Il Single Sign-On (SSO) è un tipo di autenticazione che consente agli utenti di accedere a più applicazioni e servizi utilizzando un unico set di credenziali di accesso.

L'integrazione Enterprise SSO di DataCamp permette ai clienti di gestire i membri della loro organizzazione al di fuori dei flussi di login e creazione account preesistenti di DataCamp.

Alcuni dei vantaggi del SSO includono:

Per configurare il SSO, è necessario avere un piano Enterprise DataCamp ed essere amministratori della propria organizzazione. Informazioni sulle funzionalità e prezzi per l'upgrade a un piano Enterprise DataCamp sono disponibili qui.

Al momento, DataCamp supporta solo l'integrazione SAML 2.0. Per configurare il SSO, è necessario avere un Identity Provider (IdP) SAML configurato. L'IdP è la directory o il database che contiene gli account utente e organizzazione.

Accedi a DataCamp e vai alla tua organizzazione Enterprise, quindi seleziona Impostazioni > SSO > Consenti SAML 2.0.

Per completare l'integrazione, devi inserire le informazioni elencate di seguito, uniche per la tua organizzazione:

Oltre a questo, è importante allineare i nomi degli attributi SAML per le informazioni utente importanti. DataCamp accetta le seguenti affermazioni: nome, cognome e email.

Tra questi 3, l'email è obbligatoria affinché l'integrazione funzioni correttamente. Nome e cognome sono opzionali ma consigliati per offrire la migliore esperienza utente.

Per questi 3 campi, accettiamo una lista di nomi attributo:

Email

Nome:

Cognome:

Non inviare uno di questi attributi comporterà il mancato aggiornamento del valore corrispondente in DataCamp. In sostanza, ciò significa che:

Fornire un valore vuoto per (uno degli) attributi aggiornerà comunque i valori corrispondenti in DataCamp. Pertanto, gli utenti che avevano un nome/cognome prima dell'attivazione del SSO avranno nome/cognome vuoti dopo il primo accesso riuscito tramite SSO.

Una volta inserite le informazioni corrette sia in DataCamp che nel tuo IdP, l'ultimo passaggio è selezionare Abilita SSO, e il gioco è fatto! Il SSO è stato abilitato per la tua organizzazione.

DataCamp supporta due opzioni per configurare il formato NameID:

Se desideri che DataCamp utilizzi il tuo ID dipendente interno come identificatore univoco invece dell'email, dovrai configurare il tuo IdP per inviare il formato nameID come "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" e il valore "unspecified" come ID dipendente. Dovrai quindi selezionare "unspecified" nelle impostazioni SSO di DataCamp. Dovrai comunque inviare l'"emailAddress" come attributo poiché è richiesto dalla nostra piattaforma. Sebbene opzionale, è altamente consigliato inviare anche FirstName e LastName come attributi SAML, poiché è l'unico modo affinché i tuoi utenti su DataCamp abbiano i loro nomi completi compilati.

Una volta che l'IdP è stato configurato per inviare il valore "unspecified" e l'impostazione è stata effettuata nelle impostazioni SSO di DataCamp, inizieremo a memorizzare l'ID dipendente per ogni utente al momento del login. Se aggiorni la configurazione quando hai già membri nella tua organizzazione, non avremo il loro valore ID dipendente fino alla prossima volta che effettueranno il login.

Per alcune integrazioni LMS o LXP, l'ID dipendente potrebbe essere richiesto. In questo caso, dovrai configurare le impostazioni SSO per inviare e memorizzare l'ID dipendente come formato NameID non specificato. Se per qualche motivo non disponiamo di un ID dipendente (ad esempio, l'utente non ha effettuato l'accesso da quando hai aggiornato la configurazione), non saremo in grado di inviare informazioni sul completamento dei contenuti per questo utente fino a quando non effettuerà l'accesso e avremo memorizzato il suo ID dipendente.

Puoi vedere le ultime mappature name ID sincronizzate nella scheda di configurazione SSO. Una volta che iniziamo a ricevere le mappature, vedrai le ultime apparire così:

Configurato per ricevere mappature NameID. Mappature ricevute di recente:

Il valore a sinistra è l'ID dipendente (ad esempio 10101010) e il valore a destra è l'email.

Se le mappature sono errate, contatta il nostro team di supporto per resettarle.

Se il provisioning JIT è abilitato, DataCamp creerà automaticamente un account e assegnerà una licenza ai nuovi membri quando effettuano l'accesso tramite SSO (attraverso il loro IdP o LMS). Altrimenti, i nuovi membri saranno aggiunti alla lista d'attesa, richiedendo l'approvazione dell'amministratore prima che venga assegnata la licenza.

