Ghid practic
Configurarea autentificării Microsoft
Autentificarea unică cu Microsoft Entra ID durează aproximativ zece minute pentru o școală întreagă: o aprobare de către administratorul dumneavoastră Microsoft 365, două setări în setările web proprii ale școlii și fișe de cadre didactice cu adrese care se potrivesc. Nimic nu se înregistrează la dumneavoastră și nimic nu se citește din căsuțe poștale, calendare sau fișiere.
Ce cere Wise Timetable de la Microsoft
Pentru analiza de securitate. Autentificarea propriu-zisă are loc la Microsoft, așa că autentificarea multifactor și politicile dumneavoastră Conditional Access se aplică exact ca la Outlook.
| Aspect | Ce este |
|---|---|
| Protocol | OpenID Connect, flux cu cod de autorizare (authorization code) cu PKCE. Codul este schimbat pe serverul nostru, niciodată în browser. |
| Aplicație | Wise Timetable, o aplicație multi-tenant înregistrată și operată de Wise Technologies în Microsoft Entra ID (fost Azure AD). Dumneavoastră nu înregistrați nimic. |
| Permisiuni | openid, profile și email, toate delegate — doar autentificare și profil de bază. Nu se solicită niciun token pentru apelarea Microsoft Graph și nu se citesc e-mailuri, calendare, fișiere, Teams sau date din director. |
| Parole | Se introduc doar pe pagina Microsoft. Wise Timetable primește o declarație semnată despre cine este persoana, niciodată o parolă. |
| Ce se păstrează | Declarația semnată este verificată și eliminată. Cadrul didactic este găsit și începe aceeași sesiune Wise Timetable pe care o primește o autentificare cu parolă, pentru cel mult opt ore. |
Cine este primit și ca cine
- Doar conturi din propriul dumneavoastră tenant. Școala își indică tenantul în setări, iar o declarație semnată din orice alt director este refuzată.
- Conturile Microsoft personale sunt refuzate — outlook.com, hotmail.com, live.com — la fel ca conturile de invitat aduse în tenantul dumneavoastră din altă organizație. Se pot autentifica doar conturile emise chiar de instituția dumneavoastră.
- O persoană este potrivită după numele de autentificare, user principal name, de exemplu j.novak@your-university.edu, cu E-mail-ul din fișa sa de cadru didactic. Literele mari și spațiile din jur sunt ignorate. Atributul email separat, neverificat, din Entra ID nu este considerat de încredere în acest scop, în mod deliberat.
- Drepturile provin din fișa cadrului didactic, nu de la Microsoft. O autentificare Microsoft primește exact ce ar primi aceeași persoană cu parolă — bifa Administrator decide accesul la administrare — și nimic din contul Microsoft nu poate adăuga la aceasta.
- Două fișe cu aceeași adresă: se alege cea cu bifa Administrator, apoi fișa mai veche, iar duplicatul este notat în jurnalul serverului pentru a putea fi pus în ordine.
Activarea
Două persoane, aproximativ zece minute: administratorul dumneavoastră Microsoft 365, o singură dată, apoi biroul de orar.
Aprobați Wise Timetable, o singură dată
Un administrator al tenantului dumneavoastră care poate acorda consimțământ la nivel de tenant — Global Administrator, Privileged Role Administrator, Cloud Application Administrator sau Application Administrator — deschide adresa de consimțământ de mai jos, cu propriul domeniu în ea, și apasă Accept. Aceasta acordă permisiunile pentru întreaga instituție, deci niciunui membru al personalului nu i se cere vreodată consimțământul.
Indicați tenantul dumneavoastră
În orarul web al școlii, autentificat ca administrator de configurare, deschideți Setări › Acces. În Microsoft tenant introduceți domeniul dumneavoastră din Microsoft 365 — partea de după @ din numele de autentificare ale personalului — sau ID-ul tenantului. Se verifică la Microsoft la salvare, astfel că o greșeală de tastare este prinsă acolo.
Verificați adresele
Fiecare membru al personalului care rezervă săli sau lucrează în administrare are nevoie ca E-mail-ul din fișa sa de cadru didactic să fie adresa cu care se autentifică la Microsoft. Acolo unde oamenii au un alias de poștă diferit de numele de autentificare, introduceți numele de autentificare.
Încercați cu o singură persoană
Setați Sign in with Microsoft pe Microsoft, and passwords as before și lăsați o persoană din biroul de orar să se autentifice înainte ca cineva să fie anunțat. Parolele continuă să funcționeze tot timpul.
Adresa de consimțământ
Deschisă o singură dată de administratorul dumneavoastră Microsoft 365, cu propriul domeniu în locul lui your-university.edu. Microsoft afișează aplicația Wise Timetable și permisiunile de mai sus, iar după Accept readuce administratorul pe o pagină Wise Timetable — este de așteptat și nu este nimic de făcut acolo. Până nu se face aceasta, personalului care apasă butonul i se spune că școala nu a aprobat încă Wise Timetable.
| Adresă |
|---|
https://login.microsoftonline.com/your-university.edu/adminconsent?client_id=da9abd7c-069c-4e2a-90bc-c5c3880b5ae0 |
Controlul din Entra ID
După aprobare, Wise Timetable apare în centrul de administrare Microsoft Entra, la Enterprise applications. Merită cunoscute două dintre Properties ale sale, iar ștergerea aplicației retrage complet aprobarea.
