Configura l’inici de sessió únic per a empreses amb OIDC

Informació sobre l’inici de sessió únic per a empreses amb OIDC

L’autenticació única per a empreses permet a la teva organització fer servir el teu proveïdor d’identitat per autenticar els usuaris en tots els negocis de la Comunitat Square. La implementació de Square és compatible amb l’inici de sessió únic iniciat pel proveïdor de serveis (SP) i l’iniciat pel proveïdor d’identitat (IDP).

Quan actives l’autenticació única per a un negoci, s’aplica automàticament a tots els usuaris dels teus dominis verificats que tinguin accés a aquest negoci. D’aquesta manera pots aplicar polítiques d’autenticació coherents a tota l’organització i contingut gestionant els usuaris de manera centralitzada des del teu proveïdor d’identitat.

Abans de començar

Pots triar entre 2 proveïdors d’identitat:

• Okta com a proveïdor d’identitat

• Microsoft Entra ID (anteriorment Azure AD) com a proveïdor d’identitat

També necessites:

• Accés d’administrador al teu proveïdor d’identitat (Okta o Entra ID). Comprova que hagis iniciat la sessió als teus proveïdors d’identitat:. 

• Capacitat per verificar la titularitat del domini (accés al DNS o accés d’administrador al correu electrònic).

• El permís Gestionar l’inici de sessió únic en tots els negocis de la Comunitat Square on vulguis activar aquesta funció. Si tens accés complet o ets el titular del compte, tindràs aquest permís automàticament per a aquest negoci. El titular del compte de cada negoci pot convidar-te al negoci de la Comunitat Square i concedir-te aquest permís.

Important: Quan actives l’autenticació única per a un negoci, s’aplica automàticament a totes les persones dels teus dominis verificats que tinguin accés a aquest negoci. En activar l’autenticació única, també s’eliminen els números de telèfon d’inici de sessió de tots els comptes dels teus dominis verificats, així com les contrasenyes i les claus d’accés dels comptes que només fan servir l’autenticació única. Planifica la implementació tenint això en compte i assegura’t que el proveïdor d’identitat estigui configurat correctament abans d’activar l’autenticació única. Podràs provar l’autenticació única amb comptes individuals abans d’activar-la per a tot el negoci.

Pas 1: configura el proveïdor d’identitat al Tauler de control de Square

Pots configurar-ho des del Tauler de control de Square de qualsevol negoci. Al pas 2, podràs seleccionar si vols que s’apliqui només a aquest negoci o a tots els teus negocis.

1. Inicia la sessió al Tauler de control de Square i ves a Compte i configuració > El meu negoci > Seguretat.

2. Fes clic a Configura a la secció Proveïdor d’identitat.

3. Selecciona Okta o Microsoft Entra ID i indica un nom per a aquesta configuració del proveïdor d’identitat. Aquest nom és només de referència per a tu durant la configuració

4. Segueix les instruccions per verificar els teus dominis amb un registre TXT. 

5. Afegeix el registre TXT a través del teu proveïdor de DNS i torna a Square per iniciar la verificació. Confirma que l’estat de la verificació sigui Verificat.

   1. Si la verificació falla, comprova que el registre TXT s’hagi aplicat correctament i torna-ho a provar periòdicament. La replicació pot tardar fins a 72 hores.

6. Selecciona quins negocis vols gestionar amb aquest proveïdor d’identitat. Això no activa automàticament l’autenticació única per a aquests negocis. 

7. Un cop el proveïdor d’identitat estigui actiu, podràs activar l’autenticació única per al teu negoci.

Pas 2: configura i activa l’autenticació única per al negoci

Què canvia quan actives l’autenticació única?

Quan actives l’autenticació única per a un negoci, aquests mètodes d’inici de sessió canvien per als comptes dels teus dominis verificats per garantir que el compte segueixi els mètodes d’autenticació esperats:

Els mètodes d’inici de sessió eliminats no tornen a estar disponibles si desactives l’inici de sessió únic.

