SSO, passkey e due fattori per prenotare le scrivanie

Immaginate Kasia, l'unica persona IT di un'azienda di 180 persone appena passata all'ufficio ibrido. È lunedì, sono le 8:40. Ci sono già tre ticket in attesa: un collega ha dimenticato la password dello strumento di prenotazione delle scrivanie, una collega non trova l'e-mail con il suo codice di accesso, e un team lead chiede se il collaboratore esterno che se n'è andato venerdì possa ancora prenotare un posto auto. Kasia ha passato due anni a mettere ogni applicazione dietro l'identity provider aziendale. Lo strumento di prenotazione delle scrivanie è l'unico che ha ancora password proprie.

Ecco come funziona l'accesso a Desk & Park, che cosa configurerebbe Kasia e l'unico punto in cui il prodotto infrange deliberatamente la regola "tutto tramite SSO". Tutto è disponibile in ogni piano, compreso il piano gratuito Start.

Passo 1: collegare l'identity provider (SSO tramite OpenID Connect)

Desk & Park supporta il single sign-on tramite OpenID Connect, lo standard usato da Microsoft Entra ID, Google Workspace, Okta e dalla maggior parte degli altri identity provider. Il flusso è authorization code con PKCE, la variante raccomandata per le applicazioni web.

Kasia apre Impostazioni organizzazione → Single sign-on (SSO) e compila quattro campi:

1. Issuer URL: per Google https://accounts.google.com, per Entra https://login.microsoftonline.com/<tenant-id>/v2.0, oppure l'issuer di qualsiasi altro provider OIDC.
2. Client ID e Client secret dalla registrazione dell'app che crea nella console del suo provider. Il secret viene salvato cifrato e non viene più mostrato; per cambiarlo ne digita uno nuovo.
3. Dominio e-mail consentito (facoltativo). Se impostato, solo gli indirizzi di quel dominio possono accedere con SSO, così un account personale che per caso esiste nel provider non entra.
4. La scheda mostra il Redirect URI da incollare nella registrazione dell'app.

Spunta Abilita l'accesso SSO e salva. La pagina di accesso ora mostra Accedi con SSO, e la collega che aveva dimenticato la password usa lo stesso account Microsoft o Google della posta. Un'organizzazione collega un solo provider.

Che cosa SSO non fa da solo: creare account

Il primo accesso SSO non crea un account. Se qualcuno si autentica correttamente presso il provider ma non ha un account Desk & Park, viene rimandato alla pagina di accesso con un messaggio che lo invita a chiedere un invito al proprio amministratore. Gli account li crea un amministratore: invitandoli uno per uno, importandoli da un elenco o tramite provisioning automatico da Entra ID od Okta via SCIM, che descriviamo in provisioning SCIM e offboarding.

Questo conta per il terzo ticket di Kasia: bloccare qualcuno nel provider è solo metà dell'offboarding. L'altra metà è disattivare l'account Desk & Park e terminarne le sessioni, cosa che SCIM fa quando la persona viene disabilitata nella directory.

Chi verifica il secondo fattore in un accesso SSO

Quando qualcuno accede con SSO, l'identity provider lo ha già autenticato, quindi Desk & Park non aggiunge un proprio passaggio con codice. Il secondo fattore è quello richiesto dal vostro provider. Se la vostra policy di Entra od Okta richiede l'MFA, è quella l'MFA che i vostri dipendenti affrontano.

Passo 2: l'eccezione voluta, gli amministratori

Ecco la parte che sorprende alcuni team IT: gli account amministratore non possono accedere con SSO. È intenzionale.

Un accesso SSO individua la persona tramite l'indirizzo e-mail. Se un identity provider venisse configurato male o compromesso, chi lo controlla potrebbe presentare l'indirizzo e-mail di un amministratore ed entrare nella console di amministrazione del sistema di prenotazione. Per tenere chiusa quella porta, gli amministratori usano i fattori della piattaforma stessa: una password, una passkey o un codice via e-mail, seguiti dal codice dell'app di autenticazione una volta attivati i due fattori.

Quindi la regola pratica per Kasia: ogni account amministratore dovrebbe attivare l'autenticazione a due fattori in Impostazioni → Sicurezza, a cominciare dal suo. Il prodotto non lo impone, ed è per questo che va nella sua checklist.

Passo 3: passkey per chi odia le password

Una passkey (WebAuthn) permette di accedere con l'impronta digitale, il riconoscimento del volto o il PIN del dispositivo, senza password da ricordare o da farsi rubare con il phishing. Ogni utente ne aggiunge una per sé in Impostazioni → Sicurezza → Passkey ("Aggiungi una passkey"), con un nome facoltativo ("MacBook", "iPhone"). L'elenco mostra quando ogni passkey è stata aggiunta e usata l'ultima volta, e ciascuna si può rimuovere.

