: *grundläggande* och *avancerad*. Basic-mappning används för att mappa grundläggande profilinformation, inklusive namn, telefonnummer, avdelning, osv., medan avancerad mappning används för att hantera dynamiska licenstilldelningar, tilldela användargrupper, användarroller och mer.
Det här avsnittet täcker grunderna i Basic- och avancerad svarsmappning och lyfter fram unika villkor som krävs för vissa funktioner.
#### Zoom stöder svarsmappning via både SAML och OIDC
Zoom kan konfigurera svarsmappning via antingen SAML eller OIDC. SAML-identitetsinformation utbyts i XML-formaterade påståenden, medan OIDC-identitetsinformation tillhandahålls via JSON Web Key-uppsättningar (JWK). I båda fallen kan Zoom använda de attribut eller anspråk som tas emot från identitetsleverantören för att mappa användarprofilinformation, licensiering, grupper och andra kontoinställningar som stöds.
#### Grunder: Attribut och värden
De flesta identitetsleverantörer skickar grundläggande profilinformation med enkla attributnamn och värden. Till exempel kan en medarbetares avdelning komma igenom med attributet avdelning och värdet Personalavdelningen. Följande tabell visar relationen mellan attribut och värden när information om en användare skickas vidare.
| Attribut | Värde |
| --------- | ------------------------------ |
| förnamn | John |
| efternamn | Smith |
| e-post | |
| avdelning | Personalavdelningen |
Genom att korrekt tilldela ett attribut till en svarsmappning kan användarinformation automatiskt tillämpas på en användarprofil för att förenkla processen för att skapa och hantera ett konto.
### Basic-mappning: profilinformation
Basic-mappning används för att tillämpa profilinformation som förnamn, efternamn, avdelning, telefonnummer, kostnadsställe och plats från en katalog till en användares profil. Många av dessa kategorier är självförklarande och kan enkelt konfigureras; vissa kategorier kräver dock förklaring för korrekt konfigurering för att förhindra oförutsedda konsekvenser eller applikationsfel. Följande avsnitt lyfter fram unika mappningsalternativ och konfigurationsinställningar för Basic-mappning. Se vår [artikeln om Basic-mappning](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) för en fullständig lista över attribut som stöds.
#### Standardlicenstypen gäller endast för *helt nya användare*
Alternativet för standardlicenstyp kommer att tilldela den angivna licensen till alla *helt nya* användare som provisioneras i kontot via första autentisering. Detta gäller inte användare som autentiserar sig för en andra gång, användare som har konsoliderats i kontot från ett tidigare konto, användare som provisioneras via SCIM eller användare som har bjudits in manuellt.
För information om *uppdatering* användarlicenser med autentisering, se licenskonfigurationen under [Avancerad mappning](#advanced-mapping-licenses-add-ons-and-access).
#### En standardlicenstyp av *Ingen* kommer inte att tillåta nya användare att autentisera om inte avancerad mappning är konfigurerad för att tilldela en licens
Zoom-användare måste ha en tilldelad licenstyp (Ej tilldelad utan Zoom Meetings Basic, Zoom Workplace, etc.) för att logga in till Zoom-tjänsten. Om en standardlicenstyp av Ingen väljs kan nya användare inte logga in eller skapa ett nytt konto om de inte kommer att få en licens via [Avancerad mappning](#advanced-mapping-licenses-add-ons-and-access).
#### De flesta grundläggande mappningar kommer att tillämpas igen vid inloggning, om inte annat anges
De flesta grundläggande mappningar uppdateras som standard varje gång en användare loggar in, *utom* *för* förnamn, efternamn, visningsnamn och telefonnummer. Som standard tillämpas dessa fyra mappningar endast första gången en användare autentiserar och kommer inte att tillämpas igen, även om de uppdateras av en användare eller admin. Zoom-administratörer kan ändra detta beteende genom att aktivera alternativet för **Uppdatera vid varje SSO-inloggning** på sidan för svarsmappning.
Exempel på alternativet Uppdatera vid varje SSO-inloggning.
#### Mappningar för telefonnummer bör innehålla landskod och riktnummer om de är utanför USA
Telefonnummer som mappas via påståenden bör inkludera användarens landskod och riktnummer när det är möjligt. Zoom kommer att anta en landskod på +1 om den inte är definierad som standard.
