Wise Timetable
IT

Guida pratica

Configurazione dell’accesso con Microsoft

Il single sign-on con Microsoft Entra ID richiede circa dieci minuti per un’intera scuola: un’approvazione da parte del Vostro amministratore Microsoft 365, due impostazioni nelle impostazioni web della scuola e schede di docente i cui indirizzi corrispondano. Da parte Vostra non si registra nulla, e non viene letto nulla da caselle di posta, calendari o file.

Che cosa Wise Timetable chiede a Microsoft

Per la verifica di sicurezza. L’accesso vero e proprio avviene presso Microsoft, quindi l’autenticazione a più fattori e le Vostre policy di Conditional Access si applicano esattamente come per Outlook.

AspettoChe cos'è
ProtocolloOpenID Connect, flusso authorization code con PKCE. Il codice viene scambiato sul nostro server, mai nel browser.
ApplicazioneWise Timetable, un’unica applicazione multi-tenant registrata e gestita da Wise Technologies in Microsoft Entra ID (già Azure AD). Voi non registrate nulla.
Autorizzazioniopenid, profile ed email, tutte delegate — solo accesso e profilo di base. Non viene richiesto alcun token per chiamare Microsoft Graph, e non vengono letti posta, calendari, file, Teams né dati della directory.
PasswordDigitate solo sulla pagina di Microsoft. Wise Timetable riceve una dichiarazione firmata su chi è la persona, mai una password.
Che cosa viene conservatoLa dichiarazione firmata viene verificata e scartata. Il docente viene individuato e inizia la stessa sessione di Wise Timetable che si ottiene con un accesso con password, per un massimo di otto ore.

Chi viene ammesso, e come chi

  • Solo account del Vostro tenant. La scuola indica il proprio tenant nelle impostazioni, e una dichiarazione firmata proveniente da qualsiasi altra directory viene rifiutata.
  • Gli account Microsoft personali vengono rifiutati — outlook.com, hotmail.com, live.com — così come gli account ospite invitati nel Vostro tenant da un’altra organizzazione. Possono accedere solo gli account rilasciati dalla Vostra istituzione stessa.
  • Una persona viene abbinata tramite il proprio nome di accesso, lo user principal name come j.novak@your-university.edu, con l’e-mail indicata nella sua scheda di docente. Maiuscole e spazi circostanti vengono ignorati. L’attributo email separato e non verificato in Entra ID non è volutamente considerato attendibile a questo scopo.
  • I diritti derivano dalla scheda di docente, non da Microsoft. Un accesso con Microsoft ottiene esattamente ciò che la stessa persona otterrebbe con una password — la spunta Amministratore decide l’accesso all’amministrazione — e nulla nell’account Microsoft può aggiungervi alcunché.
  • Due schede con lo stesso indirizzo: viene scelta quella con la spunta Amministratore, poi la scheda più vecchia, e il duplicato viene annotato nel log del server per poterlo ripulire.

Attivazione

Due persone, circa dieci minuti: prima il Vostro amministratore Microsoft 365, una volta sola, poi l’ufficio orari.

  1. Approvate Wise Timetable, una volta

    Un amministratore del Vostro tenant autorizzato a concedere il consenso a livello di tenant — Global Administrator, Privileged Role Administrator, Cloud Application Administrator o Application Administrator — apre l’indirizzo di consenso riportato sotto, con il Vostro dominio inserito, e preme Accept. Ciò concede le autorizzazioni per l’intera istituzione, quindi a nessun membro del personale viene mai chiesto di dare il consenso.

  2. Indicate il Vostro tenant

    Nell’orario web della scuola, accedendo come amministratore di configurazione, aprite Impostazioni › Accesso. In Tenant Microsoft inserite il Vostro dominio in Microsoft 365 — la parte dopo la @ nei nomi di accesso del personale — oppure l’ID del tenant. Viene verificato con Microsoft al momento del salvataggio, quindi un errore di battitura viene intercettato lì.

  3. Verificate gli indirizzi

    Ogni membro del personale che prenota aule o lavora nell’amministrazione deve avere come e-mail nella propria scheda di docente l’indirizzo con cui accede a Microsoft. Dove le persone hanno un alias di posta diverso dal nome di accesso, inserite il nome di accesso.

  4. Provate con una persona

    Impostate Accedi con Microsoft su Microsoft, e password come prima, e fate accedere una persona dell’ufficio orari prima di avvisare chiunque altro. Le password continuano a funzionare per tutto il tempo.

Aperto una sola volta dal Vostro amministratore Microsoft 365, con il Vostro dominio al posto di your-university.edu. Microsoft mostra l’applicazione Wise Timetable e le autorizzazioni sopra indicate, e dopo Accept riporta l’amministratore a una pagina di Wise Timetable — è previsto, e lì non c’è nulla da fare. Finché non è fatto, al personale che preme il pulsante viene detto che la scuola non ha ancora approvato Wise Timetable.

