> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cloud/it/getting-started/get-started-with-sso-in-devolutions-cloud/configure-sso-authentication-with-microsoft-azure.md). # Configuri l'autenticazione SSO con Microsoft Azure Configuri il single sign-on e il provisioning SCIM per Devolutions Cloud con Microsoft Entra ID, inclusa la verifica del dominio e la sincronizzazione degli utenti. Ecco i passaggi per configurare Azure con Devolutions Cloud per l'autenticazione single sign-on (SSO) e il provisioning degli utenti. {% hint style="warning" %} È necessario un [account Entra ID](https://azure.microsoft.com/) con i diritti appropriati. È inoltre richiesto almeno un abbonamento Microsoft Entra ID P1 (Premium P1). {% endhint %} {% hint style="info" %} Anche con un SSO configurato, l'accesso ai dati sensibili richiede comunque l'inserimento di una password, la risposta a una notifica push, la scansione di un codice QR o il soddisfacimento di qualsiasi altra richiesta di conferma ritenuta necessaria per rispettare il principio zero knowledge. L'installazione del [servizio di crittografia di Devolutions ](/cloud/it/web-interface/administration/configuration-and-security/access-and-authentication/encryption-service.md)permette di aggirare questa misura. {% endhint %} ### Verifica del dominio **In Devolutions Cloud** 1. Vada su ***Administration*** – ***Authentication*** – ***Domain***, quindi clicchi su ***Add domain***. 2. Inserisca il suo dominio, quindi clicchi sul segno di spunta per avviare il processo di verifica. 3. Per avere più domini, clicchi di nuovo su ***Add Domain***, inserisca l'altro dominio, quindi clicchi sul segno di spunta. Ripeta questo processo per ogni dominio che desidera aggiungere. 4. Crei un [record DNS TXT](https://learn.microsoft.com/en-us/microsoft-365/admin/get-help-with-domains/create-dns-records-at-any-dns-hosting-provider) utilizzando l'***Host name*** e il ***TXT value*** forniti. Questo ci consente di verificare la proprietà dei domini indicati. Le consigliamo di verificare che la configurazione sia adeguata tramite strumenti di interrogazione DNS come [MXToolBox](https://mxtoolbox.com/SuperTool.aspx) o [whatsmydns.net](https://www.whatsmydns.net/). La prima parte del Domain Name deve corrispondere all'***Host name*** in Devolutions Cloud e il Record deve corrispondere anche al ***TXT value*** in Devolutions Cloud. {% hint style="warning" %} La propagazione dei record DNS TXT può richiedere del tempo. Una volta verificato il dominio, non è necessario mantenere il record DNS TXT. {% endhint %} 5. Attenda la verifica del dominio. In caso di verifica riuscita, accanto al dominio verrà visualizzato un segno di spunta all'interno di un cerchio verde. Può procedere alla configurazione del Single Sign-On (SSO) durante il processo di verifica; tuttavia, il provisioning degli utenti diventerà accessibile solo dopo che il dominio è stato verificato. {% hint style="warning" %} Questa convalida dura 48 ore e non riparte automaticamente dopo tale periodo. Se non configura il suo record TXT entro queste 48 ore, lo stato della convalida sarà ***Expired***. In tal caso, può cliccare su ***Retry***. Se riscontra problemi durante la verifica del dominio, consulti la nostra guida [Risoluzione dei problemi di convalida del dominio](/cloud/it/knowledge-base/troubleshooting-articles/domain-validation-troubleshooting.md). {% endhint %} ### Configurazione del Single Sign-On (SSO) 1. Vada su ***Administration – Authentication – Single Sign-On (SSO)***, quindi clicchi su ***Microsoft Single Sign-On (SSO)***. Verrà indirizzato alla pagina di configurazione. 2. Assegni un ***Name*** alla sua configurazione SSO. Questo nome apparirà solo nel menu delle impostazioni SSO di Devolutions Cloud. Il nome predefinito è "Microsoft". {% hint style="warning" %} Non chiuda questa pagina di configurazione, poiché i passaggi seguenti le mostreranno dove trovare le informazioni da inserire nei suoi campi. {% endhint %} **Nel portale Azure** 3. In una nuova pagina del browser web, apra il suo [portale Microsoft Azure](https://azure.microsoft.com/) e acceda al suo account. 4. Selezioni ***Microsoft Entra ID*** nella sezione ***Azure services***. Se non lo vede, clicchi su ***More services*** per far apparire gli altri servizi. 5. In ***Overview***, clicchi su ***Add***, quindi selezioni ***Enterprise application***. 6. Clicchi su ***Create your own application***. 7. Inserisca il nome di questa nuova applicazione, quindi clicchi su ***Create***. {% hint style="success" %} Le consigliamo di includere "Devolutions" oppure "Cloud" nel nome. {% endhint %} 8. Nelle ***Properties***, imposti le impostazioni ***Assignment required?*** e ***Visible to users*** secondo le sue esigenze. Per maggiori informazioni su queste impostazioni, passi il cursore sulle icone di informazione accanto ad esse. 9. Salvi le modifiche, se applicabile, utilizzando il pulsante ***Save*** in alto. 10. Rimanendo in ***Properties***, clicchi su ***application registration*** nel testo in alto. 11. Selezioni ***Authentication*** nel menu a sinistra, quindi clicchi su ***Add a platform***.