Konton som inte behåller landskoder i sin katalog kan redigera sina påståenden i sin identitetsleverantör för att automatiskt inkludera dessa om det behövs.
#### Varje användare kan ha upp till tre telefonnummer och ett faxnummer mappade till sin profil
Zoom-administratörer kan konfigurera upp till tre separata mappningar för telefonnummer och en mappning för faxnummer för varje användare. Varje telefonnummer måste vara unikt och får inte duplicera värdet i ett annat fält.
Exempel på alternativ för telefonnummer för varje användare.
#### Profilbilder måste mappas antingen från en offentligt tillgänglig URL eller kodas med Base64
Konton som vill mappa profilbilder från sin katalog måste mappa bilderna med antingen en offentligt tillgänglig URL eller koda bilden i Base64 när de skickar påståenden.
### Unikt medarbetar-ID
**Unikt medarbetar-ID ändrar den primära identifierare som Zoom använder för att identifiera användare och hjälper till att förhindra dubblettkonton efter en ändring av e-postadress**
Den *Unikt medarbetar-ID* är en av de funktioner som Zoom erbjuder för att underlätta identitetshantering. Som standard är den primära identifieringen för en Zoom-användare deras **e-post** **e-postadress**. Detta betyder att om inloggningstypen för e-postadress för arbetet är ****, kommer Zoom alltid att identifiera denna användare med den e-postadressen. Denna identifierare är det som gör att integrationer som SSO eller Facebook- och Google OAuth-konton kan associera användaren med samma Zoom-konto.
Denna identifieringsprocess kan dock vara problematisk om en användares namn eller e-post ändras. Till exempel om **** har en ändring av e-postadress till ****, kan Zoom inte säkert avgöra att detta är samma person (eftersom den grundläggande identifieraren är annorlunda), så Zoom kommer att skapa ett nytt konto första gången **** loggar in.
För att förenkla detta problem erbjuder Zoom funktioner som Unikt medarbetar-ID, vilket ändrar den primära identifieraren för en användare från deras e-postadress till ett etablerat unikt ID. *Detta ändrar inte en användares Zoom-användarnamn*, utan erbjuder istället ett alternativt identifierande attribut. Denna ändring gör att Zoom dynamiskt kan uppdatera en användares e-postadress i Zoom om:
* en *ny* e-postadress åtföljs av ett känt Unikt medarbetar-ID; och
* den berörda användarens e-postdomän är kopplad i Zoom
Till exempel om **** autentiserar och skickar ett värde på 12345 (deras medarbetarnummer) för attributet Unikt medarbetar-ID, kommer Zoom nu att identifiera användaren i kontot med det angivna värdet. Om John autentiserar igen med e-postadressen **** samtidigt som han fortfarande skickar Unikt medarbetar-ID 12345, kommer Zoom att identifiera att nu är **** och kommer dynamiskt att uppdatera användarens e-postadress i kontot om domänen är kopplad.
Identitetsadministratörer bör vara *säkra* på att inga två användare kommer att överlappa med samma värde för Unikt medarbetar-ID innan en mappning för denna kategori upprättas. Om en annan användare autentiserar och skickar samma värde, kommer e-postadressen att uppdateras igen till den nya användaren och kan orsaka betydande störningar i användartjänster och användarupplevelse.
**Funktionen Unikt medarbetar-ID kräver kopplade domäner för att ändra en användares e-postadress**
Funktioner för unikt ID för medarbetare kan inte uppdatera en användares e-postadress om inte e-postdomänen officiellt är associerad med din kontoprofil. Se vår supportartikel om [kopplade domäner](https://support.zoom.us/hc/en-us/articles/203395207) för mer information.
**Administratörer och ägare kan inte uppdatera sin e-post via medarbetare Unique ID**
admin och ägares e-postadresser inom Zoom kan inte uppdateras via funktioner för medarbetare Unique ID. Detta är avsett som en säkerhetsåtgärd för att förhindra obehörig åtkomst. admin och ägare måste ändra sin e-post via sin profilsida.
**Användares e-postadresser kan endast uppdateras en gång per dag via medarbetare Unikt ID**
Användares e-post kan endast uppdateras en gång var 24:e timme via funktionen Medarbetarens unika ID. En användare måste vänta ett helt kalenderdygn från den föregående uppdateringen innan hen uppdaterar sin e-post via SSO igen.
