---
title: "Enterprise SSO"
description: "Anna tiimisi kirjautua ThunderPhoneen yrityksesi identiteetintarjoajan kautta juuri oikeaan aikaan tapahtuvalla käyttäjäprovisioinnilla ja organisaation laajuisella tietoturvakäytännöllä, jota hallitset itse."
---

Yritystason SSO löytyy kohdasta **Asetukset → Organisaatio** (Yleiset-välilehti) **Yritystason SSO** -kortista. Ota **Kertakirjautuminen**-kytkin käyttöön nähdäksesi määrityksen. Vain organisaation **ylläpitäjät** ja **omistajat** voivat nähdä tai muuttaa näitä asetuksia.

## Suojauskäytäntö

Kolme organisaationlaajuista kytkintä, jotka tallennetaan yhdessä **Tallenna käytäntö** -painikkeella:

- **Edellytä SSO:ta kirjautumiseen** — jäsenten on todennettava itsensä identiteetintarjoajasi kautta.
- **Salli ylläpitäjille hätäkirjautuminen salasanalla** — ylläpitäjien hätäkäyttöön tarkoitettu salasanareitti, kun SSO on käytössä (määritettävissä vain, kun vaatimus on käytössä).
- **Edellytä pääsyavaimia organisaation käyttöön** — jokaisen jäsenen on rekisteröitävä [pääsyavain](/fi/guides/account-and-security) ja läpäistävä kirjautumisen jälkeinen pääsyavaimen tarkistus. Jäsenet, joilla ei ole sellaista, saavat **3 päivän lisäajan** sen määrittämiseen; käytäntöpaneeli näyttää, kuinka moni jäsen tarvitsee vielä pääsyavaimen.

<Note>
  **Organisaation [API-avaimet](/fi/guides/api-keys) eivät kuulu tämän vaatimuksen piiriin.**
  Pääsyavaimet ovat kirjautumisistuntoon sidottu ihmisen 2FA-tarkistus; palvelimen API-avaimet (`sk_live_...`) ovat koneen tunnistetietoja, joihin ei liity istuntoa pääsyavaintarkistuksen liittämiseksi, joten ne jatkavat todennusta, vaikka tämä käytäntö on käytössä — suunnitellusti, ei puutteesta johtuen. Kun vaatimus on käytössä ja organisaatiollasi on aktiivisia API-avaimia, käytäntöpaneeli näyttää, kuinka moni niistä on vapautettu vaatimuksesta, sekä linkin kohtaan **Organisaatio → Avaimet**, jotta ylläpitäjät voivat tarkistaa tai peruuttaa kaikki avaimet, joiden ei enää pitäisi olla aktiivisia.
</Note>

## SSO-yhteydet

ThunderPhonen SSO perustuu Stytchiin. **Lisää yhteys** luo yhteyden seuraavilla asetuksilla:

| Kenttä | Toiminto |
| --- | --- |
| **Yhteyden nimi** | Nimi, esimerkiksi "Acme Workspace SSO". |
| **Uusien käyttäjien oletusrooli** | Jäsen, ylläpitäjä tai omistaja SSO:n kautta luoduille tileille. |
| **Stytch-organisaation slug / tunnus** | Tunnistaa yhteyden taustalla olevan Stytch-organisaatiosi. |
| **Sallitut sähköpostiverkkotunnukset** | Pilkuilla erotetut verkkotunnukset, joiden kautta kirjautuminen on sallittu. |
| **Ryhmä-roolikartoitukset** | JSON-taulukko, joka yhdistää IdP-ryhmät rooleihin, esimerkiksi `[{"group":"it-admins","role":"admin"}]`. |
| **Ota JIT-provisiointi käyttöön** | Luo ThunderPhone-tilit automaattisesti ensimmäisellä SSO-kirjautumisella. |
| **Yhteys aktiivinen** | Poista käytöstä poistamatta yhteyttä. |

Yhteyden poistaminen poistaa sen pysyvästi — sen kautta kirjautuneet käyttäjät eivät voi enää käyttää sitä.

<Note>
  Identiteetintarjoajapuolen määrittäminen edellyttää Stytch-organisaatiota; jos sinulla ei ole näitä tunnisteita, ota yhteyttä
  [tukeen](mailto:support@thunderphone.com), jotta organisaatiosi voidaan provisioida.
</Note>

## Seuraavat vaiheet

<CardGroup cols={2}>
  <Card title="Kutsu tiimisi" icon="user-plus" href="/fi/guides/invite-your-team">
    Roolit ja kutsut jäsenille, jotka liittyvät SSO:n ulkopuolella.
  </Card>
  <Card title="Tili ja turvallisuus" icon="shield" href="/fi/guides/account-and-security">
    Miltä pääsyavaimen vaatimus näyttää kunkin jäsenen kohdalla.
  </Card>
</CardGroup>