Provi ad abilitare l'opzione ID tokens (used for implicit and hybrid flows) se riceve il seguente messaggio di errore durante l'autenticazione: "There was an error with the external authentication request. Check console for details".

12. In ***Configure platforms***, selezioni ***Web***. **In Devolutions Cloud** 13. Tornando alla pagina ***Configure Single Sign-On (SSO)***, copi il ***Callback URL*** cliccando sull'icona ***Copy to Clipboard*** accanto ad esso. **Nel portale Azure** 14. Di nuovo nel portale Azure, incolli il ***Callback URL*** nel campo ***Redirect URIs***, quindi clicchi su ***Configure*** in basso. 15. Selezioni ***Token configuration*** nel menu a sinistra, quindi clicchi su ***Add optional claim***. 16. In ***Token type***, selezioni ***ID***. Quindi, nell'elenco, selezioni i seguenti claim: * ***email*** * ***family\_name*** * ***given\_name*** * ***upn*** * ***xms\_pl*** * ***xms\_tpl*** 17. Clicchi su ***Add***. 18. Quando richiesto, abiliti ***Turn on the Microsoft Graph email***, quindi clicchi su ***Add***. 19. Selezioni ***Overview*** nel menu a sinistra, quindi copi l'***Application (client) ID*** cliccando sull'icona ***Copy to clipboard*** accanto ad esso. **In Devolutions Cloud** 20. Tornando alla pagina ***Configure Single Sign-On (SSO)***, incolli l'***Application (client) ID*** del passaggio precedente nel campo ***Client ID***. **Nel portale Azure** 21. Di nuovo nel portale Azure, selezioni ***Certificates & secrets*** nel menu a sinistra, quindi, nella scheda ***Client secrets***, clicchi su ***New client secret***. 22. Nella finestra ***Add a client secret***, inserisca una ***Description*** (ad esempio, il nome della sua app Enterprise) e selezioni una data di scadenza per questo client secret, in base alle sue migliori pratiche di sicurezza interne. {% hint style="warning" %} Tenga presente che quando il client secret scade, nessuno potrà connettersi all'istanza Devolutions Cloud associata. Sarà quindi necessario creare un nuovo client secret. Le consigliamo di impostare un promemoria prima della data di scadenza. {% endhint %} 23. Clicchi su ***Add***. 24. Copi il ***Value*** di questo nuovo client secret cliccando sull'icona ***Copy to clipboard*** accanto ad esso. **In Devolutions Cloud** 25. Tornando alla pagina ***Configure Single Sign-On (SSO)***, clicchi sull'icona ***Paste*** per inserire il ***Value*** del passaggio precedente nel campo ***Client secret Key***. **Nel portale Azure** 26. Di nuovo nel portale Azure, selezioni ***Overview*** nel menu a sinistra, quindi clicchi sulla scheda ***Endpoints***. 27. Nella finestra ***Endpoints***, copi l'URL ***OpenID Connect metadata document*** cliccando sull'icona ***Copy to clipboard*** accanto ad esso. **In Devolutions Cloud** 28. Tornando alla pagina ***Configure Single Sign-On (SSO)***, incolli l'URL del passaggio precedente nel campo ***Discovery URL***. 29. Clicchi su ***Test Configuration*** per assicurarsi che sia corretta. Una finestra popup le chiederà di inserire le sue credenziali di accesso. {% hint style="warning" %} Se la pagina popup non appare, consulti [La pagina di login di Devolutions non si apre nel browser](https://docs.devolutions.net/resources/it/other-resources/devolutions-login-page-does-not-open-in-the-browser). {% endhint %} 30. Se la connessione è riuscita, il suo account si connetterà con Entra ID e visualizzerà un riepilogo della sua configurazione. 