Autenticazione & SSO
Integrazione SSO
Single sign-on con il tuo identity provider tramite OpenID Connect o SAML 2.0. Passo per passo per Microsoft Entra ID, con gli URL di produzione e UAT.
Aggiornato il 1 ott 2026
Integrazioni · Autenticazione · 1.4
Con il single sign-on (SSO) i dipendenti accedono a Gfacility tramite l’identity provider della tua organizzazione, come Microsoft Entra ID (in precedenza Azure AD) o OneLogin. È il tuo reparto IT a decidere chi può accedere e a quali condizioni. Gfacility supporta OpenID Connect e SAML 2.0.
SSO o Accedi con Microsoft?
In entrambi i casi i dipendenti accedono con il loro account Microsoft aziendale, ma tramite un’app diversa nel tuo tenant Entra. Scegline una.
| Accedi con Microsoft | Single sign-on (SSO) | |
|---|---|---|
| Quale app | L'app di Gfacility | Un'app creata dal tuo reparto IT |
| Configurazione | Un amministratore approva una sola volta tramite un link | L'IT crea una registrazione app, l'amministratore Gfacility inserisce i dati |
| Chi gestisce l'app | Gfacility | Il tuo reparto IT (chi può accedere, per quanto resta valido un secret) |
| Ideale per | Partire in fretta, con poco lavoro per l'IT | Organizzazioni che vogliono mantenere il controllo |
Scegli Accedi con Microsoft? Consulta Accedi con Microsoft. Questo articolo tratta l’SSO.
In questo articolo trovi sempre gli URL per la produzione (app.gfacility.com) e per UAT/test (uat.gfacility.com). Usa l’URL dell’ambiente che stai configurando.
1. Configurazione tramite OpenID Connect (consigliata)
OpenID Connect è la soluzione più rapida da configurare. Il lavoro è diviso tra due persone: l’amministratore IT della tua organizzazione (passaggio A) e l’amministratore Gfacility (passaggio B).
A. In Microsoft Entra ID (amministratore IT)
| Passaggio | Cosa fare |
|---|---|
| 1 | Vai su entra.microsoft.com → Registrazioni app → Nuova registrazione. Inserisci un nome (ad esempio Gfacility SSO) e scegli Account solo in questa directory organizzativa. |
| 2 | In URI di reindirizzamento scegli la piattaforma Web e inserisci: PROD: https://app.gfacility.com/login/ssoUAT: https://uat.gfacility.com/login/ssoClicca su Registra. |
| 3 | Nella Panoramica annota l'ID dell'applicazione (client) e l'ID della directory (tenant). |
| 4 | Clicca su Endpoint e copia l'endpoint di autorizzazione OAuth 2.0 (v2). Termina con /oauth2/v2.0/authorize. |
| 5 | Vai su Autenticazione e spunta Token ID. Clicca su Salva. |
| 6 | Vai su Certificati e segreti → Nuovo segreto client. Copia subito il Valore (non l'ID segreto): viene mostrato una sola volta. Annota la data di scadenza. |
| 7 | Vai su Autorizzazioni API. Verifica che openid, profile e User.Read siano presenti in Microsoft Graph (delegate). Clicca su Concedi il consenso amministratore per [organizzazione] e conferma. |
| 8 | Vai su Applicazioni aziendali → [nome app] → Utenti e gruppi e aggiungi i dipendenti o i gruppi che possono accedere. |
B. In Gfacility (amministratore Gfacility)
Vai su Integrazioni e accesso → Single sign-on (SSO) → Aggiungi identity provider e scegli Microsoft Entra ID (OpenID). Compila:
| Campo in Gfacility | Cosa inserire |
|---|---|
| Authority URL | L'endpoint di autorizzazione del passaggio 4, che termina con /oauth2/v2.0/authorize |
| Redirect URL | Esattamente lo stesso URL del passaggio 2 |
| Post-logout redirect URL | Facoltativo, ad esempio https://app.gfacility.com/login |
| Scope | Lascialo vuoto (Gfacility usa allora openid profile) |
| Tenant ID | L'ID della directory (tenant) del passaggio 3 |
| Client ID | L'ID dell'applicazione (client) del passaggio 3 |
| Client secret | Il Valore del passaggio 6 |
Clicca su Verifica connessione. Attiva il single sign-on per tutti solo dopo averlo provato con un utente (vedi sotto).
