XFA:n määrittäminen identiteetintarjoajaksi Proton Passille ja Proton VPN:lle Beta

Toisin kuin muissa identiteetintarjoajien oppaissa, tässä XFA on itse identiteetintarjoaja: Proton siirtää kirjautumisen XFA:lle, joka kirjaa käyttäjät sisään pääsyavaimella ja tarkistaa heidän laitteensa.

Huomautus: tämä opas olettaa, että organisaatiollasi on XFA-tili, että olet sen järjestelmänvalvoja XFA:ssa ja että olet Proton for Business -organisaation järjestelmänvalvoja tilauksella, joka sisältää kertakirjautumisen (Proton Pass Professional, Proton VPN Professional tai Enterprise, tai VPN and Pass Professional). Jos sinulla ei vielä ole XFA-tiliä, voit luoda sellaisen osoitteessa https://dashboard.xfa.tech/signup.

Proton identiteetin tarjoajana on beetavaiheessa ja pysyy pois käytöstä, kunnes XFA ottaa sen käyttöön organisaatiossasi. Jos et näe kohdassa Identiteetin tarjoaja painiketta Yhdistä Proton etkä Valvonta-sivulla Proton-ruutua, organisaatiollasi ei ole sitä vielä: ota yhteyttä osoitteeseen support@xfa.tech, niin otamme sen käyttöön.

Miten se toimii

Kun käyttäjä kirjautuu Proton Passiin tai Proton VPN:ään Sign in with SSO -painikkeella, Proton ohjaa hänet XFA:lle. XFA todentaa hänet pääsyavaimella laitteella, jonka hän on liittänyt XFA:han (Built-in passkey), tarkistaa laitteen tietoturvatilan ja palauttaa Protonille allekirjoitetun SAML-assertionin. Proton luottaa siihen ja päästää käyttäjän sisään.

Koska XFA vastaa kirjautumisesta, käyttäjä ei koskaan kirjoita Proton-salasanaa. Hänen ensimmäinen laitteensa otetaan käyttöön järjestelmänvalvojan valmistelemalla palautusvaiheella (alla). Sen jälkeen kirjautuminen on yksi napautus luotetun laitteen pääsyavaimeen.

Kertakirjautuminen Protonissa koskee kutakin vahvistettua verkkotunnusta. Proton Pass ja Proton VPN jakavat organisaation kertakirjautumismäärityksen, ja tämä opas käsittelee näitä kahta.

Luo Proton-yhteys XFA-hallintapaneelissa

Kirjaudu XFA-hallintapaneeliin, avaa sivupalkista Identiteetin tarjoaja ja napsauta Yhdistä Proton. (Voit myös siirtyä Valvonta-sivulle, napsauttaa New ja valita Proton-ruudun.) XFA luo yhteyden ja avaa sen ohjatun käyttöönoton: neljä vaihetta, jotka käyt läpi missä tahansa järjestyksessä XFA:n ja Protonin hallintapaneelin välillä.

Määritä kohdassa Perustiedot:

yhteyden nimi ja käytäntö, jonka laitetarkistukset koskevat kirjautumista;
Sallitut sähköpostiverkkotunnukset: verkkotunnus tai verkkotunnukset, jotka lisäät kertakirjautumiseen Protonissa (esimerkiksi example.com). XFA todentaa ja vahvistaa vain näiden verkkotunnusten tai organisaatiosi sähköpostiverkkotunnusten sähköpostiosoitteet; kaikki muut hylätään. Jos verkkotunnuksia ei ole täällä eikä organisaation sähköpostiverkkotunnuksissa, kukaan ei voi kirjautua (fail-closed), joten aseta tämä ennen tuotantokäyttöä.

Vaihe 1, Lisää XFA identiteetintarjoajaksi Protonissa, näyttää arvot, jotka Proton tarvitsee luottaakseen XFA:han:

Metatieto-URL: XFA:n SAML-metatiedot tälle yhteydelle. Proton tuo ne yhdellä kertaa.
Entity ID (Proton kutsuu sitä myös nimellä Issuer), Kirjautumis-URL ja ladattava varmenne siltä varalta, että Proton pyytää tekstikenttiä.

Jätä välilehti auki; palaat siihen, kun Proton on näyttänyt omat arvonsa.