| Proprietate | Efect |
|---|---|
| Assignment required? setat pe Yes | Doar utilizatorii și grupurile pe care le atribuiți la Users and groups se pot autentifica în Wise Timetable cu Microsoft — o modalitate bună de a începe doar cu biroul de orar. |
| Enabled for users to sign-in? setat pe No | Dezactivează dintr-o dată autentificarea Microsoft în Wise Timetable pentru întregul tenant. |
Cele trei opțiuni
Sign in with Microsoft, pe același ecran de setări ca tenantul. O jumătate de configurare nu activează nimic: cât timp Microsoft tenant este gol, școala se comportă ca Off, indiferent ce spune această setare, astfel încât nimeni să nu poată fi blocat de setări salvate în ordine greșită.
| Opțiune | Ce primește personalul |
|---|---|
| Off – doar nume de utilizator și parolă | Fără buton Microsoft. De aici pornește fiecare școală. |
| Microsoft și parole ca înainte | Butonul Microsoft primul, iar formularul cu nume de utilizator și parolă sub el. Ambele funcționează. |
| Doar Microsoft | Butonul Microsoft. Parolele cadrelor didactice sunt refuzate, înainte de a fi măcar verificate. |
Doar Microsoft, când sunteți pregătit(ă)
- Poate fi salvată doar de cineva autentificat cu Microsoft în acel moment. Ecranul de setări o refuză dintr-o sesiune cu parolă, ceea ce dovedește că noua cale de acces funcționează înainte ca cea veche să se închidă. Același lucru se aplică la schimbarea tenantului unei școli care este deja Doar Microsoft.
- Conturile configurate manual de Wise Technologies pentru școala dumneavoastră își păstrează parolele. Ele sunt calea de întoarcere dacă partea Microsoft este vreodată configurată greșit; pe pagina de autentificare formularul este strâns sub Sign in with a username and password instead.
- Întoarcerea nu este niciodată blocată. Microsoft și parole ca înainte poate fi aleasă din orice sesiune, iar vechile parole funcționează din nou.
- Aplicațiile mobile nu fac parte din aceasta. Setarea Mobile app: a lecturer's timetable needs that lecturer's password folosește parola Wise Timetable, deci la o școală care se autentifică doar cu Microsoft, lăsați-o dezactivată.
Ce se verifică la fiecare autentificare
Ce verifică serverul înainte ca cineva să fie primit. O autentificare care eșuează la oricare dintre ele primește pe pagină o propoziție neutră, iar motivul precis ajunge în jurnalul serverului.
- Semnătura, față de cheile de semnare publicate de Microsoft, doar RS256.
- Că declarația a fost emisă pentru Wise Timetable, de tenantul dumneavoastră, și este actuală — audiența, tenantul și emitentul, precum și momentele emiterii, începutului de valabilitate și expirării, cu o toleranță de două minute pentru decalajul ceasului.
- O valoare unică legată de autentificarea acestui browser și o stare care poate fi folosită o singură dată și expiră după zece minute, astfel încât o autentificare să nu poată fi reluată sau începută într-un browser și terminată în altul.
- Că contul nu este nici de invitat, nici un cont Microsoft personal.
- Abia apoi, fișa cadrului didactic cu acel nume de autentificare la această școală.
Depanare
Ce vede personalul, de ce și ce rezolvă problema.
| Personalul vede | Cauză | Remediu |
|---|---|---|
| Niciun buton Microsoft | Școala este pe Off sau Microsoft tenant este gol. | Indicați tenantul și alegeți un mod. |
| … nu a aprobat încă Wise Timetable. | Consimțământul nu a fost dat sau a fost retras. | Adresa de consimțământ de mai sus. |
| … niciun cadru didactic de la această școală nu are acea adresă de e-mail. | Fișa cadrului didactic nu are adresă sau are alta, de exemplu un alias de poștă. | Treceți în fișă numele de autentificare afișat în mesaj. |
| Acel cont Microsoft nu aparține acestei școli. | Un cont din alt tenant sau Microsoft tenant indică un tenant greșit. | Verificați setarea; altfel persoana alege contul potrivit. |
| Acesta este un cont de invitat … sau Acesta este un cont Microsoft personal. | Un invitat B2B sau un cont outlook.com, hotmail.com ori live.com. | Se pot autentifica doar conturile emise de tenantul dumneavoastră. |
| Autentificarea cu Microsoft nu a funcționat. | Orice altceva. | Notați ora și scrieți-ne; jurnalul serverului indică motivul. |
Înrudite
- Autentificarea cu MicrosoftPartea pentru personal: pașii, configurarea unică Microsoft și ce înseamnă fiecare mesaj.
- Configurarea autentificării Microsoft, PDF-ulAceastă pagină ca ghid de opt pagini pentru IT și biroul de orar, de atașat la o analiză de securitate.
- Integrarea cu celelalte sisteme ale dumneavoastrăEvidența studenților, resurse umane, calendare și autentificare unică: fiecare cale de intrare și de ieșire a orarului.
- Instalarea în producțieDe la instalator la un orar funcțional: ce se rulează, în ce ordine și de ce are nevoie serverul.
Doriți să vedeți cum funcționează?
Rezervați o prezentare online de 45 de minute și o vom parcurge împreună, pornind de la problema de programare proprie instituției dumneavoastră.