Un dettaglio che conta nelle verifiche di sicurezza: una passkey usata con verifica dell'utente (impronta, volto o PIN) vale da sola come due fattori e completa l'accesso. Una passkey usata senza verifica dell'utente è considerata solo un fattore di possesso, quindi un account con i due fattori attivi riceve comunque in seguito la richiesta del codice.

Passo 4: due fattori con un'app di autenticazione

I due fattori in Desk & Park sono TOTP: il codice a sei cifre di un'app di autenticazione. Ogni utente li attiva in Impostazioni → Sicurezza; da quel momento ogni accesso con password, codice via e-mail o passkey senza verifica dell'utente richiede il codice.

L'utente riceve anche dei codici di recupero monouso: se perde il telefono, un codice gli permette di entrare e poi si esaurisce. I codici si possono rigenerare, e l'attivazione o disattivazione dei due fattori viene registrata nel registro di sicurezza.

Passo 5: sessioni che potete vedere e terminare

In Impostazioni → Sicurezza → Sessioni attive ogni utente vede dove ha effettuato l'accesso (browser, sistema operativo, indirizzo IP, ora di inizio) e può revocare qualsiasi sessione oppure scegliere Disconnetti ovunque.

Dietro le quinte, altri due meccanismi lavorano in silenzio:

• Rotazione dei refresh token. Ogni volta che una sessione viene rinnovata, il vecchio token viene sostituito. Se un token già usato viene presentato di nuovo, segno che è stato copiato, l'intera sessione viene terminata.
• Blocco dopo ripetuti fallimenti. Dopo ripetuti tentativi falliti, gli ulteriori tentativi vengono bloccati per un certo tempo, e il blocco compare nel registro di sicurezza.

Consigli pratici per l'introduzione

• Cominciate dagli amministratori. Prima di annunciare il SSO, assicuratevi che ogni amministratore abbia attivato i due fattori e aggiunto una passkey. Non potranno usare il SSO, quindi il loro accesso deve essere robusto.
• Impostate il dominio e-mail consentito se il vostro identity provider contiene anche account ospite o personali.
• Decidete come vengono creati gli account. Per un piccolo ufficio bastano gli inviti. Per qualsiasi realtà più grande, collegate SCIM, così ingressi e uscite arrivano dalla directory.
• Fate un annuncio breve. "Usate Accedi con SSO, con lo stesso account della posta" è sufficiente.
• Leggete ogni tanto il registro di sicurezza. Accessi, fallimenti, blocchi e modifiche ai due fattori compaiono nel registro di audit degli amministratori; lo descriviamo in registro di audit e accesso del supporto.

Ambito: che cosa non fa

Per essere onesti sulle aspettative: il single sign-on è solo OpenID Connect, quindi non c'è SAML. Non esiste una policy a livello di organizzazione che imponga i due fattori a ogni utente, né un timeout di sessione configurabile, né una allowlist di IP, né una modalità "solo SSO" che disattivi gli altri metodi di accesso. I due fattori sono una scelta di ciascun utente, ed è per questo che la checklist qui sopra parte dagli amministratori. Dove vengono conservati i dati è un tema a parte, trattato in perché i dati del vostro ufficio meritano un database isolato.

Piani e limiti sono nella pagina dei prezzi; la configurazione di un intero ufficio è descritta nella guida all'onboarding.

FAQ

Quali identity provider funzionano con il SSO di Desk & Park?

Qualsiasi provider che supporti OpenID Connect, tra cui Microsoft Entra ID, Google Workspace e Okta. Un'organizzazione collega un solo provider. SAML non è supportato.

Il primo accesso SSO crea automaticamente un account?

No. L'account deve esistere prima: un amministratore invita la persona, importa un elenco o effettua il provisioning degli account via SCIM da Entra ID od Okta. Chi non ha un account viene rimandato alla pagina di accesso con un messaggio che lo invita a rivolgersi al proprio amministratore.

Perché gli amministratori non possono accedere con SSO?

Perché un accesso SSO individua l'account tramite l'e-mail, e un identity provider configurato male o compromesso non deve poter aprire la console di amministrazione. Gli amministratori accedono con una password, una passkey o un codice via e-mail, seguiti dal codice dell'app di autenticazione una volta attivati i due fattori.

Possiamo imporre l'autenticazione a due fattori a tutti?

Non nel prodotto. I due fattori li attiva ciascun utente in Impostazioni → Sicurezza. I dipendenti che accedono con SSO passano per l'MFA richiesta dal vostro identity provider; per gli amministratori, attivare i due fattori dovrebbe far parte della checklist di configurazione.

Il SSO è incluso nel piano gratuito?

Sì. SSO, passkey, due fattori e l'elenco delle sessioni attive sono disponibili in ogni piano, compreso Start.