Abans d’activar l’inici de sessió únic per a tot el negoci: Configura els comptes d’emergència (comptes de seguretat que es poden fer servir per iniciar la sessió si l’inici de sessió únic falla) configurant l’inici de sessió únic com a Opcional per permetre accedir al compte amb l’inici de sessió únic o amb la contrasenya. Confirma que cadascun pugui iniciar la sessió amb la seva contrasenya o clau d’accés.

1. Inicia la sessió al Tauler de control de Square i ves a Compte i configuració > El meu negoci > Seguretat.

2. Fes clic a Configura a la secció Inici de sessió únic.

3. Segueix les instruccions de la pantalla per connectar l’inici de sessió únic al teu proveïdor d’identitat.

4. Activa l’inici de sessió únic per a comptes específics.

   1. Si configures un compte com a opcional, l’usuari podrà accedir-hi amb l’inici de sessió únic o amb els mètodes d’inici de sessió habituals. Aquesta configuració preval sobre qualsevol altra aplicada a tot el negoci i es pot fer servir per als comptes d’emergència.

   2. Si configures un compte com a obligatori, l’usuari només podrà accedir-hi amb l’inici de sessió únic.

5. Quan vulguis implementar l’autenticació única com a obligatòria per a tot el negoci, selecciona Gestiona l’autenticació única per a negocis al menú desplegable.

6. Selecciona els negocis on vols activar l’autenticació única. Pots triar entre els negocis que gestiona el teu proveïdor d’identitat.

7. Selecciona quins comptes específics han de tenir l’autenticació única com a opcional. Això preval sobre la configuració aplicada a tot el negoci. Aquests seran els teus comptes d’emergència.

Important: Un cop activada l’autenticació única per a un negoci, tots els usuaris que hi treballin i tinguin adreces electròniques dels teus dominis verificats hauran de fer-la servir per accedir-hi.

La configuració no tancarà automàticament les sessions obertes. Un cop completats els passos de configuració, la pròxima vegada que s’introdueixi l’adreça electrònica d’un compte amb l’inici de sessió únic obligatori a la pàgina d’inici de sessió de Square, es redirigirà l’usuari al proveïdor d’identitat per iniciar la sessió.

Pas 3. Accedeix al compte mitjançant l’inici de sessió únic del proveïdor de serveis

Tots els comptes i usuaris dels negocis amb l’inici de sessió únic activat podran accedir al compte amb aquest mètode tant des del Tauler de control de Square com des de TPV.  Els inicis de sessió amb el codi del dispositiu i el codi d’accés no es veuran afectats.

Cada interfície d’inici de sessió reacciona de manera diferent a l’inici de sessió únic:

1. Ves al web d’https://app.squareup.com/login.

2. Introdueix l’adreça electrònica i fes clic a Continua.

   1. Fes clic a Inicia la sessió amb SSO si el compte està configurat com a Opcional.

Recomanacions

Activa l’autenticació de doble factor

• Usuaris d’Okta: activa les polítiques d’autenticació multifactor (MFA) a la consola d’administració d’Okta per a tots els usuaris que accedeixin a Square.

• Usuaris de MicrosoftEntra ID: activa l’autenticació multifactor d’Azure AD per a tots els usuaris a les teves polítiques d’accés condicional.

És fonamental disposar d’una autenticació sòlida amb el proveïdor d’identitat, ja que l’SSO evita els mecanismes de seguretat d’inici de sessió propis de Square.

Mantingues comptes d’accés d’emergència

Pots configurar comptes d’emergència activant l’inici de sessió únic com a opció per a comptes específics. Consulta el Pas 2 per configurar-les.

• Comprova periòdicament que tens accés amb els comptes d’emergència.

• Documenta els procediments d’accés d’emergència per a l’equip de TI.

• Desa les credencials dels comptes d’emergència de manera segura i per separat dels sistemes principals.

• Els comptes del titular o amb Accés complet que tinguin accés a tots els negocis on vulguis activar l’autenticació única són bones opcions com a comptes d’emergència.

Prova abans de completar la implementació

• Comença amb un grup pilot d’usuaris.