Yksi identiteetintarjoajayhteys organisaatiota kohden

XFA tukee yhtä identiteetintarjoajayhteyttä organisaatiota kohden. Jos olet jo yhdistänyt Google Workspacen tai yleisen SAML-identiteetintarjoajan, poista ensin se yhteys; Proton-ruutu on pois käytöstä siihen asti.

Ennen kuin jatkat, napsauta Tallenna ja jatka myöhemmin tallentaaksesi yhteyden. Käyttöönottolinkit ja kirjautumiset käyttävät tallennettuja Sallitut sähköpostiverkkotunnukset -arvoja ja käytäntöä, eivät sivulla vielä tallentamattomia muutoksia.

Käyttäjien valmistelu ensimmäistä laitetta varten

Koska XFA vastaa nyt kirjautumisesta, aivan uudessa laitteessa ei vielä ole pääsyavainta, ja kun kertakirjautuminen on päällä verkkotunnukselle, sen jäsenet pääsevät Protoniin vain XFA:n kautta. Siksi järjestelmänvalvoja ottaa ensimmäisen laitteen käyttöön ennen kuin otat kertakirjautumisen käyttöön Protonissa.

Määritä Henkilöt-sivulla (kohdassa Identiteetti) jokaiselle XFA:n kautta kirjautuvalle käyttäjälle toissijainen sähköpostiosoite: henkilökohtainen tai vaihtoehtoinen osoite, johon hän pääsee käsiksi. Voit sitten lähettää siihen osoitteeseen käyttöönottolinkin, jolla hän voi rekisteröidä pääsyavaimensa kirjoittamatta koskaan salasanaa. Linkki on kertakäyttöinen ja voimassa 7 päivää.

Lisää käyttäjiä napsauttamalla Uusi käyttäjä. Jos et halua lähettää linkkiä sähköpostitse, voit sen sijaan luoda käyttäjälle kertakäyttöisen käyttöönottosalasanan ja välittää sen hänelle valitsemaasi kanavaa pitkin.

Ihmiset, jotka käyttävät jo Proton Passia tai Proton VPN:ää, säilyttävät tietonsa. Siitä hetkestä, kun kertakirjautuminen on päällä heidän verkkotunnukselleen, he kirjautuvat Sign in with SSO -painikkeella.

Käyttöönottolinkkien lähettäminen

Jos haluat lähettää linkit myöhemmin, valitse käyttäjät Henkilöt-sivulla ja napsauta Lähetä käyttöönottolinkki. XFA asettaa sähköpostit jonoon ja lähettää ne muutaman seuraavan minuutin aikana; sen jälkeen Henkilöt-sivulla näkyy Linkki lähetetty ja päivämäärä.

XFA ohittaa seuraavat käyttäjät ja kertoo syyn:

käyttäjät, jotka ovat jo rekisteröityneet,
käyttäjät, joilla ei ole toissijaista sähköpostiosoitetta,
käyttäjät, jotka saivat linkin alle 7 päivää sitten. Napsauta Lähetä silti uudelleen lähettääksesi uuden; se korvaa aiemman linkin.

Jokaisen käyttäjän käyttöönoton tila näkyy Henkilöt-sivulla: Valmisteltu, Linkki lähetetty, Rekisteröitynyt tai Rekisteröityminen tuntematon, jos XFA ei voinut tarkistaa sitä.

Määritä kertakirjautuminen Protonissa

Siirry Protonin hallintapaneelissa (Proton Passin hallintapaneeli tai account.protonvpn.com Proton VPN for Businessille) kohtaan Single sign-on > SAML authentication > Configure SAML:

Syötä yrityksesi verkkotunnus ja napsauta Add domain.
Lisää Protonin näyttämä DNS TXT -tietue verkkotunnuksesi tarjoajalle ja napsauta Continue. Proton vahvistaa verkkotunnuksen ennen identiteetintarjoajan hyväksymistä; uuden DNS-tietueen leviäminen voi kestää jonkin aikaa.
Tuo identiteetintarjoajan metatiedot URL-osoitteella käyttäen XFA:n Metatieto-URL:ää ja napsauta Continue. Jos Proton pyytää Text fields, syötä XFA:n Entity ID entity ID:ksi, Kirjautumis-URL kertakirjautumisosoitteeksi, ja lataa tai liitä XFA:n varmenne.
Proton näyttää nyt oman Assertion Consumer Service (ACS) URL:nsä ja Issuer ID:nsä. Napsauta Done ja sen jälkeen See details tarkistaaksesi määrityksen.

