Inloggning och granskningsloggen

Inloggningssätt

Inställningar → Administration och säkerhet → Inloggning visar vilka sätt medlemmarna i er organisation kommer in på. Sätten är tre, och vart och ett har sin egen växel:

• Lösenord – medlemmen väljer ett lösenord via inbjudningslänken.
• Microsoft-konto – arbets- eller skolkonto samt personligt Microsoft-konto.
• Google-konto – Google Workspace-konto samt Gmail.

Minst ett sätt är alltid i bruk: det sista låses med en förklaring. Raden säger också om ett sätt är helt avstängt i den här miljön.

När Lösenord stängs av loggar medlemmarna in med ett Microsoft- eller Google-konto. Bekräftelsen berättar hur många medlemmar som just nu loggar in enbart med lösenord; be dem koppla ett konto före växeln, så går övergången utan supportärenden. Administratören kommer in med lösenord även efter det, så ett avbrott hos Microsoft eller Google lämnar en väg kvar till organisationens egna inställningar.

Inbjudningsmeddelandet följer med: det nämner de sätt kontot kan aktiveras på i just den här organisationen.

Medlemmens inloggningssätt

Personkortets Inloggningssätt visar om personen har ett lösenord och vilka konton som är kopplade – kontots adress och kopplingsdagen. Administratören kan koppla bort ett konto, till exempel när en anställd har kopplat fel personligt konto: bortkopplingen skickar ett e-postmeddelande till medlemmen och skrivs in i granskningsloggen. Kopplingen gör medlemmen själv i sina egna kontoinställningar.

Egen inloggningstjänst

Samma sidas avsnitt Egen inloggningstjänst kopplar inloggningen till organisationens egen tjänst: Microsoft Entra ID, Google Workspace eller en annan OIDC-kompatibel tjänst. Avsnittet behövs om ni har principer för villkorlig åtkomst, om inloggningen ska tvingas för en verifierad domän eller om behörigheten ska skapas vid den första inloggningen.

Definiera:

• Issuer-URL, Applikations-ID (client ID) och Applikationshemlighet (client secret) – hemligheten sparas krypterad och visas inte efter sparandet.
• Tillåtna e-postdomäner: användare med dessa e-postdomäner styrs till single sign-on.
• Skapa åtkomst vid första inloggningen: påslagen skapas en ny användare av den första SSO-inloggningen; avstängd måste administratören bjuda in användaren först.

När SSO är i bruk sköts lösenordshanteringen i identitetstjänsten – se också Jag kan inte logga in.

Verifiera domänen

Verifieringen visar att organisationen råder över domänen. Först en verifierad domän låter single sign-on koppla ett befintligt Kelomo-konto till dess ägare, skapa åtkomsten vid första inloggningen och kräva inloggningssättet. Inloggningssidan hänvisar adresser på verifierade domäner till organisationens inloggningstjänst. Domäner för offentliga e-posttjänster (gmail.com, outlook.com) hör inte till någon organisation.

Ägandet visas med en TXT-post i domänens DNS. I listan Domäner:

1. Lägg till domänen i fältet Tillåtna e-postdomäner och spara inställningarna – verifieringen börjar först från en sparad rad.
2. Välj Starta verifiering bland radens åtgärder. Statusen blir Väntar och raden visar posten som ska publiceras.
3. Lägg till posten i domänens DNS: Typ är TXT, Namn är _kelomo-challenge.foretag.fi och Värde börjar med kelomo-domain-verification=. Posten visas igen med Visa TXT-posten, och värdet kan kopieras till urklipp.
4. Tryck på Kontrollera igen. När posten hittas blir statusen Verifierad.

En DNS-ändring sprider sig ibland under ett dygn. Fram till dess slutar kontrollen i status Misslyckades; upprepa Kontrollera igen senare. Verifieringen är bestående: hittar en senare kontroll inte posten förblir domänen verifierad, så en tillfällig DNS-störning avbryter inga inloggningar.

Kräv single sign-on

Kräv SSO (blockera lösenordsinloggning) gör organisationens egna inloggningsuppgifter till enda vägen in: medlemmar på dessa domäner kan inte logga in med lösenord. Inställningen biter bara på en verifierad domän och träder i kraft när du sparar formuläret. Den gäller enbart den egna organisationens medlemmar – en utomstående med samma domän loggar in i Kelomos övriga organisationer som förut.

Administratören kommer alltid in också med lösenord. Så lämnar ett avbrott i identitetstjänsten en väg kvar till organisationens egna inställningar.

Kravet kontrolleras på nytt varje gång en session förnyas, organisationen byts eller mobilappen hämtar en ny åtkomst – redan öppna lösenordssessioner tar alltså slut senast vid nästa förnyelse. Samma kontroll görs vid återställning av lösenord.

Testa SSO-inloggningen innan du kräver den, så vet du att vägen in fungerar för alla.

När kontot stängs i identitetstjänsten

När anställningen upphör och den anställdas konto stängs i organisationens identitetstjänst går det inte längre att logga in i Kelomo. Medlemskapet i Kelomo står ändå kvar, och en öppen session fortsätter tills den går ut. Avsluta åtkomsten genom att inaktivera personen: Inaktivera i personkortets meny Åtgärder. Åtkomsten till organisationen bryts genast och historiken bevaras – se Avslut av en anställning.

Granskningsloggen

Inställningar → Administration och säkerhet → Granskningslogg är ett oföränderligt händelsespår: vem gjorde vad och när. Innehåll sparas inte i loggen, bara händelserna med sina objekt. Som standard visas de senaste 90 dygnen; Från-dagen öppnar äldre. Loggen kan filtreras på åtgärd eller objekt och exporteras som CSV.

Åtgärder gjorda med en API-nyckel märks separat i loggen.