31. Nel ***Summary*** della sua configurazione, clicchi su ***Save***. ### Configurazione del provisioning La verifica del dominio deve essere completata per poter configurare il provisioning. Per sincronizzare gli utenti e i gruppi di utenti dai suoi provider a Devolutions Cloud, aggiunga prima gli utenti e i gruppi alla sua applicazione enterprise. È necessario disporre di una licenza Azure Enterprise per poter sincronizzare i gruppi di utenti. {% hint style="warning" %} I gruppi nidificati non sono supportati, il che significa che il provisioning di Azure non sincronizzerà gli utenti membri del gruppo nidificato. {% endhint %} **Nel portale Azure** 1. Selezioni ***Users and groups*** nel menu a sinistra, quindi clicchi su ***Add user/group***. 2. In ***Add Assignment***, clicchi su ***None selected***. 3. Cerchi manualmente utenti e gruppi oppure utilizzi la barra ***Search***. Clicchi su ***Select*** quando ha terminato la selezione. 4. Clicchi su ***Assign*** quando la selezione è completa. Ora che gli utenti e i gruppi sono stati aggiunti, continui con la configurazione del provisioning. 5. Nella gestione della sua app Enterprise, vada su ***Provisioning*** e clicchi su ***Get started***. **In Devolutions Cloud** 6. Vada su ***Administration – Authentication – Provisioning*** e abiliti ***SCIM provisioning***. 7. In ***Provisioning synchronization setup***, copi il ***Tenant URL*** cliccando sull'icona ***Copy to Clipboard*** accanto ad esso. **Nel portale Azure** 8. Imposti il ***Provisioning Mode*** su ***Automatic***, quindi incolli l'URL del passaggio precedente nel campo ***Tenant URL***. **In Devolutions Cloud** 9. Copi il ***Secret Token*** cliccando sull'icona ***Copy to Clipboard*** accanto ad esso. **Nel portale Azure** 10. Incolli il token del passaggio precedente nel campo ***Secret Token***. 11. Testi la connessione per assicurarsi che funzioni, quindi clicchi su ***Save***. 12. Selezioni ***Provisioning*** nel menu a sinistra, quindi clicchi su ***Start provisioning***. **In Devolutions Cloud** 13. Clicchi su ***Activate Synchronization***. 14. Quando le viene chiesta la conferma, clicchi su ***Start Synchronization***. Ora può visualizzare una panoramica della sincronizzazione del provisioning. Accanto al ***Tenant URL***, ha le opzioni per ***Regenerate a SCIM Token*** o ***Delete the SCIM Provisioning***. {% hint style="warning" %} Il ***Secret Token*** scadrà 365 giorni dopo la sua generazione. Quando ciò accadrà, il provisioning smetterà di funzionare. Sarà quindi necessario rigenerare un nuovo token nella pagina ***Provisioning synchronization overview*** vista sopra. Le consigliamo di impostare un promemoria prima della data di scadenza. {% endhint %} ### Sincronizzazione tra Azure e Devolutions Cloud La sincronizzazione inizia automaticamente al termine della configurazione del provisioning. La frequenza di provisioning di Azure è di massimo 45 minuti ed è determinata dal suo provider di identità. I gruppi di utenti, compresi i loro membri, si sincronizzeranno entro questo tempo di provisioning di Azure. Le consigliamo di verificare i primi risultati del provisioning. In ***Administration*** – ***User groups*** verranno aggiunti i gruppi di utenti di Azure. Sono riconoscibili dall'icona di gruppo ***Is sync*** accanto al nome del gruppo. In ***Administration*** – ***Users***, tutti gli utenti del gruppo di utenti Azure che fanno già parte del suo Devolutions Cloud verranno contrassegnati come sincronizzati con l'icona ***Is sync*** accanto al loro nome. Tutti i nuovi utenti appartenenti al gruppo di utenti Azure sincronizzato che non fanno parte di Devolutions Cloud verranno suggeriti come [nuovi inviti](/cloud/it/getting-started/get-started-with-sso-in-devolutions-cloud/invite-users-to-devolutions-cloud-with-sso.md) in ***Invitations required***. {% hint style="success" %} Tutti gli utenti che disponevano già di un Devolutions Account vedranno entrambe le opzioni di accesso: il metodo Devolutions Account e il metodo Microsoft. {% endhint %} Quindi, vada al suo portale Azure, selezioni la sua applicazione Devolutions Cloud, navighi su ***Manage*** –***Provisioning*** e clicchi su ***Restart provisioning*** per sincronizzare i nuovi utenti. ### Domande e risposte **D: Perché gli utenti ricevono ancora una richiesta di password dopo l'accesso SSO?** **R:** Questa richiesta è correlata alla chiave privata. Quando gli utenti si connettono, viene loro chiesto di scegliere come verrà archiviata la chiave privata. Se scelgono la password, dovranno inserirla la prima volta che si connettono da un nuovo browser o dopo aver svuotato la cache del browser. **D: È possibile disattivare questa richiesta della chiave privata?** **R:** L'unico modo per disattivare la richiesta della chiave privata è configurare un proprio servizio di crittografia. Per maggiori dettagli, consulti [Servizio di crittografia](/cloud/it/web-interface/administration/configuration-and-security/access-and-authentication/encryption-service.md). **D: Come possiamo aggiungere utenti guest al nostro Devolutions Cloud?** **R:** Se gli utenti guest fanno parte dell'ambiente Entra ID, possono essere aggiunti tramite il processo di provisioning. Quando gli utenti guest non necessitano più dell'accesso, è sufficiente rimuoverli dalla configurazione del provisioning. **D: Il client ID o il secret fornito dalla sua organizzazione non è valido, contatti un amministratore della sua organizzazione.** **R:** Molto probabilmente questo significa che il client secret è scaduto nel portale Microsoft Azure. La soluzione consiste nel creare un nuovo secret e aggiornarlo nella configurazione SSO di Devolutions Cloud. **D: Se l'opzione per forzare tutti gli utenti e gli amministratori ad accedere con SSO è abilitata, cosa succederebbe in caso di errore dell'SSO?** **R**: Se Force SSO è abilitato per tutti gli utenti, questi perderanno l'accesso a Devolutions Cloud in caso di errore di configurazione o di inattività del provider SSO. Si raccomanda vivamente di informare tutti gli utenti esistenti in Devolutions Cloud di questo nuovo metodo di autenticazione prima dell'attivazione. In alternativa, consulti [Disattivare Force SSO per tutti gli utenti in Devolutions Cloud usando PowerShell](https://docs.devolutions.net/powershell/it/devolutions-cloud-powershell/disable-force-sso-on-all-users-in-devolutions-cloud-using-powershell) per disattivare temporaneamente la funzionalità. **D: È possibile modificare l'UPN di un utente?** **R:** Devolutions Cloud utilizza l'UPN, non l'email, per autenticare gli utenti nel database. La modifica dell'UPN comporta anche la modifica delle informazioni relative all'utente. Devolutions Cloud lo considera un nuovo utente, rendendo necessaria la ripetizione del processo di invito. **D:** **Se un** **Devolutions Cloud** **viene creato per errore e collegato a un account, è possibile eliminarlo?** **R:** Devolutions Cloud viene eliminato automaticamente dopo 90 giorni di inattività. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.devolutions.net/cloud/it/getting-started/get-started-with-sso-in-devolutions-cloud/configure-sso-authentication-with-microsoft-azure.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.