Protonin arvot ovat samat kaikille organisaatioille:

Issuer ID: https://sso.proton.me/sp
Assertion Consumer Service (ACS) URL: https://sso.proton.me/auth/saml

XFA lähettää henkilön sähköpostiosoitteen NameID-arvona Protonin pyytämässä emailAddress-muodossa. Proton yhdistää sen jäseneen, jolla on tämä osoite.

Organisaatio voi määrittää enintään viisi verkkotunnusta. Jokainen määritetään Protonissa erikseen, ja niiden on osoitettava samaan identiteetintarjoajaan; lisää ne kaikki myös XFA:n kohtaan Sallitut sähköpostiverkkotunnukset.

Viimeistele integraatio XFA-hallintapaneelissa

Takaisin XFA-hallintapaneelissa:

Vaihe 2, Vahvista Protonin arvot: XFA on jo täyttänyt Protonin Issuer ID:n ja ACS URL:n, koska ne eivät koskaan muutu. Vertaa niitä siihen, mitä Proton näyttää kohdassa See details, ja napsauta Merkitse valmiiksi. Jos jotakin arvoa on joskus muokattu ja se poikkeaa, Käytä Protonin arvoja palauttaa sen.
Vaihe 3, Ota kertakirjautuminen käyttöön ihmisillesi: tarkista, että verkkotunnuksesi näkyy vahvistettuna Protonissa, että jokainen verkkotunnus on kohdassa Sallitut sähköpostiverkkotunnukset ja että jokaisella henkilöllä on XFA-identiteetti (katso Käyttäjien valmistelu ensimmäistä laitetta varten). Napsauta Merkitse valmiiksi, kun tämä on kunnossa.
Vaihe 4, Tarkista ja testaa: napsauta Tarkista arvoni, testaa sitten kirjautuminen verkkotunnuksesi jäsenellä ja valitse Testasin ja se toimi.

Napsauta Viimeistele käyttöönotto tallentaaksesi yhteyden.

Allekirjoitetut pyynnöt

Proton allekirjoittaa kirjautumispyynnöt, jotka se lähettää XFA:lle. Oletuksena XFA hyväksyy ne tarkistamatta allekirjoitusta. Jos haluat XFA:n tarkistavan ne, avaa yhteys, ota käyttöön Vaadi allekirjoitetut pyynnöt ja liitä Protonin allekirjoitusvarmenne kohtaan Palveluntarjoajan allekirjoitusvarmenne. Varmenne on Protonin SAML-metatiedoissa osoitteessa https://sso.proton.me/saml/metadata; Proton voi vaihtaa sen, ja kirjautuminen lakkaa toimimasta, kunnes liität uuden varmenteen.

Ensimmäinen laite: käyttäjä avaa toissijaiseen sähköpostiinsa tulleen käyttöönottolinkin (tai syöttää antamasi käyttöönottosalasanan) ja rekisteröi laitteelleen pääsyavaimen. XFA tarkistaa laitteen tietoturvan osana sitä, ja tuo pääsyavain on siitä lähtien hänen kirjautumisensa Protoniin.
Jokainen seuraava laite: Proton Pass- tai Proton VPN -sovelluksessa tai osoitteessa account.proton.me käyttäjä napsauttaa Sign in with SSO ja syöttää sähköpostiosoitteensa. Hän napauttaa pääsyavaintaan ilman salasanaa ja ilman mitään muuta kirjoitettavaa, ja XFA vahvistaa uuden laitteen jo aiemmin liitetyllä laitteella ennen sisäänkirjaamista.

Entä toinen tekijä?

XFA korvaa Protonin salasanakirjautumisen kokonaan, joten erillistä toista tekijää, jonka voisi hukata, ei ole: laitteella oleva pääsyavain, johon olet nimenomaisesti luottanut XFA:ssa, on se vahva tekijä. Tämä on XFA:n Built-in passkey. Lue lisää Built-in passkey -dokumentaatiosta.