Opzione “Abilita provisioning JIT”

Se intendi rendere DataCamp disponibile solo a un pubblico specifico all'interno della tua organizzazione, si consiglia di disabilitare il provisioning JIT e utilizzare invece uno degli altri meccanismi di invito degli utenti, come i link di invito. Nota che il provisioning JIT non entrerà mai in funzione fino a quando non concederai esplicitamente l'accesso ai tuoi utenti nell'IdP o non creerai e condividerai un link profondo SSO personalizzato (vedi sotto per maggiori informazioni).

Se il SSO è obbligatorio, tutti i membri e gli amministratori dovranno accedere tramite l'Identity Provider. Se il SSO è opzionale, i membri e gli amministratori possono accedere tramite l'Identity Provider oppure con l'email e la password associate al loro account DataCamp.

Se hai membri nella tua organizzazione quando inizia l'integrazione SSO con obbligo di SSO, oppure quando il SSO viene modificato per diventare obbligatorio, verranno immediatamente disconnessi da DataCamp e costretti a ri-autenticarsi tramite SSO.

Raccomandiamo fortemente di imporre l'uso del SSO per molteplici motivi, con il principale beneficio che gli utenti saranno automaticamente indirizzati a usare il SSO per l'autenticazione, invece di avere la possibilità di scegliere un metodo di autenticazione alternativo.

Nota: Sebbene suggeriamo fortemente di imporre il SSO, è importante assicurarsi che la configurazione SSO funzioni correttamente prima di renderla obbligatoria. Come precauzione, consigliamo di lasciare l'impostazione opzionale finché non si è certi che funzioni, per evitare la possibilità di essere bloccati fuori dall'account. Attualmente, non esiste un metodo alternativo per gli amministratori dell'organizzazione per accedere al sistema; tutti devono seguire lo stesso flusso.

Una volta completata la configurazione delle impostazioni SSO, sei pronto per abilitare il SSO. Per abilitare il SSO, clicca su "Abilita SSO" in fondo al modulo.

Quando il SSO è abilitato, gli utenti riceveranno un'email che spiega che l'organizzazione ha abilitato il SSO e che dovranno effettuare nuovamente l'accesso con le credenziali SSO.

Nell'email è presente un link che li reindirizzerà alla pagina di accesso di DataCamp. In questa pagina dovranno inserire il loro indirizzo email e premere Avanti. Se questa email è associata a un membro appartenente a un gruppo con SSO abilitato, verranno reindirizzati alla pagina di login dell'IdP per completare il processo di accesso. Qui dovranno accedere con le loro credenziali SSO. Se l'accesso ha successo, verranno reindirizzati nuovamente a DataCamp con accesso alla piattaforma.

Gli utenti ricevono un'email quando la loro organizzazione abilita o disabilita il SSO

Analogamente, se un membro viene rimosso dall'organizzazione o se il SSO viene disabilitato all'interno dell'organizzazione, riceverà istruzioni via email per reimpostare la password su DataCamp, permettendo loro di accedere senza SSO.

Vuoi configurare un'integrazione con uno dei seguenti IdP? Consulta la nostra documentazione di aiuto qui:

Siamo inoltre disponibili come applicazione nella Microsoft Azure Gallery.

Come detto in precedenza, raccomandiamo fortemente di imporre il SSO per molteplici motivi, con il beneficio principale che gli utenti saranno automaticamente indirizzati a usare il SSO per l'autenticazione, invece di avere la possibilità di scegliere un metodo di autenticazione alternativo. Tuttavia, tratteremo l'opzione di utilizzare metodi di autenticazione alternativi nella nostra documentazione, nel caso in cui ci siano circostanze in cui il SSO non sia adatto o disponibile.

Nota: Per motivi di sicurezza, se un utente ha già un account esistente su DataCamp prima di essere invitato alla tua organizzazione, dovrai utilizzare uno dei metodi descritti di seguito. Entrambe le opzioni prevedono un passaggio di verifica aggiuntivo per confermare che l'utente già presente sulla piattaforma sia lo stesso nel tuo IdP.

Puoi invitare un membro specifico tramite il suo indirizzo email. Il vantaggio di questo metodo di invito è che puoi anche personalizzare i suoi permessi (ad esempio renderlo amministratore) durante il processo di invito.

