Impostare il single sign-on (SSO) per accedere ai contenuti privati.

Il single sign-on (SSO) è un modo per accedere a diverse applicazioni in modo sicuro con un unico nome utente e una sola password. L'uso di SSO per i contenuti privati semplifica l'accesso ai contenuti privati e garantisce che i contenuti siano accessibili solo ai visitatori interni.

L'amministratore IT può impostare un'applicazione HubSpot nell'account del provider di identità, come Google o Okta. I membri dell'organizzazione che hanno accesso all'applicazione HubSpot nell'account dell'identity provider possono accedere con SSO per visualizzare i contenuti privati.

È possibile affinare ulteriormente le persone che hanno accesso a contenuti specifici in base alle loro adesioni all'elenco nell'account HubSpot. Per accedere ai contenuti in base all'adesione all'elenco, i membri del vostro team devono avere dei record del contatto nel vostro account HubSpot.

Prima di iniziare

Prima di iniziare a lavorare con questa funzione, assicuratevi di aver compreso appieno i passi da compiere in anticipo, nonché i limiti della funzione e le potenziali conseguenze del suo utilizzo.

Comprendere i requisiti

• Questo processo di configurazione deve essere eseguito da un amministratore IT con esperienza nella creazione di applicazioni nell'account dell'identity provider e con l'autorizzazione a modificare le impostazioni del sito web in HubSpot.
• Il SSO può essere configurato per un solo sottodominio ospitato da HubSpot per ogni account di identity provider. Per ottenere risultati ottimali, si consiglia di dedicare un sottodominio solo all'iscrizione SSO.

Comprendere limiti e considerazioni

• L'SSO per i contenuti privati è disponibile per i seguenti tipi di contenuti:
  • Gli accountContent Hub Professional e Enterprise possono impostare l'SSO per blog, landing page e pagine del sito web.
  • Gli accountService Hub Professional e Enterprise possono impostare l'SSO per gli articoli della knowledge base e i portali clienti.

• Le e-mail di notifica e le pagine di login per i contenuti privati che richiedono l'SSO saranno gestite dall'account del fornitore di identità, anziché dalle impostazioni dei contenuti privati in HubSpot.
• I contenuti privati che richiedono l'SSO non saranno caricati dai motori di ricerca e potranno essere visualizzati solo dai contatti che hanno accesso e sono loggati.
• Qualsiasi risorsa della pagina, come immagini e moduli, richiederà l'SSO solo per accedere come parte della pagina. Se gli URL delle risorse stesse sono forniti separatamente, non richiederanno l'SSO per l'accesso. Per saperne di più sull'impostazione della visibilità degli URL per le risorse nello strumento File.
• Se attivate il SSO per un dominio che in precedenza richiedeva la registrazione di un membro, il SSO utilizzerà gli elenchi di adesioni originali. Se si disattiva nuovamente SSO, il contenuto tornerà a richiedere la registrazione dei membri per le stesse liste.

Impostare l'SSO per i contenuti privati di HubSpot nell'account del provider di identità

Per impostare l'SSO per i contenuti privati ospitati in HubSpot, l'amministratore IT creerà una nuova applicazione per l'accesso ai contenuti di HubSpot. Per completare questo processo, l'amministratore IT farà riferimento ai valori delle impostazioni dei contenuti privati in HubSpot.

I passaggi e i campi necessari per aggiungere una nuova applicazione nel vostro identity provider possono variare. Di seguito sono riportate le istruzioni generali per l'impostazione dell'SSO per i contenuti privati.

Configurare SSO per un'applicazione basata su SAML

Per creare una nuova applicazione SAML per i contenuti privati di HubSpot nell'account del fornitore di identità:

• Accedere all'account dell'identity provider.
• Navigare nelle applicazioni all'interno dell'account dell'identity provider.
• Nell'account HubSpot, raccogliere i valori richiesti per la nuova applicazione HubSpot:
  • Nel tuo account HubSpot, fai clic sulle settings icona delle impostazioni nella barra di navigazione principale.
  • Nel menu della barra laterale sinistra, spostarsi su Contenuto > Contenuto privato.
  • Nella parte superiore della pagina, fare clic sul menu a discesa Scegli un dominio da modificare e selezionare un sottodominio.
  • Nella sezione Single sign-on (SSO), fare clic su Imposta SSO.
  • Nel pannello di destra, fare clic sul menu a discesa Protocollo di autenticazione e selezionare SAML.
  • Copiare l'URL del pubblico e l'URL di accesso.

• Nell'account del provider di identità:
  • Incollare l'URL Audience e l'URL Sign on copiati da HubSpot nei campi corrispondenti.

