Tenantin käyttöönotto

Tenantin käyttöönotto on osittain tunnuspalvelun ylläpidon tekemä, osittain oma itsepalvelutoiminto admin-paneelissa. Tällä sivulla käydään läpi molemmat, asiakkaan näkökulmasta.

1. Sopimus ja pyyntö

Uusi tenant syntyy tunnuspalvelun ylläpidon toimesta sopimuksen tai tilauksen jälkeen. Ilmoita ylläpidolle vähintään:

• haluttu isäntänimi kirjautumiselle (esim. id.esimerkki.fi)
• ensimmäisen admin-käyttäjän sähköpostiosoite
• sovelluksesi nimi ja redirect-URI, jos ensimmäinen OAuth-client halutaan valmiiksi

2. Oma domain

Osoita kirjautumisdomainisi tunnuspalveluun CNAME-tietueella:

id.esimerkki.fi.  IN  CNAME  id.tunnuspalvelu.fi.

TLS-sertifikaatti myönnetään automaattisesti, kunhan CNAME on levinnyt ja ylläpito on lisännyt domainin tenantin isäntänimiksi. Tenant voidaan luoda tietokantaan jo ennen kuin DNS on levinnyt, mutta kirjautuminen ei toimi selaimessa ennen kuin CNAME osoittaa oikein.

3. Ensimmäinen admin-käyttäjä

Tunnuspalvelun ylläpito luo tenantin ensimmäisen admin-käyttäjän pyynnöstäsi antamallasi sähköpostiosoitteella. Käyttäjä voi kirjautua heti magic linkillä osoitteessa https://id.esimerkki.fi/login. Ensimmäisellä kirjautumiskerralla kannattaa lisätä myös passkey (/account/passkeys) toissijaiseksi kirjautumistavaksi.

Tästä eteenpäin uusia adminejä voi nimetä suoraan admin-paneelista — ks. Käyttäjät.

4. Ensimmäinen client

Luo OAuth-client sovellukselle admin-paneelin Clientit-osiosta: sovelluksen nimi, client-tyyppi, redirect-URI(t) ja sallitut scopet. Client-tunnus ja -salaisuus näytetään vain kerran luonnin yhteydessä. Ks. Clientit kaikista kentistä ja Web-sovelluksen kirjautuminen integraation toteutuksesta.

5. Kirjautumistavat

Oletuksena tenantilla on käytössä sähköposti-magic link, SMS-magic link, passkey ja TOTP-MFA; puhelinnumeron pakollinen vahvistus on oletuksena pois päältä. Jos haluat rajata sallittuja kirjautumistapoja tai ottaa käyttöön puhelinnumeron pakollisen vahvistuksen, pyydä muutosta ylläpidolta — ks. Autentikointikäytännöt kenttien selityksistä ja vaikutuksista.

6. Brändäys

Kirjautumissivun logo, väri, näyttönimi ja tukisähköposti voidaan brändätä tenantin näköiseksi. Tämä ei ole tällä hetkellä admin-paneelin itsepalvelutoiminto — ks. Brändäys miten ja kuka sen asettaa.

7. Sähköpostin lähettäjäosoite

Oletuksena kirjautumisviestit lähtevät tunnuspalvelun omasta lähettäjäosoitteesta. Jos haluat kirjautumisviestien näyttävän lähettäjänä oman domainisi osoitteen (esim. noreply@esimerkki.fi), tämä vaatii ylläpidon toimenpiteen: domain pitää ensin todentaa tunnuspalvelun sähköpostinlähetyspalvelussa (vastaava kuin SPF/DKIM-todennus omalle domainille) ja hyväksyä nimenomaisesti tenantin sallituksi lähettäjädomainiksi, minkä jälkeen osoite asetetaan tenantin brändäystietoihin. Ilman tätä hyväksyntää järjestelmä lähettää oletusosoitteesta riippumatta siitä, mitä brändäystietoihin olisi kirjoitettu — epäjohdonmukainen lähettäjä näyttäisi phishing-signaililta, joten vaatimus on tarkoituksellinen.

Sama lähettäjäosoite ja -nimi voidaan asettaa myös yksittäiselle clientille erikseen, jolloin se ohittaa tenantin oletuksen kyseisen clientin kautta lähetetyissä viesteissä. Myös tämä on tällä hetkellä ylläpidon tekemä toimenpide, ei admin-paneelin lomake.