• Prova l’accés amb autenticació única a diferents aplicacions de Square: Tauler de control, TPV, aplicacions de Square per a iOS i Android.

• Introdueix l’adreça electrònica d’un compte amb l’inici de sessió únic obligatori a la pàgina d’inici de sessió del web. Confirma que es redirigeix al teu proveïdor d’identitat.

• Comprova que els permisos i els càrrecs dels usuaris es mantinguin després d’iniciar la sessió amb l’autenticació única.

• Confirma que els comptes d’emergència funcionen com està previst, incloent-hi l’inici de sessió amb la contrasenya o la clau d’accés corresponents.

• Confirma que l’inici de sessió amb el codi del dispositiu encara funciona als dispositius que fa servir el teu equip.

Quan venç una subscripció a un pla Prèmium de qualsevol producte de Square

Per fer servir l’inici de sessió únic, cal tenir una subscripció a un pla Prèmium de qualsevol producte de Square. Si la subscripció d’un negoci caduca:

1. L’autenticació única es desactiva immediatament per a aquest negoci.

2. Els comptes tornen a l’inici de sessió de Square. Els comptes obligatoris ja no han de fer servir el teu proveïdor d’identitat.

3. Quan vas activar l’inici de sessió únic, es van eliminar les contrasenyes dels comptes obligatoris. Un cop caduqui la subscripció, podran iniciar la sessió amb un codi d’un sol ús que se’ls enviarà per correu electrònic. A continuació, se’ls demanarà que afegeixin una contrasenya.

4. Les claus d’accés i els números de telèfon d’inici de sessió no tornen a estar disponibles. Torna-les a afegir.

Resol problemes habituals

La verificació del domini falla

Problema: la verificació del domini no es completa correctament.

Solucions:

• Mètode DNS: assegura’t que el registre TXT s’hagi afegit correctament a la configuració de DNS del teu domini. La propagació de DNS pot tardar fins a 72 hores.

• Diversos dominis: si tens diversos dominis, verifica’ls per separat.

Els usuaris no poden iniciar la sessió després d’activar l’autenticació única

Problema: els usuaris reben errors quan proven d’iniciar la sessió a Square

Solucions:

• Discrepància de domini: assegura’t que les adreces electròniques dels usuaris coincideixin exactament amb el teu domini verificat.

• Assignació d’usuaris: comprova que els usuaris estiguin assignats a l’aplicació OIDC del teu proveïdor d’identitat.

• Estat del compte: comprova que els comptes dels usuaris estiguin activats al teu proveïdor d’identitat.

• Problemes amb el navegador: esborra la memòria cau i les galetes del navegador o prova de fer servir una finestra d’incògnit o de navegació privada.

• Permisos de l’aplicació: assegura’t que l’aplicació OIDC tingui els permisos necessaris per consultar la informació del perfil d’usuari.

Un compte amb l’inici de sessió únic obligatori no pot iniciar la sessió amb una contrasenya

Problema: La contrasenya d’un compte amb l’inici de sessió únic obligatori no funciona a la pàgina d’inici de sessió de Square

Solucions:

• Comportament previst: l’inici de sessió únic elimina les contrasenyes dels comptes obligatoris. En lloc d’això, inicia la sessió a través del teu proveïdor d’identitat.

• L’inici de sessió únic està desactivat: Inicia la sessió amb un codi d’un sol ús que se t’enviarà per correu electrònic. A continuació, se’t demanarà que afegeixin una contrasenya.

L’autenticació única no funciona en tots els negocis

Problema: la configuració de l’inici de sessió únic no s’aplica de manera uniforme a diversos negocis.

Solucions:

• Vinculació de negocis: assegura’t que tots els negocis estiguin configurats correctament a la configuració del proveïdor d’identitat i de l’inici de sessió únic des del Tauler de control de Square.

• Verificació del domini: comprova que tots els dominis que es facin servir estiguin verificats des del Tauler de control de Square. 

• Temps de propagació: la configuració de l’inici de sessió únic pot tardar fins a 30 minuts a propagar-se a tots els negocis.