• • Copiare gli identificatori dell'URL dell'emittente, dell'URL del Single Sign-on e del certificato.
• Nel vostro account HubSpot:
  • Incollare i valori dell'URL dell'emittente, dell'URL di accesso singolo e del certificato nei campi corrispondenti del pannello Imposta accesso singolo.
  • Fare clic su Verifica.

Una volta completato il processo di verifica, si vedrà la conferma che il Single sign-on è abilitato per il proprio dominio nelle impostazioni dei contenuti privati.

Configurazione di SSO per un'applicazione OpenID Connect (OIDC)

Per creare una nuova applicazione OpenID Connect (OIDC) per i contenuti privati di HubSpot nell'account del fornitore di identità:

• Accedere all'account dell'identity provider.
• Navigare nelle applicazioni all'interno dell'account dell'identity provider.
• Nell'account HubSpot, raccogliere i valori richiesti per la nuova applicazione HubSpot:
  
  • Nel tuo account HubSpot, fai clic sulle settings icona delle impostazioni nella barra di navigazione principale.
  • Nel menu della barra laterale sinistra, spostarsi su Contenuto > Contenuto privato.
  • Nella parte superiore della pagina, fare clic sul menu a discesa Scegli un dominio da modificare e selezionare un sottodominio.
  • Nella sezione Single sign-on (SSO), fare clic su Imposta SSO.
  • Nel pannello di destra, fare clic sul menu a discesa Protocollo di autenticazione e selezionare OIDC.
  • Fare clic su Copia accanto a URI redirect Sign-on per copiare il valore negli appunti.
• Nell'account del provider di identità, aggiungere il valore copiato dal campo Sign-on redirect URI . Quindi raccogliere i valori dei campi seguenti:
  • • Segreto del cliente
    • ID cliente
    • Endpoint di autorizzazione del provider
    • Endpoint del token del fornitore
• Nell'account HubSpot, inserire i valori raccolti dall'account del provider di identità. Quindi fare clic su Verifica.

Una volta completato il processo di verifica, si vedrà la conferma che il Single sign-on è abilitato per il proprio dominio nelle impostazioni dei contenuti privati.

Configurare SSO per un'applicazione basata su JWT

• Nell'account del provider di identità:
  
  • Navigare nelle applicazioni all'interno dell'account dell'identity provider.
  • Copiare gli identificatori per l'URL di accesso remoto e la Chiave segreta. Individuare l'algoritmo di firma.
  • Per maggiore sicurezza, copiare Issue, Subject e Audience.
• Nel vostro account HubSpot, inserite questi valori nelle impostazioni SSO:
  
  • Nel tuo account HubSpot, fai clic sulle settings icona delle impostazioni nella barra di navigazione principale.
  • Nel menu della barra laterale sinistra, spostarsi su Contenuto > Contenuto privato.
  • Nella parte superiore della pagina, fare clic sul menu a discesa Scegli un dominio da modificare e selezionare un sottodominio.
  • Nella sezione Single sign-on (SSO), fare clic su Imposta SSO.
  • Nel pannello di destra, fare clic sul menu a discesa Protocollo di autenticazione e selezionare JWT.
  • Incollare l'URL di accesso remoto
  • Fare clic sul menu a discesa Algoritmo di firma e selezionare il valore dell'account del provider di identità.
  • Incollare la chiave segreta. Se si utilizza un algoritmo di firma asimmetrico con chiavi pubbliche e private, la chiave segreta sarà la chiave pubblica.

• • Per maggiore sicurezza, incollare l'Argomento, l'Oggetto e il Pubblico.
  • Fare clic su Verifica.

Si aprirà una finestra con l'"URL di accesso remoto" specificato nelle impostazioni SSO. L'URL aperto nella finestra includerà un parametro di query "redirect_url" con il valore di un URL sul dominio che si sta configurando e il percorso "_hcms/mem/jwt/verify".

Per la verifica, è necessario effettuare una richiesta all'URL specificato nel parametro "redirect_url" dopo aver inserito le credenziali nell'"URL di accesso remoto". Questa richiesta deve includere un parametro di query supportato, il cui valore deve essere un JWT/hash, che una volta decifrato contiene un campo "email" nel suo payload con un indirizzo email valido. I parametri della query supportati sono 'jwt', 'code', 'id_token' e 'access_token'.

Il JWT/hash sarà decifrato da HubSpot utilizzando l'algoritmo di firma e la chiave segreta forniti nelle impostazioni SSO. L'invio di questa richiesta successiva, effettuata dopo l'inserimento di credenziali valide nella pagina "URL di accesso remoto", deve essere configurato all'interno dell'account del provider di identità.

Una volta completato il processo di verifica, si vedrà la conferma che il Single sign-on è abilitato per il proprio dominio nelle impostazioni dei contenuti privati.