Diagram över ett exempel på ett flöde för att uppdatera användares e-postadresser.
**Att sätta attributet till \ kommer att använda användarens intygade NameID**
Mappning av attributet för medarbetarens unika ID till **\** kommer automatiskt att använda det påstådda NameID-värdet för användaren som deras unika identifierare. Detta kan vara ett fördelaktigt verktyg om din identitetsprovider anger ett NameID som inte är användarens e-post, som ett User Principal Name (UPN) eller ett liknande värde som inte ändras. Använd inte detta värde om användarnas NameIDs matchar deras e-post.
Exempel på admin-inställningen <NameID>.
### Avancerad mappning: licenser och tillägg
Avsnittet Avancerad informationsmappning kan dynamiskt tillämpa licenser (inklusive Zoom Phone), tillägg och användaråtkomstgrupper på användare när de autentiserar sig. Till skillnad från Basic-mappning innehåller avancerad mappning många nyanser som kan kräva noggrann uppmärksamhet vid konfiguration, beroende på hur komplex din miljö är. Det här avsnittet belyser nyanserna för att konfigurera avancerad responsmappning. Se vår [artikeln om avancerad mappning](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) för en fullständig lista över attribut som stöds.
#### Avancerad mappning tillämpas varje gång en användare autentiserar sig
Till skillnad från Basic-mappning, som har valfria uppdateringar för vissa kategorier, kommer konfigurationer för avancerad mappning att tillämpas varje gång en användare autentiserar sig, enligt ordningen uppifrån och ned för applikation.
Om en användare till exempel har en Basic-licens och sedan autentiserar sig via SSO och skickar ett attribut och ett värde som mappats till att bevilja en full licens, får användaren omedelbart den fulla licensen. Om användarens profil sedan ändras i identitetsleverantören så att den flyttas tillbaka till en Basic-licens, tilldelas användaren Basic-licensen på nytt när hen autentiserar sig på nytt i Zoom.
#### Avancerad mappning tillåter flera attribut och värden per kategori
Till skillnad från Basic-mappning, som endast tillåter ett attribut per kategori, kan avancerad mappning stödja flera attribut och värden för varje kategori. Detta ger stor flexibilitet när du hanterar användarnas licenser och åtkomst via säkerhetsgrupper i din identitetsleverantör, som i följande konfiguration.
Exempel på avancerad attributmappning.
{% hint style="success" %}
**Zoom-tips**
Attribut kan variera beroende på identitetsleverantör, särskilt för säkerhetsgrupper. Bekräfta med din identitetsleverantör eller genom [svarsloggar](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) hur attributen anges.
{% endhint %}
#### Avancerad mappning tillämpar licenser uppifrån och ned när flera attribut anges
Om en användare skickar flera attribut eller värden som är konfigurerade för avancerad mappning kommer Zoom att mappa licenserna uppifrån och ned. Se följande exempel:
Exempel på val av licenstyp i admin-inställningar.
Enligt ovanstående konfiguration, om en användare skulle skicka ett attribut för både **global\_användare** och **marknadsföring**, eftersom **marknadsföring** är högst i konfigurationen kommer detta attribut att tillämpas på användaren, och de återstående tillämpliga attributen kommer att ignoreras.
Alternativt, om konfigurationen ställdes in med **global\_användare** som högst, som visas i följande skärmbild, om en användares påstående innehöll **global\_användare**, **marknadsföring**, **mänsklig** **resurser**, och **IT**, eftersom **global\_användare** är högst prioriterad kommer endast en grundläggande licens att anges.
Exempel på att justera prioritetsordningen
Zoom-administratörer kan justera applikationens ordning när de redigerar mappningsvärdena med hjälp av ↑↓-pilarna i redigeraren.
{% hint style="success" %}
**Zoom-rekommendation**
Konfigurera de avancerade konfigurationerna från den mest specifika till den mest allmänna för att förhindra felaktig användning av licens.
