Kirjautuminen ja auditointiloki

Kirjautumistavat

Asetukset → Hallinta ja turvallisuus → Kirjautuminen kertoo, millä tavoilla organisaationne jäsenet pääsevät sisään. Tapoja on kolme, ja jokaisella on oma kytkimensä:

• Salasana – jäsen asettaa salasanan kutsulinkistä.
• Microsoft-tili – työ- tai koulutili sekä henkilökohtainen Microsoft-tili.
• Google-tili – Google Workspace -tili sekä Gmail.

Vähintään yksi tapa on aina käytössä: viimeisen kytkin lukittuu selitteineen. Rivi kertoo myös, jos tapa on kokonaan poissa käytöstä tässä ympäristössä.

Kun Salasana kytketään pois, jäsenet kirjautuvat Microsoft- tai Google-tilillä. Vahvistuskysely kertoo, moniko jäsen kirjautuu tällä hetkellä vain salasanalla; ohjaa heidät liittämään tili ennen kytkintä, niin siirtymä sujuu ilman tukipyyntöjä. Pääkäyttäjä pääsee sisään salasanalla myös tämän jälkeen, joten katkos Microsoftissa tai Googlessa jättää organisaatiolle tien omiin asetuksiinsa.

Kutsuviesti mukautuu samalla: se nimeää ne tavat, joilla tili voidaan ottaa käyttöön juuri tässä organisaatiossa.

Jäsenen kirjautumistavat

Henkilökortin Kirjautumistavat kertoo, onko henkilöllä salasana ja mitkä tilit hänelle on liitetty – tilin osoite ja liittämispäivä. Pääkäyttäjä voi irrottaa liitoksen esimerkiksi silloin, kun työntekijä on liittänyt väärän henkilökohtaisen tilin: irrotus lähettää jäsenelle sähköposti-ilmoituksen ja kirjautuu auditointilokiin. Liittämisen tekee jäsen itse omissa tiliasetuksissaan.

Oma tunnistautumispalvelu

Saman sivun osio Oma tunnistautumispalvelu kytkee kirjautumisen organisaation omaan palveluun: Microsoft Entra ID, Google Workspace tai muu OIDC-yhteensopiva palvelu. Osio on tarpeen, jos teillä on ehdollisen pääsyn käytäntöjä, kirjautuminen halutaan pakottaa vahvistetulle verkkotunnukselle tai käyttöoikeus halutaan luoda ensimmäisellä kirjautumisella.

Määritä:

• Issuer-osoite, Sovellustunnus (client ID) ja Sovellussalaisuus (client secret) – salaisuus tallennetaan salattuna, eikä sitä näytetä tallennuksen jälkeen.
• Sallitut verkkotunnukset: näiden sähköpostiosoitteiden käyttäjät ohjataan kertakirjautumiseen.
• Luo käyttöoikeus ensimmäisellä kirjautumisella: päällä ollessaan uusi käyttäjätili luodaan ensimmäisellä SSO-kirjautumisella; pois päältä ylläpitäjän on kutsuttava käyttäjä ensin.

Kun SSO on käytössä, salasanan hallinta tapahtuu tunnistautumispalvelussa – katso myös En pääse kirjautumaan.

Varmista verkkotunnus

Varmistus osoittaa, että organisaatio hallitsee verkkotunnusta. Vasta varmistettu verkkotunnus antaa kertakirjautumisen liittää olemassa olevan Kelomo-tilin sen omistajan puolesta, luoda käyttöoikeuden ensimmäisellä kirjautumisella ja pakottaa kirjautumistavan. Kirjautumissivu ohjaa organisaation tunnistautumispalveluun varmistettujen verkkotunnusten osoitteet. Julkisten sähköpostipalvelujen verkkotunnukset (gmail.com, outlook.com) jäävät kaikkien organisaatioiden ulkopuolelle.

Omistajuus osoitetaan verkkotunnuksen DNS-asetuksiin lisättävällä TXT-tietueella. Verkkotunnukset-listalla:

1. Lisää verkkotunnus Sallitut verkkotunnukset -kenttään ja tallenna asetukset – varmistus alkaa vasta tallennetusta rivistä.
2. Valitse rivin toiminnoista Aloita varmistus. Tila muuttuu tilaan Odottaa ja rivi näyttää julkaistavan tietueen.
3. Lisää tietue verkkotunnuksen DNS-asetuksiin: Tyyppi on TXT, Nimi on _kelomo-challenge.yritys.fi ja Arvo alkaa kelomo-domain-verification=. Tietueen saa uudelleen näkyviin toiminnolla Näytä TXT-tietue, ja arvon voi kopioida leikepöydälle.
4. Paina Tarkista uudelleen. Kun tietue löytyy, tilaksi tulee Varmistettu.

DNS-muutoksen leviämiseen menee joskus vuorokausi. Siihen asti tarkistus päätyy tilaan Ei onnistunut; toista Tarkista uudelleen myöhemmin. Varmistus on pysyvä: jos myöhempi tarkistus ei löydä tietuetta, verkkotunnus pysyy varmistettuna, joten hetkellinen DNS-häiriö ei katkaise kirjautumisia.

Pakota kertakirjautuminen

Pakota kertakirjautuminen (estä salasanakirjautuminen) tekee organisaation tunnuksista ainoan tavan sisään: näiden verkkotunnusten jäsenet eivät voi kirjautua salasanalla. Asetus vaikuttaa vasta varmistettuun verkkotunnukseen ja tulee voimaan, kun tallennat lomakkeen. Se koskee vain oman organisaationne jäseniä – samaa verkkotunnusta käyttävä ulkopuolinen kirjautuu Kelomon muihin organisaatioihin kuten ennenkin.

Ylläpitäjä pääsee aina sisään myös salasanalla. Näin katkos tunnistautumispalvelussa jättää organisaatiolle tien omiin asetuksiinsa.

Pakotus tarkistetaan uudelleen aina, kun istunto uusitaan, organisaatiota vaihdetaan tai mobiilisovellus hakee uuden käyttöoikeuden – jo avoinna olevat salasanaistunnot päättyvät siis seuraavaan uusintaan mennessä. Sama tarkistus tehdään salasanan palautuksessa.

Testaa SSO-kirjautuminen ennen pakotusta, niin tiedät, että reitti sisään toimii kaikilla.

Kun tunnus suljetaan tunnistautumispalvelussa

Kun työsuhde päättyy ja työntekijän tili suljetaan organisaation tunnistautumispalvelussa, uusi kirjautuminen Kelomoon ei enää onnistu. Jäsenyys Kelomossa jää kuitenkin voimaan, ja avoin istunto jatkuu, kunnes se vanhenee. Päätä pääsy passivoimalla henkilö: henkilökortin Toiminnot-valikon Passivoi. Pääsy organisaatioon katkeaa heti ja historia säilyy – katso Työsuhteen päättyminen.

Auditointiloki

Asetukset → Hallinta ja turvallisuus → Auditointiloki on muuttumaton loki siitä, kuka teki, mitä ja milloin. Käsiteltyjen tietojen sisältöä ei tallenneta lokiin, vain tapahtumat kohteineen. Oletuksena näytetään viimeiset 90 vuorokautta; Alkaen-päivä avaa vanhemmat. Lokin voi suodattaa toiminnolla tai kohteella ja viedä CSV-muodossa.

API-avaimella tehdyt toimet erottuvat lokissa omalla merkinnällään.