Docs›Account›Hvordan setter jeg opp enkel pålogging med SAML?
Hvordan setter jeg opp enkel pålogging med SAML?
Oppdatert okt. 2026·3 min
Koble Medal til Google Workspace, Microsoft Entra ID eller Okta med SAML, så teamet logger inn med jobbkontoen og kan åpne Medal fra appvelgeren. Du finner det under Innstillinger → Sikkerhet. Oppsettet tar rundt 20 minutter, pluss tiden identitetsleverandøren bruker på å rulle ut appen.
Innstillinger → Sikkerhet med SAML aktivert. Verdiene på bildet er fra testmiljøet vårt; kopier dine egne fra din egen Sikkerhet-side.
On this page
Før du starter
Du trenger alt dette. Mangler noe, forteller Sikkerhet-siden hva i stedet for å vise oppsettet.
En Enterprise-plan med bedriftsinnlogging slått på. Medal slår det på for bedriften når dere ber om det; før det står det «Bedriftsinnlogging er ikke slått på» på siden.
Rollen eier eller administrator i Medal-bedriften. Medlemmer og gjester ser «Bare eiere og administratorer kan administrere bedriftsinnlogging.»
Bedriftens e-postdomene bekreftet med en DNS TXT-post, på Team-siden under Hvem kan bli med. Et domene som bare er bekreftet med e-post, holder ikke.
Administratortilgang hos identitetsleverandøren: Google Admin-konsollen, Microsoft Entra admin center eller Okta Admin Console.
De som skal logge inn, er allerede medlemmer av Medal-bedriften. Inviter dem fra Team, eller koble til Katalogsynkronisering. Medal oppretter ikke kontoer ved innlogging ennå.
Velg identitetsleverandør
Finn SAML for domenet ditt på Sikkerhet-siden og trykk Sett opp SAML. Velg Google Workspace, Microsoft Entra ID, Okta eller Annen SAML-leverandør. Valget bestemmer standardverdiene for de to valgene lenger ned.
Legg til en tilpasset SAML-app i Google
Åpne Google Admin-konsollen og gå til Apper → Nett- og mobilapper → Legg til app → Legg til tilpasset SAML-app. Kall appen Medal Social og last opp Medal-logoen. Det er denne flisen folk ser i appvelgeren.
Last opp metadataene fra Google i Medal
På «Google Identity Provider details» klikker du Last ned metadata. I Medal lar du Last opp metadata være valgt, velger filen og trykker Les metadata. Sjekk enhets-ID, innloggingsadresse og sertifikat, og trykk Lagre som utkast.
Gi Google opplysningene fra Medal
Når utkastet er lagret, ser du verdiene du skal kopiere, hver med sin egen kopieringsknapp. Gå tilbake til Google, klikk Fortsett og fyll ut «Service provider details» slik:
En leverandør i utkast: alt du skal kopiere inn hos identitetsleverandøren er klart før du aktiverer. Verdiene på bildet er fra testmiljøet vårt; kopier dine egne fra din egen Sikkerhet-side.
ACS URL: ACS-URL-en fra Medal, som ser ut som https://sso.medalsocial.com/saml/sso-dittfirma-no-1a2b3c4d5e6f/acs.
Entity ID: enhets-ID-en fra Medal, den samme adressen uten /acs.
Start URL: la feltet stå tomt. Medal bruker det ikke.
Signed response: huk av.
Name ID format: EMAIL.
Name ID: Basic Information › Primary email.
Attributtilordning: trengs ikke. Klikk Fullfør.
Slå på appen for folkene deres
Åpne Brukertilgang for appen i Google og slå den på for organisasjonsenhetene eller gruppene som skal bruke Medal. Start med en liten gruppe. Ifølge Google kan endringen ta opptil 24 timer, men det går som regel raskere.
Aktiver leverandøren
Gå tilbake til Sikkerhet-siden i Medal og slå på Aktiv. Nå kan folk med e-postadresse på domenet ditt logge inn via identitetsleverandøren. Alle andre innloggingsmåter virker fortsatt.
Test innloggingen på tre måter
Bruk en konto som allerede er medlem av Medal-bedriften. Hver test skal ende i Medal, innlogget.
Åpne appen i Google Admin-konsollen og bruk «Test SAML login».
Åpne appvelgeren i Google (rutenettet med prikker) og velg Medal Social.