Una volta completata la verifica, i visitatori che superano la verifica all'"URL di accesso remoto" devono essere inviati a "_hcms/mem/jwt" con due parametri di interrogazione:

• parametro della query 'jwt', 'code', 'id_token' o 'access_token' con un hash che, una volta decifrato, contiene l'indirizzo e-mail del visitatore in un campo e-mail.
• parametro della query 'redirect_url' che specifica la pagina in cui il visitatore deve essere indirizzato. Questo URL deve essere uguale al valore del parametro della query 'redirect_url' nella richiesta inviata all'"URL di accesso remoto".

Risoluzione degli errori JWT più comuni

Se si riscontrano problemi nell'impostazione di SSO per un'applicazione basata su JWT, si consiglia di verificare il token web JSON utilizzando il debugger di JWT.

Una volta verificato il JWT, è possibile risolvere i seguenti errori:

• NO_SETTINGS: la combinazione di portale e dominio non restituisce alcuna impostazione JWT
• COULD_NOT_PARSE_HEADER: l'intestazione JWT di deve essere presente e codificata in base64
• WRONG_TYPE_IN_HEADER: l'intestazione del token JWT ha un campo "typ" che non è uguale a "jwt"
• ALGORITHM_MISSING_IN_HEADER: l'intestazione del token JWT non ha un campo "alg" per l'algoritmo
• NONE_ALGORITHM_PROVIDED: il campo "alg" è uguale a "none", che è insicuro e non supportato
• TOKEN_VERIFICATION_FAILED: il token potrebbe essere vuoto, nullo, non corretto o il parametro della query non è supportato. Sono supportati i parametri di query "jwt", "code", "id_token" e "access_token".
• MISSING_EMAIL_IN_TOKEN: il token decodificato manca di un campo e-mail o è nullo o vuoto
• INVALID_KEY: la chiave segreta è mancante o non valida
• INVALID_KEY_LENGTH: la lunghezza della chiave segreta non corrisponde ai requisiti dell'algoritmo di firma selezionato
• PRIVATE_KEY_PROVIDED: l'algoritmo di firma selezionato richiede una chiave pubblica come chiave segreta, ma è stata fornita una chiave privata
• INVALID_LOGIN_URL: l'URL di login remoto fornito non è valido
• JTI_CLAIM_INVALID: i controlli JWT non possono essere replicati

Richiedete l'SSO per i vostri contenuti

Esistono due opzioni per richiedere contenuti privati con SSO:

• Privato - Single sign-on (SSO) richiesto: tutti i membri dell'organizzazione dell'identity provider con accesso all'applicazione HubSpot possono accedere con SSO per visualizzare i contenuti privati.
• Privato - Single sign-on (SSO) richiesto con filtraggio delle liste: le persone dell'organizzazione del vostro identity provider che hanno anche specifiche adesioni all'elenco HubSpot possono accedere con SSO per visualizzare i contenuti privati. Queste persone devono avere accesso all'applicazione HubSpot all'interno dell'account dell'identity provider (come Okta o Google), ma non devono essere utenti dell'account HubSpot.

Richiedere SSO per un blog

È possibile richiedere l'SSO per i blog ospitati nel sottodominio a cui si è connessi nell'account del fornitore di identità. L'attivazione di SSO per un blog specifico avrà un impatto su tutti i post pubblicati su quel blog. Non è possibile richiedere SSO per un post specifico del blog.

Attenzione: se si richiede l'SSO per un blog che ospita già contenuti privati con la registrazione dei contatti, il blog non sarà più accessibile a questi ultimi.

Per impostare SSO per un blog:

• Nel tuo account HubSpot, fai clic sulle settings icona delle impostazioni nella barra di navigazione principale.
• Nel menu della barra laterale sinistra, spostarsi su Contenuto > Blog.
• In alto a sinistra, fare clic sul menu a discesa Seleziona un blog da modificare e selezionare un blog ospitato sul sottodominio impostato con il fornitore di identità.
• Nella sezione Controllo dell'accesso del pubblico, impostare SSO:
  • Selezionare Privato - Single sign-on (SSO) richiesto per garantire l'accesso a tutti i membri dell'organizzazione dell'identity provider che hanno accesso all'applicazione HubSpot.
  • Selezionare Privato - Single sign-on richiesto con filtraggio delle liste per garantire l'accesso alle persone dell'account dell'identity provider con accesso all'applicazione HubSpot e specifiche adesioni all'elenco. Selezionare quindi le liste che si desidera abbiano accesso a questo contenuto.
• In basso a sinistra, fare clic su Salva.

Richiedere l'SSO per le landing page o le pagine del sito web

È possibile richiedere l'SSO per le landing page o le pagine del sito web ospitate sul sottodominio collegato nell'account del provider di identità.