{% endhint %}
#### Webbinarium och Large Meeting-mappningar kan dela ett gemensamt värde för att lägga till båda tilläggen
För att förenkla ansökningsprocessen kan Zoom-administratörer konfigurera samma attribut och värde två gånger för att tillämpa både webbinarium- och Large Meeting-tilläggen för användarna, enligt bilden nedan med den **global\_användare** värde. Dessa lägga till-ons kan också konfigureras oberoende om så önskas, som visas med den **webbinarium\_only** och **large\_möte\_only** värden.
Exempel på attribut för large_möte_only och webbinarium_only.
#### Angivna användare och användargrupper kan undantas från specifika mappningar
Varje alternativ under Avancerad mappning kan konfigureras för att undanta specifika användare och användargrupper från mappningsbeteendet. Detta kan vara fördelaktigt för att förhindra att VIP-användare drabbas av avbrott i tjänsten på grund av en potentiell möjlighet att ändra licensieringen.
Exempel på användarundantag.
#### Zoom stöder upp till fem anpassade attribut
Zoom-administratörer kan konfigurera upp till *fem* anpassade attribut för att lägga till användardata i sin Zoom-profil under [avancerad användarhantering](https://zoom.us/account/user#/advanced) sidan. När de anpassade fälten har lagts till kan Zoom-administratörer konfigurera mappningen på [Svarsmappning](https://zoom.us/account/sso/mapping) sidan.
Exempel på anpassade attribut
#### Mappning av användare till ett underkonto kommer att *endast* tillämpa en möteslicens och tillägg
Att mappa en användare till ett underkonto kommer endast att tillämpa användarens möteslicens och tillägg som Webbinarium och Stora möten i underkontot. Användargrupper, IM-grupper, användarroll osv. kommer inte att tillämpas och måste konfigureras i underkontot.
Kunder som kräver större flexibilitet för svarsmappning med underkonton behöver en unik anpassad URL och en ny SSO-konfiguration i underkontot.
### Avancerad mappning: Tilldelning av användar- och kontaktgrupp
Tilldelning av användargrupp och kontaktgrupp är det enda området inom avancerad mappning som fungerar i två olika lägen: *standardmappning* och *multimappning*.
* **Standardmappning** tillämpar en enskild träff. En administratör kan konfigurera många attribut- och värdepar, men när en användare autentiserar träder endast den första matchande posten i kraft och resten ignoreras. Att uppnå ett visst resultat beror därför på exakt konfiguration. Detta är standardbeteendet för alla konton.
* **Multimappning** är ett valfritt läge som tillämpar varje träff. En enda autentisering kan matcha flera attribut och värden samtidigt, vilket tilldelar användaren till flera grupper i ett enda steg. Detta gör det väl lämpat för konton med komplexa gruppstrukturer som placerar användare i en mängd olika användargrupper och kontaktgrupper. Multimappning måste aktiveras via Zoom Support.
#### **Standardmappning tilldelar en användare till den första matchande användargruppen eller kontaktgruppen**
Vid standardmappning, när en användares påstående matchar flera konfigurerade värden inom kategorin användargrupp eller kontaktgrupp, tillämpar Zoom endast den översta matchande posten i konfigurationen. Posterna utvärderas uppifrån och ned, och den första som matchar tillämpas. Alla återstående träffar inom den kategorin ignoreras.
Till exempel, i en konfiguration som innehåller tjugo attribut- och värdepar som mappas till olika användargrupper, placeras en användare vars påstående matchar flera av dessa par endast i den grupp som är kopplad till den högst matchande posten.
#### Ett enda värde kan lägga till en användare i flera grupper, och den första tillagda gruppen blir Primär grupp
Zoom-administratörer kan konfigurera mappning av användargrupper för att lägga till en användare i flera grupper med ett värde. Detta beteende gäller både vid standardmappning och multimappning.
Den första användargruppen som läggs till ställs in som användarens Primär grupp och avgör användarens standardinställningar *såvida inte en underliggande grupp har en låst inställning*. För mer information om användargrupper, se vår [supportartikel](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings).
I följande bild, om en användare angav värdena för **Ledarskap**, **Personalavdelningen**, och **Reglerad**, skulle de endast placeras i grupperna för **Ledarskap**, eftersom det är den första träffen och inga ytterligare träffar gäller.
Exempel på standardmappning för användargrupper.