Indirizzo
https://login.microsoftonline.com/your-university.edu/adminconsent?client_id=da9abd7c-069c-4e2a-90bc-c5c3880b5ae0

Controllo da Entra ID

Dopo l’approvazione, Wise Timetable compare nell’interfaccia di amministrazione Microsoft Entra in Enterprise applications. Due delle sue Properties vale la pena conoscere, e l’eliminazione dell’applicazione ritira completamente l’approvazione.

ProprietàEffetto
Assignment required? impostato su YesSolo gli utenti e i gruppi che assegnate in Users and groups possono accedere a Wise Timetable con Microsoft — un buon modo per iniziare con il solo ufficio orari.
Enabled for users to sign-in? impostato su NoDisattiva in una volta sola l’accesso Microsoft a Wise Timetable per l’intero tenant.

Le tre scelte

Accedi con Microsoft, nella stessa schermata di impostazioni del tenant. Una configurazione a metà non attiva nulla: finché Tenant Microsoft è vuoto, la scuola si comporta come Off, qualunque cosa dica questa impostazione, così nessuno può restare bloccato fuori da impostazioni salvate nell’ordine sbagliato.

SceltaChe cosa ottiene il personale
Off – solo nome utente e passwordNessun pulsante Microsoft. Da qui parte ogni scuola.
Microsoft, e password come primaPrima il pulsante Microsoft, poi sotto il modulo con nome utente e password. Funzionano entrambi.
Solo MicrosoftIl pulsante Microsoft. Le password dei docenti vengono rifiutate, ancora prima di essere verificate.

Solo Microsoft, quando siete pronti

  • Può essere salvato solo da chi in quel momento ha effettuato l’accesso con Microsoft. La schermata delle impostazioni lo rifiuta da una sessione con password, il che dimostra che il nuovo accesso funziona prima che il vecchio venga chiuso. Lo stesso vale per la modifica del tenant di una scuola che è già Solo Microsoft.
  • Gli account che Wise Technologies ha configurato a mano per la Vostra scuola mantengono le proprie password. Sono la via per rientrare se il lato Microsoft fosse mai configurato in modo errato; nella pagina di accesso il modulo è nascosto sotto Accedi invece con nome utente e password.
  • Tornare indietro non è mai bloccato. Microsoft, e password come prima può essere scelto da qualsiasi sessione, e le vecchie password tornano a funzionare.
  • Le app mobili non ne fanno parte. L’impostazione Mobile app: a lecturer’s timetable needs that lecturer’s password usa la password di Wise Timetable, quindi in una scuola che accede solo con Microsoft lasciatela disattivata.

Che cosa viene verificato a ogni accesso

Ciò che il server verifica prima di ammettere chiunque. Un accesso che non supera uno qualsiasi di questi controlli riceve nella pagina una frase neutra, e il motivo preciso va nel log del server.

  • La firma, rispetto alle chiavi di firma pubblicate da Microsoft, solo RS256.
  • Che la dichiarazione sia stata emessa per Wise Timetable, dal Vostro tenant, e sia attuale — audience, tenant ed emittente, e gli orari di emissione, di inizio validità e di scadenza, con due minuti di tolleranza per lo scarto dell’orologio.
  • Un valore monouso legato all’accesso di questo browser, e uno stato utilizzabile una sola volta che scade dopo dieci minuti, così un accesso non può essere riprodotto, né avviato in un browser e concluso in un altro.
  • Che l’account non sia né un account ospite né un account Microsoft personale.
  • Solo a quel punto, la scheda di docente con quel nome di accesso in questa scuola.

Risoluzione dei problemi

Che cosa vede il personale, perché, e che cosa risolve.

Il personale vedeCausaSoluzione
Nessun pulsante MicrosoftLa scuola è su Off, oppure Tenant Microsoft è vuoto.Indicate il tenant e scegliete una modalità.
… non ha ancora approvato Wise Timetable.Il consenso non è stato dato, o è stato ritirato.L’indirizzo di consenso riportato sopra.
… nessun docente di questa scuola ha quell’indirizzo e-mail.La scheda di docente non ha alcun indirizzo, oppure ne ha uno diverso, ad esempio un alias di posta.Inserite nella scheda il nome di accesso indicato nel messaggio.
Quell’account Microsoft non appartiene a questa scuola.Un account di un altro tenant, oppure Tenant Microsoft indica quello sbagliato.Verificate l’impostazione; altrimenti la persona sceglie l’account corretto.
Questo è un account ospite … oppure Questo è un account Microsoft personale.Un ospite B2B, oppure un account outlook.com, hotmail.com o live.com.Possono accedere solo gli account rilasciati dal Vostro tenant.
L’accesso con Microsoft non ha funzionato.Qualsiasi altro caso.Annotate l’orario e scriveteci; il log del server indica il motivo.

Desiderate vederlo in funzione?

Prenotate una presentazione online di 45 minuti e la illustreremo sul problema di programmazione del Vostro ateneo.

Prenota una demo onlineScarica la versione di prova gratuita