Nota: Se la persona che stai cercando di invitare ha già un account su DataCamp, dovrai invitarla con la sua email esistente sulla piattaforma affinché il progresso di apprendimento venga trasferito.

Puoi generare un link di invito standard e personalizzare il link per aggiungere automaticamente i membri a team specifici quando si uniscono utilizzando questo metodo.

Alcuni altri vantaggi di questo metodo di invito:

Un Link Profondo SSO è qualsiasi link a una pagina su DataCamp che contiene un identificatore SSO aziendale. Quando un utente clicca su questo link, verrà automaticamente reindirizzato all'IdP per accedere con SSO (se non è già autenticato), e poi reindirizzato alla pagina che intendeva originariamente visitare. Se il provisioning Just-in-time è abilitato e non ha ancora un account DataCamp, ne verrà automaticamente creato uno nuovo.

Il formato di qualsiasi Link Profondo SSO è: https://www.datacamp.com/groups/<IDENTIFICATIVO_GRUPPO>/sso/saml/login?path=<PERCORSO>

Un esempio di <PERCORSO> potrebbe essere "/home" per collegarsi alla nostra homepage. Puoi indirizzare i link profondi SSO a corsi specifici e pagine di tracciamento.

Se il provisioning Just-in-time è abilitato, questo metodo di invito può essere utilizzato per creare account nuovi su DataCamp. Questo metodo può sempre essere usato per accedere ad account già aggiunti alla tua organizzazione. Se un utente ha un account esistente e non è già nell'organizzazione, verrà automaticamente aggiunto come membro al momento del login.

A seconda della configurazione specifica dell'IdP, i membri possono anche iscriversi direttamente dall'interno dell'IdP selezionando l'applicazione DataCamp nella directory.

Se il provisioning Just-in-time è abilitato, questo metodo di invito può essere utilizzato per creare account nuovi su DataCamp. Questo metodo può sempre essere usato per accedere ad account già aggiunti alla tua organizzazione. Se un utente ha un account esistente e non è già nell'organizzazione, verrà automaticamente aggiunto come membro al momento del login.

Nota: Alcuni Identity Provider, come Degreed, non supportano il login avviato dall'IdP.

Se stai utilizzando una delle nostre integrazioni LMS o LXP esistenti, è anche possibile combinare il SSO in modo che gli utenti possano accedere senza interruzioni a DataCamp tramite SSO direttamente dall'IdP. Per maggiori informazioni, leggi la nostra documentazione LMS e LXP.

Questo metodo di invito può essere utilizzato per creare account nuovi su DataCamp (se il provisioning Just-in-time è abilitato) o per accedere ad account già aggiunti alla tua organizzazione. Se un utente ha un account esistente e non è già nell'organizzazione, verrà automaticamente aggiunto come membro al momento del login.

Ci sono diversi modi in cui il tuo amministratore può invitarti in un'organizzazione quando il SSO è abilitato e obbligatorio.

Il tuo amministratore potrebbe invitarti a unirti alla loro organizzazione DataCamp tramite email.

Nota: Se hai un account DataCamp esistente con un indirizzo email diverso e vuoi che il tuo progresso nei corsi venga riflesso nel gruppo, puoi aggiornare la tua email nel profilo prima di accettare l'invito, quindi chiedere al tuo amministratore di rinviare l'invito (la sua email sarà inclusa nell'email di invito). Altrimenti, creerai un account separato.

Quando sei pronto per accettare, seleziona semplicemente Partecipa al gruppo nell'email o nelle notifiche in-app se hai già un account. Verrai reindirizzato all'Identity Provider (IdP) per accedere con le tue credenziali SSO. Se il login ha successo, verrai reindirizzato a DataCamp e avrai accesso all'organizzazione su DataCamp.

Nota: Se il SSO è opzionale, verrai reindirizzato al modulo di registrazione. Poiché è opzionale, non ti richiederemo di passare attraverso il tuo IdP!

Se il SSO è abilitato e obbligatorio, i membri che cliccano su un link di invito verranno automaticamente reindirizzati all'Identity Provider (IdP) per accedere con le credenziali SSO.

Al termine dell'autenticazione:

I membri potranno anche aggiungersi all'organizzazione effettuando prima l'accesso al tuo IdP, trovando l'applicazione DataCamp e cliccando sull'applicazione per unirsi. Analogamente, è tipicamente possibile unirsi all'organizzazione tramite il tuo sistema LMS o LXP (se il tuo amministratore lo ha configurato) o tramite un link profondo SSO personalizzato creato dal tuo amministratore. Se l'organizzazione ha abilitato il provisioning Just-in-time e non hai un account DataCamp, usando questo metodo di invito verrà creato un account per te.