#### Multimappning tilldelar en användare till varje matchande användargrupp och kontaktgrupp, för upp till 50 regelträffar
När multimappning är aktiverad tillämpar Zoom *varje* matchande post inom kategorierna användargrupp och kontaktgrupp, i stället för endast den översta träffen. Samma attribut kan konfigureras upp till femtio gånger, och varje konfigurerat värde som matchar ett påstående placerar användaren i sin associerade grupp.
Detta innebär att ett enda attribut som skickas med femtio olika värden, där varje värde är mappat till en annan grupp, kan placera en användare i alla femtio grupperna i en enda autentisering. Detta möjliggör ett en-till-en-förhållande mellan säkerhetsgrupper hos identitetsleverantören och Zoom-grupper, så att när en användare läggs till i en säkerhetsgrupp hos identitetsleverantören tilldelas personen motsvarande Zoom-grupp vid nästa autentisering.
I följande bild, om en användare angav värdena för **ledarskap**, **testning**, **AI**, och **personalresurser** med multimappning aktiverad skulle användaren placeras i alla användargrupper, eftersom Zoom tillämpar de första 50 regelträffarna när multimappning är aktiverad.
Exempel på multimappning för användargrupper
Beteckningen Primär grupp påverkas inte av mappningsläget. I både standardmappning och multimappning blir den första matchande gruppen som läggs till användarens Primär grupp, såvida inte en underliggande grupp har en låst inställning.
#### Multimappning förenklar grupptilldelning i stora Enterprise-miljöer
Multimappning minskar den konfigurationsprecision som krävs för att tilldela användare till flera användargrupper eller kontaktgrupper. Vid standardmappning beror det på exakt konfiguration uppifrån och ned för att placera en användare i flera grupper, vilket ska ge rätt resultat i en enda utvärdering. Multimappning tar bort denna begränsning genom att tillämpa alla matchande poster samtidigt, vilket passar miljöer där användare tillhör många grupper och där konfigurationer per attribut och per värde annars skulle vara svåra att genomföra i ett enda steg.
#### Multimappning kräver aktivering via Zoom Support
Multimappning aktiveras inte via det vanliga administrationsgränssnittet för enkel inloggning. För att aktivera funktionen krävs att man skickar in en [Supportärende](https://support.zoom.com/hc/en/contact?id=contact_us) till Zoom där man ber att multimappning ska aktiveras för kontot. Tills begäran har behandlats fungerar tilldelning av användargrupp och kontaktgrupp enligt standardbeteendet med första träff.
### Avancerad mappning: Automappning
#### Automappning fungerar som en reservlösning som tilldelar användare till en användar-, kanal- eller IM-grupp som är uppkallad efter deras angivna värde när ingen uttrycklig regel matchar
Automappning kan användas för att automatiskt tilldela användare till en användargrupp, kanal och IM-grupp som är uppkallad efter deras angivna värde. Till skillnad från andra komponenter för avancerad mappning, som kan konfigureras för att tilldela en användare till vilken grupp som helst baserat på värdet, tilldelar Automappning alltid en användare till en grupp baserat på det exakta värdet. Om gruppen tidigare inte fanns kommer den att skapas automatiskt.
Automappning fungerar som en reservlösning och tillämpas endast när en användares påstående inte matchar någon av de uttryckliga regler som konfigurerats i avsnitten för avancerad mappning ovan. Om en användare redan är tilldelad till en grupp via en uttrycklig regel—till exempel placerad i en användargrupp baserat på medlemskap i identitetsleverantörens säkerhetsgrupp—har den uttryckliga tilldelningen företräde och den motsvarande reglern för Automappning ignoreras. I samma exempel skulle en användargrupp som automatiskt mappas från användarens avdelningsvärde inte tillämpas, eftersom den uttryckliga regeln för användargrupp redan har matchat.
Exempel på en automappningskonfiguration.