Nota bene: se si richiede l'SSO per una landing page o una pagina del sito web già impostata su contenuti privati con la registrazione dei membri, tale pagina non sarà più accessibile ai contatti.

• Navigare verso il proprio contenuto:

  • Pagine del sito web: Nel tuo account HubSpot, passa a Contenuti > Pagine del sito web.
  • Landing Page: Nel tuo account HubSpot, passa a Contenuti > Landing Page.
• Selezionare la casella di controllo accanto alle pagine che si desidera sottoporre a SSO.
• Nella parte superiore della tabella, fare clic sul menu a discesa Altro e selezionare Controlla accesso pubblico.
• Nel pannello di destra, impostare SSO per le pagine selezionate, quindi fare clic su Salva:
  • Selezionare Privato - Single sign-on richiesto per garantire l'accesso a tutti i membri dell'organizzazione del fornitore di identità con accesso all'applicazione HubSpot.
  • Selezionare Privato - Single sign-on richiesto con filtraggio delle liste per garantire l'accesso alle persone dell'account dell'identity provider con accesso all'applicazione HubSpot e specifiche adesioni all'elenco. Selezionare quindi le liste specifiche che si desidera abbiano accesso a questo contenuto.

Richiedere l'SSO per specifici articoli della Knowledge Base

È possibile impostare l'SSO per specifici articoli della Knowledge Base ospitati sul sottodominio collegato nell'account del provider di identità.

Nota bene: se si richiede l'SSO per un articolo della Knowledge Base già impostato come contenuto privato con la registrazione dei contatti, l'articolo non sarà più accessibile a questi ultimi.

Per impostare l'SSO per specifici articoli della Knowledge Base:

• Nel tuo account HubSpot, passa a Contenuti > Knowledge Base.
• Fare clic sulla scheda Articoli.
• Selezionate la casella di controllo accanto all'articolo per il quale desiderate richiedere l'SSO.
• Nella parte superiore della tabella, fare clic su Controllo dell'accesso del pubblico.
• Nel pannello di destra, impostare SSO per questi articoli, quindi fare clic su Salva:
  • Selezionare Privato - Single sign-on richiesto per garantire l'accesso a tutti i membri dell'organizzazione del fornitore di identità con accesso all'applicazione HubSpot.
  • Selezionare Privato - Single sign-on richiesto con filtraggio degli elenchi per garantire l'accesso alle persone dell'account dell'identity provider con accesso all'applicazione HubSpot e specifiche adesioni all'elenco. Selezionare quindi le liste specifiche che si desidera abbiano accesso a questo contenuto.

È inoltre possibile controllare l'accesso del pubblico a un articolo specifico nella scheda Impostazioni dell'editor di articoli.

Richiedere l'SSO per tutti gli articoli della Knowledge Base

È anche possibile impostare l'SSO per tutti gli articoli della Knowledge Base per una particolare Knowledge Base ospitata nel sottodominio a cui si è collegato l'account del fornitore di identità.

• Nel tuo account HubSpot, fai clic sulle settings icona delle impostazioni nella barra di navigazione principale.
• Nel menu della barra laterale sinistra, spostarsi su Contenuto > Knowledge base.
• Se si dispone di più basi di conoscenza, fare clic sul primo menu a discesa nella sezione Vista corrente e selezionare una base di conoscenza. Questo sarà il secondo menu a discesa negli account con il componente aggiuntivo Business Unit.
• Nella sezione Controllo accesso , selezionare Accesso singolo (SSO) obbligatorio.
• In basso a sinistra, fare clic su Salva.

Disattivare l'SSO per i contenuti privati

La disattivazione del SSO per i contenuti privati avrà un impatto diverso sui contenuti, a seconda dell'impostazione selezionata.

• I contenuti impostati su Privato - Richiesto l'accesso singolo diventeranno pubblici.
• I contenuti impostati su Privato - Accesso singolo richiesto con filtro elenco diventeranno inaccessibili.

Per mantenere i contenuti privati quando si disattiva l'SSO, HubSpot consiglia di modificare l'accesso del pubblico per i contenuti privati in Privato - Single sign-on richiesto con filtraggio delle liste. È quindi possibile modificare l'accesso del pubblico per questi contenuti in modo da richiedere la registrazione dell'iscrizione al CMS.

Per disattivare l'SSO per i contenuti privati:

• Nel tuo account HubSpot, fai clic sulle settings icona delle impostazioni nella barra di navigazione principale.
• Nel menu della barra laterale sinistra, spostarsi su Contenuto > Contenuto privato.
• Nella parte superiore delle impostazioni, fare clic sul menu a discesa Scegli un dominio da modificare e selezionare un dominio.
• Nella sezione Single sign-on (SSO), fare clic su Gestisci SSO.
• Nella parte inferiore del pannello, fare clic per disattivare l'interruttore SSO Enabled.