Nota: Per motivi di sicurezza, se hai un account DataCamp esistente e non sei già nell'organizzazione, il tuo amministratore dovrà invitarti con uno dei metodi di invito alternativi elencati sopra.

Se provi a unirti tramite un link di invito DataCamp, ma la tua organizzazione non ha più licenze disponibili, verrai aggiunto a una lista d'attesa. Il tuo amministratore sarà informato del tentativo di accesso all'organizzazione. Se approva la tua richiesta dalla lista d'attesa, verrai aggiunto all'organizzazione e riceverai un'email di conferma.

Dopo aver creato un account DataCamp e esserti iscritto alla tua organizzazione, puoi accedere a DataCamp con SSO in diversi modi.

Puoi andare alla nostra pagina di accesso normale qui: https://www.datacamp.com/users/sign_in.

Inserisci la tua email (che dovrebbe essere la stessa associata alle tue credenziali SSO). Finché sei membro dell'organizzazione, rileveremo che devi accedere con SSO e ti reindirizzeremo al tuo IdP per completare il processo di accesso. Una volta completato, verrai reindirizzato a DataCamp per continuare ad apprendere.

Se il SSO è abilitato per la tua organizzazione, ma non obbligatorio, potrai accedere con SSO (cliccando il pulsante "Usa SSO" mostrato sotto) oppure usando la tua email e password DataCamp.

Il pulsante “Usa SSO” sarà mostrato se il SSO è opzionale per la tua organizzazione

I membri potranno anche accedere a DataCamp effettuando prima l'accesso al tuo IdP, trovando l'applicazione DataCamp e cliccando sull'applicazione. Analogamente, puoi tipicamente accedere a DataCamp tramite il tuo sistema LMS o LXP (se il tuo amministratore lo ha configurato) o tramite un link profondo SSO personalizzato creato dal tuo amministratore. Supponendo che tu abbia già un account DataCamp e sia membro del gruppo, questo dovrebbe richiedere un solo clic per accedere a DataCamp.

Per i clienti che hanno un'integrazione LMS con DataCamp, offriamo un'opzione per identificare gli utenti tramite un identificatore LMS, che può differire dalla loro email o dal loro NameID. Questo è utile nei casi in cui i tuoi membri potrebbero avere identificatori diversi per tutti e tre (email, NameID e ID LMS), e desideri usare un identificatore specifico per le integrazioni LMS.

Per supportare questa funzionalità, accettiamo l'identificatore LMS come attributo SAML nella risposta SAML con uno dei seguenti nomi:

Quando questo ci viene inviato, lo registriamo e siamo in grado di usarlo nelle tue integrazioni LMS con DataCamp, cioè includerlo come identificatore utente negli eventi di completamento utente.

Supportiamo l'aggiunta automatica di utenti ai team del tuo gruppo DataCamp tramite attributi SAML usando l'attributo SAML dc_groups. Per usare questa funzione, configura l'attributo dc_groups nel tuo Identity Provider (IdP) per includere uno o più nomi di team come valori, dove ogni nome team è un valore stringa/testo.

Per più team, fornisci un attributo multi-valore, ad esempio:

Per un singolo team, puoi fornire un attributo a singolo valore, ad esempio:

Per aggiungere un utente a un team esistente, è essenziale che il nome del team fornito corrisponda esattamente al nome del team configurato in DataCamp (non fa differenza tra maiuscole e minuscole). Se un team specificato non esiste, creeremo automaticamente un nuovo team e aggiungeremo l'utente a esso.

Nota importante (#1): Questa funzionalità è attualmente strettamente solo aggiuntiva. Ciò significa che non rimuoveremo mai gli utenti da un team. Se un utente appartiene a uno o più team, inviare un valore dc_groups vuoto, o ometterlo del tutto, non rimuoverà l'utente da nessun team.

Nota importante (#2): Attualmente, un utente non verrà aggiunto al/i team se durante il flusso SSO finisce nella lista d'attesa o deve confermare la proprietà dell'account durante il flusso. Questo è dovuto a una limitazione da parte nostra.

La whitelist dei domini email consente alla tua organizzazione di rivendicare uno o più domini email (ad esempio, yourcompany.com) e di indirizzare automaticamente gli utenti con indirizzi email corrispondenti al tuo Identity Provider (IdP) Single Sign-On durante i flussi di accesso e registrazione.