Om Automappning till exempel är inställd på att mappa en användare till grupper baserat på deras avdelning, och användaren inte matchade en uttrycklig regel för den kategorin, så kommer användare att tilldelas automatiskt till en grupp som matchar deras avdelningsnamn, enligt följande tabell, om deras avdelningsvärde ännu inte är definierat för användargruppen, kanalen eller IM-gruppen:
| Attribut | Värde | Finns Zoom-gruppen redan? | Resultat |
| --------- | ------------------- | ------------------------- | ----------------------------------------------------------------------- |
| Avdelning | Personalavdelningen | Ja | Användare tillagd i gruppen Personalresurser |
| Avdelning | Marknadsföring | Ja | Användare tillagd i gruppen Marknadsföring |
| Avdelning | Försäljning | Nej | Gruppen Försäljning skapas, användaren läggs till i gruppen Försäljning |
## Felsökning av enkel inloggning
#### Svarloggar kan sparas för felsökning
Zoom kan spara svarloggar från autentiseringsförsök i sju dagar efter en autentisering. Dessa svarloggar kan vara ett ovärderligt verktyg för att felsöka konfigurations- och användarfel, utöver konfigurationer för svarsmappning. Se avsnittet om [felsökning av fel med svarloggar](#using-saml-response-logs-to-troubleshoot) för mer information.
{% hint style="success" %}
**Zoom-rekommendation**
Aktivera sparande av svarloggar för att göra felsökningen enklare.
{% endhint %}
#### Använda svarloggar för felsökning
Sparade svarloggar kan vara ett ovärderligt verktyg för att felsöka konfigurations- och användarfel, utöver konfigurationer för svarsmappning. Om din Zoom SSO-konfiguration är inställd på att spara svarloggar kan de nås via [Svarlogg](https://zoom.us/account/sso/saml_logs) fliken som finns på SSO-konfigurationssidan i Avancerade inställningar. För att visa svarloggar klickar du på **Visa detaljer** bredvid ett autentiseringsförsök.
#### De flesta autentiseringar visas i svarloggarna
De flesta misslyckade eller ej lyckade autentiseringsförsök visas på sidan med svarloggar. Om ett autentiseringsförsök inte visas är det mest sannolikt att Zoom inte tog emot ett påstående från din identitetsleverantör, eller att sparande av svarloggar är inaktiverat.
#### Svarloggar kan tala om för dig om din konfiguration är felaktig eller om ditt certifikat är föråldrat
När sparande av svarloggar är aktiverat skickas identitetsleverantörens information till Zoom för att autentisera identiteter för varje part. Om en angiven inställning eller informationssträng, som X509-certifikatet eller utfärdar-ID:t, skiljer sig från Zooms aktuella konfiguration visas ett fel som informerar om att informationen "inte stämmer överens med de aktuella SSO-inställningarna". En Zoom-administratör kan uppdatera SSO-konfigurationen så att den matchar dessa angivna värden, om de är korrekta, för att lösa felet.
Exempel på varningar om felaktig konfiguration.
#### Svarloggar talar om vilka värden och attribut som anges
Genom att granska svarloggar kan man lösa konfigurationer för svarsmappning genom att verifiera vilka attribut och värden som anges av användare när de autentiserar. Dessa kan jämföras med konfigurationen för att säkerställa att attributen och värdena stämmer överens.
Exempel på information som anges av identitetsleverantörstjänsten.
Om attribut eller värden saknas anges informationen inte av identitetsleverantörstjänsten. Användare som upplever detta problem uppmanas att kontakta sina supporttjänster för identitetsleverantören för mer hjälp.
#### Svarloggar innehåller en felkod och en kort förklaring om autentiseringen misslyckas
Om en användare inte kan autentisera eller får ett fel innehåller svarloggarna en felkod och en kort förklaring till felet.
Exempel på felkod och förklaring.
De flesta problem kan identifieras och lösas med hjälp av dessa felmeddelanden. Om du inte kan lösa felet, kontakta Zoom Support för ytterligare hjälp.
#### Fel för WEB-spårnings-ID
Om en användare misslyckas med SSO-autentisering får personen en felkod för WEB-spårnings-ID. Dessa koder är inte ett felmeddelande som är kopplat till ett specifikt fel, utan är i stället ett unikt logg-ID som kan granskas i svarsmappning för att identifiera autentiseringsproblem.
Exempel på ett användarorienterat fel med en felkod för WEB-spårnings-ID.
För att identifiera felet, om svarloggning är aktiverad, gå till [Svarlogg](https://zoom.us/account/sso/saml_logs) fliken som finns på SSO-konfigurationssidan i Avancerade inställningar. Ange sedan WEB-spårnings-ID:t i fältet Spårnings-ID och sök för att fylla i svarloggen
Exempel på sökning i svarloggen med den ovan nämnda felkoden för WEB-spårnings-ID.