Skriv inn en jobb-e-post på innloggingssiden til Medal og trykk Logg inn med e-post. Medal sender deg til Google i stedet for å sende en kode på e-post.
Med Microsoft Entra ID
Velg Microsoft Entra ID i Medal, og gjør dette i Microsoft Entra admin center:
Åpne Enterprise applications → New application → Create your own application, og velg alternativet utenfor galleriet (non-gallery).
Under Single sign-on → SAML, Basic SAML Configuration: sett Identifier (Entity ID) til enhets-ID-en fra Medal og Reply URL (Assertion Consumer Service URL) til ACS-URL-en fra Medal. La Sign on URL og Relay State stå tomme.
Under Attributes & Claims setter du Unique User Identifier (Name ID) til user.mail. Standardverdien, user principal name, er ofte ikke e-postadressen.
La signeringsvalget stå på Sign SAML assertion. Sign SAML response and assertion signerer to ganger, og det godtar ikke Medal.
Under SAML Certificates laster du ned Federation Metadata XML og laster den opp i Medal.
Under Users and groups tildeler du appen til dem som skal bruke Medal.
Vil du ha en Medal-flis i My Apps, slår du på Tillat innlogging fra appvelgeren i Medal. Det er av som standard for Entra.
Med Okta
Velg Okta i Medal, og gjør dette i Okta Admin Console:
Sett Single sign-on URL til ACS-URL-en fra Medal og Audience URI (SP Entity ID) til enhets-ID-en fra Medal. La Default RelayState stå tom.
Sett Name ID format til EmailAddress og Application username til Email.
Under Show Advanced Settings sørger du for at bare én av Response og Assertion Signature står på Signed. Okta signerer vanligvis begge, og Medal avviser et svar som er signert to ganger. Vi anbefaler Response Signed, Assertion Signature Unsigned og Krev signert svar slått på i Medal.
Fullfør, åpne metadata-URL-en på Sign On-fanen og lagre eller kopier XML-en. Last den opp eller lim den inn i Medal.
Tildel appen til dem som skal bruke Medal, på Assignments-fanen.
Vil du ha en Medal-flis på Okta-dashbordet, slår du på Tillat innlogging fra appvelgeren i Medal. Det er av som standard for Okta.
Med en annen SAML 2.0-leverandør
Velg Annen SAML-leverandør. Opprett en SAML 2.0-app med ACS-URL og enhets-ID fra Medal, send brukerens e-postadresse som Name ID, og signer med RSA-SHA256. Last deretter opp metadataene, eller velg Skriv inn selv og fyll ut innloggingsadresse, enhets-ID og sertifikat. Medal trenger innloggingsadressen for HTTP-Redirect.
De to valgene og standardverdiene
Begge bryterne ligger under Valg på leverandørkortet, og du kan endre dem når som helst.
Tillat innlogging fra appvelgeren: lar folk åpne Medal fra app-rutenettet i Google, My Apps i Microsoft eller Okta-dashbordet. På som standard for Google Workspace, av for de andre.
Krev signert svar: godtar bare svar som er signert i sin helhet. På som standard for Google Workspace, i tråd med «Signed response» hos Google. Av for de andre, fordi Entra som standard bare signerer påstanden (assertion).
E-postadressen hentes fra: Name ID, med mindre du setter et e-postattributt under Endre opplysninger.
Hva som skjer når noen klikker på flisen
Medal sjekker signaturen fra identitetsleverandøren og starter så en vanlig innlogging for personen. Adressefeltet blinker gjennom noen raske videresendinger, og de lander i Medal, innlogget. Medal ser bort fra Start URL og RelayState, så flisen åpner alltid startsiden i Medal.
Bytt signeringssertifikat
En leverandør kan ha to signeringssertifikater, så du kan bytte uten nedetid: legg til det nye, bytt hos identitetsleverandøren, og fjern det gamle.
I Google åpner du appen → Manage certificates → Add certificate og laster ned det nye sertifikatet. Entra og Okta har sitt eget valg for nytt sertifikat.
I Medal trykker du Legg til sertifikat under Signeringssertifikater og limer det inn. Innlogginger som allerede virker, påvirkes ikke.
Bytt til det nye sertifikatet hos identitetsleverandøren.
Fjern det gamle sertifikatet i Medal. Innlogginger som er signert med det, slutter å virke med en gang.