Una volta che il tuo dominio è nella whitelist:

Per avviare il processo di whitelist dei domini email, contatta il tuo Customer Success Manager o il supporto DataCamp. Come parte di questo processo, verificheremo che la tua organizzazione controlli il/ i dominio/i che desideri rivendicare.

Una volta abilitato il SSO, i tuoi membri esistenti riceveranno un'email che li invita ad accedere con le credenziali dell'IdP. Una volta completato, i membri dovranno sempre effettuare l'accesso con le credenziali dell'IdP mentre sono membri di un'organizzazione con SSO abilitato.

Il membro verrà aggiunto alla lista d'attesa e verrà inviata un'email a tutti gli amministratori. Dopo l'approvazione da parte di uno di questi amministratori, verrà aggiunta una licenza e l'utente potrà usare DataCamp.

DataCamp supporta sia il Single Sign-On avviato dall'IdP che dal Service Provider (SP).

Sì, il SSO è supportato nell'app mobile.

Non esiste un'impostazione DataCamp per bloccare l'accesso mobile con il Single Sign-On. Tuttavia, in passato i clienti sono riusciti a bloccare l'accesso mobile dalla loro parte nella configurazione dell'IdP.

Se un membro della tua organizzazione viene rimosso come Membro su DataCamp, riceverà un'email che lo invita a creare nuove informazioni di accesso. Verrà inoltre invitato a confermare il proprio indirizzo email e a creare una nuova password. Non avrà più accesso alla tua organizzazione o ai contenuti premium inclusi nel tuo abbonamento.

Se rimuovi un membro dal tuo IdP e disattivi le sue credenziali di accesso IdP, non potrà più accedere a DataCamp. Nota che il membro non verrà rimosso automaticamente dalla lista Membri dell'organizzazione DataCamp; questo dovrà essere fatto manualmente nella pagina Membri. Contatta il nostro team di supporto se hai bisogno di assistenza per rimuovere un membro dalla tua organizzazione.

Facciamo molto affidamento sul formato NameID per identificare univocamente gli utenti basandoci sulle informazioni di login fornite dalla loro organizzazione.

Se il formato NameID è impostato su email, cambiare l'email equivale a creare una nuova identità utente, causando la perdita di accesso al loro account originale.

Se il formato NameID è impostato su unspecified, allora cambiare l'email va bene: la aggiorneremo automaticamente nel nostro sistema finché riusciremo a identificare l'utente basandoci sul NameID. Tuttavia, questo non funzionerà se la nuova email è già associata a un altro account.

Tutti i certificati sono auto-firmati per impostazione predefinita. Contatta il nostro team di supporto se necessiti di certificati firmati da CA.

Se ricevi un errore che indica che il link DataCamp non funziona, come nello screenshot sottostante:

O forse uno più descrittivo, come questo di Azure AD:

Questi errori si verificano sull'IdP, quindi dovrai contattare il tuo amministratore e chiedere l'accesso all'applicazione DataCamp. Purtroppo non è qualcosa che DataCamp può risolvere.

Richiediamo due URL ACS per supportare completamente sia i flussi di login avviati dal SP sia quelli avviati dall'IdP. Entrambi gli URL devono essere configurati per garantire che l'autenticazione funzioni correttamente, sia che gli utenti inizino il processo di login dalla pagina di accesso DataCamp, sia che lo facciano direttamente dal loro Identity Provider (IdP).

Quando si aggiorna il certificato SSO (ad esempio, a causa di scadenza), è fondamentale coordinare l'aggiornamento sia con DataCamp che con il tuo Identity Provider (IdP) per evitare interruzioni di accesso.

Hai due opzioni:

Quando un utente tenta di accedere tramite il SSO di un gruppo DataCamp e notiamo che esiste già un account DataCamp con quella email, non possiamo aggiungere l'utente al gruppo finché non dimostra di essere il proprietario dell'account DataCamp esistente. Questo processo si chiama flusso di conferma della proprietà dell'account.

In questo flusso, reindirizziamo l'utente al modulo di accesso standard dove deve dimostrare la proprietà effettuando il login con la password (o tramite un provider di login sociale come Google). Non possono dimostrare la proprietà accedendo con il SSO del gruppo. Devono effettuare l'accesso con uno dei metodi di autenticazione esistenti sull'account DataCamp esistente.

Una volta dimostrata la proprietà effettuando l'accesso, li aggiungiamo al gruppo e potranno utilizzare il SSO del gruppo per autenticarsi in futuro.