Test
Apri una nuova finestra privata e vai su https://app.gfacility.com/login/sso?email=nome@tuaazienda.it (oppure uat. per l’ambiente di test). Accedi con quell’account. Se arrivi in Gfacility, funziona.
| Cosa vedi | Causa e soluzione |
|---|---|
| "Need admin approval" | Manca il consenso amministratore del passaggio 7. Se la schermata indica l'app di Gfacility invece della tua, l'accesso sta passando da Accedi con Microsoft: usa il link con /login/sso. |
| Errore sull'URL di risposta o sull'URI di reindirizzamento | L'URL di reindirizzamento in Gfacility e quello in Entra non sono esattamente uguali. Controlla https, app o uat e una / finale. |
| "not assigned to a role" o simile | L'utente non è stato aggiunto nel passaggio 8. |
| Di nuovo in Gfacility, ma senza accesso | L'indirizzo email dell'utente in Gfacility deve corrispondere al suo nome di accesso Microsoft. |
2. Configurazione tramite SAML 2.0
SAML richiede una configurazione una tantum da parte di Gfacility. Per questo concorda prima con noi il nome dell’azienda da usare negli URL. Poi segui questi passaggi in Microsoft Entra ID:
| Passaggio | Cosa fare |
|---|---|
| 1 | Vai su Applicazioni → Applicazioni aziendali → Panoramica. |
| 2 | Apri l'Azure AD SAML Toolkit. Non c'è? Clicca su + Nuova applicazione. |
| 3 | Nel menu a sinistra: Single sign-on. |
| 4 | Clicca su Modifica accanto alla configurazione SAML di base e compila gli URL (vedi sotto). |
| 5 | Inviaci i dati del passaggio 3 (certificati SAML) e del passaggio 4 (Toolkit). |
URL per il passaggio 4
Sostituisci {companyname} con il nome concordato con Gfacility.
Produzione
- Identificatore (ID entità):
https://app.gfacility.com/api/sso/{companyname}/metadata - URL di risposta (ACS):
https://app.gfacility.com/api/sso/{companyname}/acs - URL di accesso:
https://app.gfacility.com/login/sso
UAT / Test
- Identificatore (ID entità):
https://uat.gfacility.com/api/sso/{companyname}/metadata - URL di risposta (ACS):
https://uat.gfacility.com/api/sso/{companyname}/acs - URL di accesso:
https://uat.gfacility.com/login/sso
Cosa invii a Gfacility?
- Passaggio 3 (certificati SAML): URL dei metadati di federazione dell’app.
- Passaggio 4 (SAML Toolkit): URL di accesso, identificatore di Microsoft Entra e URL di disconnessione.
Quando Gfacility ha configurato la connessione, aggiungi in Gfacility un identity provider di tipo Microsoft Entra ID (SAML) in Integrazioni e accesso → Single sign-on (SSO). Come URL di reindirizzamento inserisci l’URL di accesso di Entra.
Per un approfondimento consulta anche l’articolo Microsoft sulla configurazione di SAML in Entra.
Accesso con SSO
Gli utenti finali scelgono “Accedi con SSO” nella schermata di accesso. Con un URL diretto puoi rendere tutto ancora più semplice:
Riconoscimento automatico
L'utente inserisce il proprio indirizzo email una sola volta e il browser lo ricorda nelle visite successive. Comodo da pubblicare sulla intranet.
PROD: https://app.gfacility.com/login/sso?email=auto
UAT: https://uat.gfacility.com/login/sso?email=auto
URL specifico
Passa l'email nell'URL (ad esempio tramite la intranet). L'utente non deve inserire nulla.
PROD: app.gfacility.com/login/sso?email=mail@user.com
UAT: uat.gfacility.com/login/sso?email=mail@user.com