Svarloggarna bör visa det mottagna påståendet samt en felkod och ett meddelande längst ned i svaret som kan användas för ytterligare felsökning.
### SCIM-felsökning
### Fel
#### Användaren finns inte eller tillhör inte det här kontot
Det här felet uppstår när den avsedda användarens e-postadress inte kan provisioneras på grund av ett redan befintligt konto. Zoom-administratörer uppmanas att ta kontakt med användaren direkt och manuellt bjuda in användaren till kontot.
Exempel på ett provisioneringsfel.
#### Du kan inte lägga till betalda användare
Det här felet uppstår när SCIM försöker provisionera en användare när det finns otillräckligt med licenser på kontot. För att lösa felet måste användaren provisioneras som en Basic-användare, eller så måste en licens göras tillgänglig för provisionering.
Exempel på ett provisioneringsfel.
### Använda SCIM-loggar för att felsöka användarprovisionering
Zoom tillhandahåller de senaste 100 API-förfrågningsloggarna i [Zoom Marketplace](https://marketplace.zoom.us/). En Zoom-administratör kan använda dessa loggar för att bekräfta vilken information som skickas och tas emot via provisionerings-API:er. För att komma åt loggarna, logga in på Zoom Marketplace som en Zoom-administratör och klicka **Hantera**. På följande sida, markera **Samtalsloggar** under **Personlig app-hantering**. Därifrån klickar du på en post för att expandera API-loggarna och granska innehållet.
Följande bild visar ett exempel på en SCIM-användarprovisioneringsbegäran, där användarens identitets- och licensieringsattribut är markerade som referens.
Exempel på en SCIM-användarprovisioneringsbegäran.
Precis som vid svarsmappning kan Zoom bara tillämpa information som skickas in från identitetsleverantören i provisioneringsbegäran. Använd dessa loggar för att bekräfta att användaridentitet och licensieringsattribut skickas in från identitetsleverantören. Om förväntad information saknas i dessa påståenden, ta kontakt med din identitetsleverantör för support.
## Dataflöden och autentisering
#### SAML-autentisering
Följande diagram beskriver en användares SAML-autentiseringsflöde när en enkel inloggningssession med Zoom initieras.
Diagram över ett exempel på SAML-autentiseringsflöde.
#### OIDC-autentisering
Följande diagram beskriver en användares OIDC-autentiseringsflöde när en enkel inloggningssession med Zoom initieras.
Diagram över ett exempel på SAML-autentiseringsflöde.
#### SSO-webbinloggningstoken
Efter att en användare autentiserar byggs användarens session upp i webbläsaren och har som standard en livslängd på två timmar. Om användaren fortsätter att aktivt använda sin Zoom-webbsida förnyas sessionen; om användaren däremot inte använder sin webbsida på två timmar löper token ut och användaren måste autentisera igen. Zoom-administratörer kan konfigurera denna aktiva sessionslängd på [Säkerhet](https://zoom.us/account/setting/security) sidan under Användare måste logga in igen efter en period av inaktivitet och **Ställ in perioden för inaktivitet på webben (minuter)**.
#### Klientinloggningstoken
När en användare försöker autentisera via SSO i en klient öppnar användarens dator en webbläsare och omdirigerar dem till identitetsleverantörens inloggningssida. Efter att en användare har autentiserat får användarens webbläsare en starttoken för Zoom-klienten. När användaren klickar på knappen ”open” eller ”launch” använder webbläsaren URL-schemat tillsammans med starttokenen för att öppna Zoom-klienten.
Zoom-klienten använder starttokenen för att hämta åtkomsttokenen och uppdateringstokenen från Zoom-servern. Klienten använder åtkomsttokenen under två timmar åt gången och använder vid utgång uppdateringstokenen för att hämta en ny uppsättning token som lagras i klientens lokala databas. Denna uppdateringsprocess är obegränsad som standard och kan fortsätta att cykla genom token tills en användare loggar ut eller tokenen går ut. Zoom-administratörer kan anpassa sessionslängden på [SSO-inställningar](https://zoom.us/account/sso) sidan under [*framtvinga automatisk utloggning*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time).
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://library.zoom.com/technical-library/sv/adminhornan/account-and-endpoint-management/sso-field-guide.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
