SSO (Enterprise)

Attenzione

La configurazione SSO è disponibile solo con il piano Enterprise. If you do not see la configurazione SSO sotto Impostazioni → Organizzazione → Sicurezza, assicurati che la tua organizzazione abbia un piano Enterprise o contatta il tuo referente Capgo.

Cos'è l'SSO?

Il Single Sign-On (SSO) permette al tuo team di accedere a Capgo tramite l'identity provider (IdP) aziendale. Capgo utilizza SAML 2.0 tramite Supabase Auth. Quando il dominio email di un utente corrisponde a un provider SSO attivo, l'utente può autenticarsi tramite il tuo IdP e viene aggiunto all'organizzazione durante la callback SSO.

L'SSO non modifica i permessi degli utenti. I permessi sono gestiti tramite i ruoli dell'organizzazione. L'SSO cambia solo la modalità di autenticazione.

Prerequisiti

Prima di iniziare:

• Abbonamento Enterprise attivo sull'organizzazione Capgo.
• Un identity provider che supporta SAML 2.0 e espone un URL di metadata IdP (HTTPS).
• Possibilità di pubblicare un record DNS TXT per il dominio email (es. company.com per gli utenti che effettuano l'accesso come user@company.com).
• un membro dell'organizzazione Capgo con permessi di modifica delle impostazioni.
• Un Admin IdP il team IT o security della tua azienda.

Dove trovare le impostazioni SSO

1. Apri https://console.capgo.app/
2. Clicca su Impostazioni nella barra laterale sinistra
3. Seleziona la Organizzazione scheda
4. Seleziona la Sicurezza scheda
5. Scorri fino a Configurazione SSO. Il modulo è disponibile solo se l'organizzazione ha un piano Enterprise.

Passaggio 1 - Configura il tuo IdP

Nel tuo identity provider, crea una nuova applicazione SAML 2.0. Ti serviranno i seguenti Service Provider valori mostrati nel pannello di configurazione SSO di Capgo:

Campo	Dove usarlo
URL ACS	URL Assertion Consumer Service nella tua app SAML IdP
ID Entità	Identificativo dell'entità Service Provider
URL metadati SP	Opzionale: importa se il tuo IdP supporta l'import di metadati SP tramite URL
Formato NameID	Formato previsto per il SAML Name Identifier

Il tuo IdP deve rilasciare l'indirizzo email dell'utente nell'assertion. Capgo usa il dominio email per risolvere il provider SSO attivo e per associare gli account esistenti.

Passaggio 2 - Aggiungi il provider SSO in Capgo

1. Nel pannello di configurazione SSO, clicca per aggiungere un nuovo provider
2. Inserisci il dominio email (es. company.com). Deve corrispondere alla parte del dominio delle email di accesso degli utenti
3. Inserisci l'URL dei metadati del tuo IdP (HTTPS)
4. Invia

Il provider è stato creato con stato In attesa di verifica.

Passaggio 3 - Verifica del dominio DNS

Capgo verifica che tu controlli il dominio prima che l'SSO possa essere attivato.

Aggiungi un TXT record presso il tuo provider DNS:

Campo	Valore
Tipo	TXT
Nome / host	_capgo-sso.<your-domain> (es. _capgo-sso.company.com)
Valore	Il token di verifica mostrato nel pannello della dashboard

Una volta pubblicato il record (la propagazione del DNS TTL richiede di solito da pochi minuti a un'ora), clicca su Verifica DNS nella dashboard. In caso di successo, il provider passa a Verificato.

Passaggio 4 - Attiva il provider

Dopo la verifica DNS, clicca su Attiva. Lo stato del provider diventa Attivo. Solo Attivo i provider vengono utilizzati durante il flusso di login SSO.

Puoi scegliere di Disattiva nella dashboard in qualsiasi momento. Questo sposta il provider in Disabilitato, mettendo in pausa l'SSO per quel dominio senza eliminare la configurazione.

Passaggio 5 - Testa e assegna i ruoli

Quando un utente effettua il primo accesso tramite SSO e non ha un'appartenenza esistente in quell'organizzazione, Capgo lo approvisiona con i permessi di lettura ruolo.

Dopo l'accesso degli utenti pilota:

1. Vai su Impostazioni → Organizzazione → Membri
2. Trova ogni utente gestito via SSO
3. Modifica il loro ruolo al livello corretto (Upload, Write, Admin, ecc.)

Guarda il dettaglio completo dei permessi per ogni relativo ruolo.

Nota

Se Supabase crea un utente SSO separato per un'email già presente in Capgo, Capgo unisce l'identità SSO all'account esistente e chiede all'utente di effettuare nuovamente il login.

Opzionale - Richiedi SSO

Su un Attivo provider puoi attivare Imponi l'SSO. Quando attivo, Capgo contrassegna gli utenti auth esistenti per quel dominio email come SSO-only e il flusso di login richiederà l'autenticazione IdP per quel dominio. Impostando il provider su Disabilitato (Disattiva) o disattivando l'enforcement si rimuove il flag SSO-only per il dominio.

Attenzione

Coordina l'operazione con l'amministratore del tuo IdP e avvisa tutti gli utenti interessati prima di attivare l'enforcement. Gli utenti che non riusciranno a completare l'autenticazione IdP non potranno accedere con la password per quel dominio.

Riferimento stato del provider

Stato	Significato
In attesa di verifica	Record DNS TXT non ancora verificato
Verificato	Proprietà del dominio confermata; pronto per l'attivazione
Attivo	L'SSO è attivo per questo dominio
Disabilitato	Impostato da Disattiva nel dashboard; l'SSO non è usato per quel dominio; usa Riattiva per tornare a Attivo

Checklist per il rollout

• Piano Enterprise confermato
• App SAML creata nell'IdP con ACS URL ed Entity ID da Capgo
• IdP configurato per rilasciare un claim email stabile
• Record DNS TXT pubblicato e Verifica DNS completato
• Provider attivato
• Utenti pilota loggati con successo
• Ruoli elevati rispetto a quelli di default letto se necessario
• Decisione di enforcement presa (e comunicata se abilitata)

Documentazione correlata

• Organizzazione: ruoli e permessi
• Sicurezza dell'organizzazione: 2FA, password, chiavi API

Continua con SSO (Enterprise)

Se stai usando SSO (Enterprise) per pianificare i flussi di autenticazione e account, collegandolo a @capgo/capacitor-social-login per i dettagli di implementazione in @capgo/capacitor-social-login, @capgo/capacitor-passkey per i dettagli di implementazione in @capgo/capacitor-passkey, @capgo/capacitor-native-biometric per i dettagli di implementazione in @capgo/capacitor-native-biometric, Autenticazione a due fattori per i dettagli di implementazione in Two-factor authentication, e 5 step per implementare OAuth2 nelle app Capacitor per il contesto pratico in 5 Steps to Implement OAuth2 in Capacitor Apps.