Usein kysytyt kysymykset

Onko data EU:ssa?

Kyllä, tunnuspalvelu on hostattu EU:ssa. Tarkemmin: Hosting ja saatavuus.

Voiko käyttää omaa domainia tenantille?

Kyllä. Tenantin identiteettidomain voi olla oma domain (esim. id.esimerkki.fi), joka osoitetaan CNAME-tietueella tunnuspalveluun. Ylläpito liittää domainin tenanttiin käyttöönoton yhteydessä.

Voiko magic link -sähköposteille käyttää omaa lähettäjäosoitetta?

Kyllä, pyynnöstä. Lähettävä domain pitää olla ylläpidon vahvistama tenantille, jotta SPF/DKIM-tarkistukset toimivat oikein — muuten oletuslähettäjä jää käyttöön.

Tukeeko tunnuspalvelu refresh tokeneita?

Kyllä. Pyydä offline_access-scope authorization-pyynnössä. Refresh tokenit ovat rotaatioperheissä: jokainen käyttö vaihtaa tokenin uuteen, ja jos vanhaa (jo käytettyä) tokenia yritetään käyttää uudelleen, koko token-perhe mitätöidään.

Onko salasanoja lainkaan?

Ei. tunnuspalvelu on suunniteltu salasanattomaksi alusta asti — kirjautuminen tapahtuu magic linkillä, passkeyllä tai Google-federaatiolla. Ks. Kirjautumistavat.

Mitä jos magic link -sähköposti ei tule perille?

Käyttäjä voi pyytää uuden linkin (huomioiden lähetysrajoitus, oletuksena 3 lähetystä tunnissa), tai käyttää muuta tenantille sallittua kirjautumistapaa, kuten passkeyta. Jos ongelma toistuu, ota yhteyttä tunnuspalvelun ylläpitoon.

Miten käyttäjän tiedot poistetaan (GDPR)?

Tietosuoja-asetuksen mukaisen poisto- tai vientipyynnön suorittaa tunnuspalvelun ylläpito tenant-adminin pyynnöstä — kyseessä ei ole itsepalvelurajapinta. Ks. Tietosuoja ja GDPR ja Tietopyyntöjen käsittely.

Onko tunnuspalvelulla SLA?

SLA sovitaan asiakaskohtaisesti.

Tukeeko tunnuspalvelu monivaiheista tunnistautumista (MFA)?

Kyllä. TOTP toimii lisävarmistuksena magic link -kirjautumisen päällä, ja passkey-kirjautuminen lasketaan itsessään kaksivaiheiseksi. Ks. Kirjautumistavat.

Voiko sallitut kirjautumistavat rajata tenantkohtaisesti?

Kyllä, tenantkohtaisesti auth-policyn kautta. Auth-policyä ei tällä hetkellä muuteta tenantin omasta admin-paneelista — tunnuspalvelun ylläpito asettaa sen tenantin pyynnöstä. Ks. Autentikointikäytännöt.

Onko käyttäjähallintaan koneelta koneelle -rajapinta (M2M)?

Kyllä, HMAC-allekirjoitettu machine-to-machine-API käyttäjien, organisaatioiden ja roolien provisiointiin ilman selainsessiota. Ks. Machine API.

Tukeeko tunnuspalvelu B2B-organisaatioita ja tiimejä?

Kyllä. Organisaatiot, ryhmät ja mukautetut roolit ovat osa tietomallia ja näkyvät ID-tokenin claimeina, kun niitä vastaavat scopet pyydetään. Ks. B2B-organisaatiot.

Voiko useampi sovellus jakaa saman kirjautumisen (SSO)?

Kyllä samalla tenantilla: kun käyttäjä on kirjautunut sisään yhteen tenantin sovellukseen, hän ei joudu kirjautumaan uudelleen toiseen samaan tenanttiin liitettyyn sovellukseen — vain consent kysytään tarvittaessa uudelleen sovelluskohtaisesti.

Tukeeko tunnuspalvelu mobiili- ja natiivisovelluksia?

Kyllä. Julkiset clientit, PKCE ja DPoP (sender-constrained tokenit) on tuettu. Ks. Web-sovelluksen kirjautuminen.

Onko tunnuspalvelu avointa lähdekoodia, voiko sen asentaa itse?

Ei. tunnuspalvelu on hallittu palvelu — asiakas saa tenantin, ei asennettavaa ohjelmistoa.

Miten signing-avainten rotaatio toimii?

Automaattisesti, tenantkohtaisesti, taustalla ilman asiakkaan toimenpiteitä. Ks. Avaimet ja allekirjoitus.

Onko vahva tunnistus (pankkitunnukset, mobiilivarmenne) käytössä?

Ei vielä tuotannossa — tekniikka on toteutettu, mutta käyttöönotto vaatii sopimuksen ulkoisen tunnistusvälittäjän kanssa. Ks. Vahva tunnistus.

Voiko clientin token-elinajat ja sallitut scopet määrittää itse?

Sallitut scopet voi määrittää itse admin-paneelissa clientin luonnin ja muokkauksen yhteydessä. Access-, ID- ja refresh-tokenien elinajat ovat clientkohtaisia tietokantakenttiä, mutta admin-paneelin lomake ei tällä hetkellä muuta niitä — niiden asettaminen vaatii joko machine-to-machine-rajapinnan tai tunnuspalvelun ylläpidon. Sallitut grantit (authorization_code + refresh_token) ovat kiinteät kaikille admin-paneelissa luoduille clienteille eikä niitä valita lomakkeella. Ks. Clientit.

Tukeeko tunnuspalvelu dynaamista client-rekisteröintiä (RFC 7591)?

Ei. Clientit luodaan admin-paneelissa tai machine-to-machine-rajapinnalla.