Medal sender e-post til eiere og administratorer 30 dager og igjen 7 dager før innloggingen ville sluttet å virke, og sertifikatet får et Utløper-merke. Et utløpt sertifikat godtas aldri.
Medal godtar RSA-sertifikater på 2048 bit eller mer, signert med SHA-256 eller sterkere. SHA-1- og EC-sertifikater (elliptisk kurve) avvises.
Fjern leverandøren
Les dette først: innlogging via identitetsleverandøren stopper med en gang, mens folk beholder alle andre måter å logge inn på. Setter du opp SAML igjen senere, lager Medal ny ACS-URL og enhets-ID, og du må oppdatere appen hos identitetsleverandøren med dem. Vil du fortsette, trykker du Fjern leverandøren og bekrefter.
«Kontoen din er ikke satt opp i denne bedriften ennå»
Hele meldingen er «Du er logget inn, men kontoen din er ikke satt opp i denne bedriften ennå. Be administratoren din om å invitere deg.» Identitetsleverandøren gikk god for personen, men vedkommende er ikke medlem av Medal-bedriften. Inviter dem fra Team, eller la Katalogsynkronisering legge dem til, så kan de logge inn med en gang.
«Enkeltpålogging kunne ikke fullføres»
Medal viser denne ene meldingen for alle oppsettsfeil og holder årsaken skjult, så gå gjennom disse punktene i rekkefølge:
Leverandøren er Aktiv, og ACS-URL og enhets-ID hos identitetsleverandøren er helt like dem på Sikkerhet-siden. De endres hvis leverandøren ble fjernet og satt opp igjen.
E-postadressen identitetsleverandøren sender, er på det bekreftede domenet. User principal name i Entra eller et sekundært domene i Google passer ikke.
Signaturene stemmer: med Krev signert svar slått på må «Signed response» være huket av hos Google. Entra og Okta må ikke signere både svaret og påstanden.
Sertifikatet i Medal er det identitetsleverandøren signerer med i dag, og det har ikke utløpt.
For klikk på flisen er Tillat innlogging fra appvelgeren slått på.
Står du fast? Kontakt Medal-kundeservice med tidspunktet og personens e-postadresse.
FAQ
Spørsmål om SAML
Slutter folk å kunne logge inn med e-postkode eller Google når SAML er på?
Nei. Alle andre innloggingsmåter virker fortsatt mens SAML er aktiv. Medal kan ikke kreve enkel pålogging for en bedrift ennå.
Må jeg legge til alle i Medal før de kan bruke SAML?
Ja. Medal oppretter ikke kontoer ved innlogging ennå, så hver person må allerede være medlem av bedriften. Inviter dem fra Team, eller koble til Katalogsynkronisering så medlemskapet følger Google Workspace eller Entra.
Hvorfor må jeg huke av for Signed response i Google?
Google Workspace-oppsettet slår på Krev signert svar, og Google signerer hele svaret bare når den boksen er huket av. Vil du heller la den stå tom, slår du av Krev signert svar under Valg i Medal.
Jeg fjernet leverandøren og la den til igjen. Hvorfor sluttet innloggingen å virke?
En leverandør som settes opp på nytt, får ny ACS-URL og enhets-ID. Kopier de nye verdiene fra Sikkerhet-siden inn i appen hos identitetsleverandøren, så virker det igjen.
Hvorfor ser ikke teamet Medal-flisen?
Sjekk at Brukertilgang for appen i Google er slått på for organisasjonsenheten eller gruppen deres (det kan ta opptil 24 timer), at leverandøren er Aktiv, og at Tillat innlogging fra appvelgeren er slått på.
Hva skjer når signeringssertifikatet utløper?
Eiere og administratorer får e-post 30 og 7 dager før. Når sertifikatet har utløpt, godtar ikke Medal det lenger, så SAML-innloggingen feiler til du legger til det nye. Andre innloggingsmåter virker fortsatt.
Kan vi bruke SAML på flere domener?
Ja. Hvert DNS-bekreftede domene får sin egen SAML-leverandør, som settes opp og aktiveres hver for seg. Et domene kan bare brukes til enkel pålogging i én bedrift.
Finnes SAML på Creator- eller Business-planen?
Nei. Enkel pålogging er en del av Enterprise, og Medal slår det på for bedriften når dere ber om det.
