Prima di iniziare

• Amministratore cliente con autenticazione recente e dati forniti dall'IdP autorizzato.
• Accesso amministrativo locale indipendente con MFA verificato prima di imporre SSO.

Passo dopo passo

1. Apri «Accesso aziendale» in Impostazioni → Sicurezza e scegli «Nuova connessione». Indica nome provider, protocollo e aziende interessate.
2. Per OIDC compila issuer HTTPS, client ID e segreto previsto; per SAML usa entity ID, URL SSO e certificato di firma. Tratta segreti e certificati secondo il loro ruolo, evitando log pubblici.
3. Salva la bozza ed esegui prova tecnica e prova di login reale dalla versione corretta con lo stesso amministratore. Una modifica rilevante invalida la prova.
4. Collega l'identità verificata solo dopo aver controllato account e identificativi stabili. Non usare l'email da sola come criterio di collegamento.
5. Attiva la connessione dopo i controlli. Prima dell'obbligo verifica il recupero indipendente; usa nuova versione, disabilitazione o ritorno a versione valida senza sovrascrivere una connessione funzionante.

Limiti e recupero

• SSO non concede ruoli e non riattiva appartenenze revocate.
• IdP reali, SAML/Keycloak, convivenza e rotazione devono essere collaudati negli ambienti effettivi; questa guida non attesta tale esito.
• Se l'installazione indica una gestione tramite portale clienti, seguire il collegamento mostrato; i comandi nativi descritti non sono necessariamente esposti in quella modalità.

Before you start

• Customer administration with recent authentication and details supplied by the authorised identity provider.
• Independent local administrator access with verified MFA before enforcing SSO.

Step by step

1. Open Enterprise sign-in under Settings → Security and choose New connection. Enter the provider name, protocol and affected companies.
2. For OIDC, supply an HTTPS issuer, client ID and required secret; for SAML, provide the entity ID, SSO URL and signing certificate. Handle secrets and certificates appropriately and keep them out of public logs.
3. Save the draft, then perform technical verification and real-login testing against the correct version using the same administrator. A relevant modification invalidates the test.
4. Link the verified identity only after checking the account and stable identifiers. Email alone is not an identity-linking criterion.
5. Activate after the checks. Verify independent recovery before enforcement; use a new version, disabling or return to a valid version without replacing a working connection with an untested draft.

Limits and recovery

• SSO neither grants roles nor restores revoked memberships.
• Actual providers, SAML/Keycloak, coexistence and rotation require tests in their real environments; this guide attests none.
• If the installation indicates management through the customer portal, follow its displayed link; the native actions described here may not be exposed in that mode.