Docebo per SAML - Configurazione Smart e Standard

Disclaimer: questo articolo illustra come utilizzare la nuova interfaccia SAML, che sarà rilasciata pubblicamente a tutti i clienti più avanti nell'anno 2026 (calendario di distribuzione da definire).  
→ Se si notano differenze tra questo articolo e la piattaforma, fare riferimento all'articolo su Configurare SAML Legacy. 

Introduzione

L'app SAML sulla piattaforma consente di configurare il Single Sign-On (SSO) utilizzando diversi identity provider. In questo modo, gli utenti possono accedere alla piattaforma formativa utilizzando le credenziali delle sessioni attive di altre piattaforme web.

Si noti che la piattaforma offre due opzioni per la configurazione SAML: Smart e Standard. Per una panoramica delle differenze, consultare l'articolo Introduzione a Docebo per SAML.

Questo articolo fornisce istruzioni generali sia per la configurazione Smart che Standard.

Configurazione di SAML con identity provider specifici

Se si sta configurando SAML per funzionare in combinazione con Okta, Microsoft Entra ID (Azure AD), OneLogin o Google, fare riferimento anche ai seguenti articoli che forniscono istruzioni specifiche:

• Configurazione Okta
• Configurazione di Microsoft Entra ID (Azure AD)
• Esempio di configurazione con OneLogin
• Configurazione Google (si apre in una nuova scheda)

Inoltre, durante la configurazione di SAML, ricordarsi di impostare la cifratura delle asserzioni su Non cifrata, poiché questa impostazione è completamente supportata.

Nota importante riguardante la migrazione dalla configurazione SAML legacy

Docebo ha aggiornato il calendario di distribuzione per il nuovo servizio SAML. Invece di procedere con attivazioni obbligatorie e scaglionate tra i diversi gruppi di clienti, il nuovo SAML sarà reso disponibile su tutte le piattaforme simultaneamente il 22 luglio 2026. Le organizzazioni potranno attivare il servizio secondo i propri tempi tramite Launch Pad, la nuova sezione del pannello di amministrazione dedicata alla scoperta e gestione degli aggiornamenti del prodotto.

Modifiche introdotte:

In precedenza, Docebo aveva pianificato di distribuire il nuovo servizio SAML mediante attivazioni obbligatorie e scaglionate nel corso di diversi mesi. Tale approccio è stato rivisto al fine di conferire all'organizzazione un maggior controllo sui tempi di implementazione. A partire dal 22 luglio 2026, il nuovo SAML sarà disponibile in Launch Pad, permettendo così di decidere autonomamente quando procedere con l’attivazione.

Invece di subire un’attivazione automatica in una data prestabilita, sarà possibile scegliere il momento più opportuno per attivare il servizio, in base alla preparazione dell'organizzazione e del team.

Per gli utenti Microsoft Entra ID:

Qualora l'organizzazione utilizzi Microsoft Entra ID (precedentemente Azure Active Directory) e abbia già configurato il nuovo URL di risposta nell'applicazione aziendale, questa revisione del calendario non comporta complessità aggiuntive. Il processo di attivazione rimane semplice: anziché ricevere un’attivazione obbligatoria a maggio 2026, il nuovo SAML sarà disponibile in Launch Pad a partire dal 22 luglio 2026, consentendo di attivarlo quando il team sarà pronto.

Azione richiesta per piattaforme con provider di identità Microsoft Entra ID (Azure):
Prima della migrazione della piattaforma al nuovo SAML, è necessario aggiornare la configurazione SAML di Entra ID aggiungendo il seguente Reply URL: 
https://[nome della tua piattaforma]/sso/v1/saml/consume
Si raccomanda di non rimuovere gli URL già esistenti.

Aggiornamento obbligatorio dei metadata del service provider SAML:
Per tutti gli identity provider, si segnala che con la migrazione al nuovo SAML i metadata del service provider SAML (Entity ID, Login URL e Logout URL) relativi alla piattaforma sono stati modificati:

• Al momento della migrazione al nuovo SAML, qualsiasi configurazione SAML preesistente (basata sui vecchi valori) continuerà a operare correttamente, a condizione che non venga aggiornato il parametro Certificato del Service provider.
• Qualora si proceda all'aggiornamento del parametro Certificato del Service provider, sarà necessario aggiornare anche i metadata del service provider SAML presso il proprio Identity Provider (IdP) con i nuovi valori di Entity ID, Login URL e Logout URL, copiati dalla nuova interfaccia SAML.

Al termine del periodo di transizione per la migrazione al nuovo SAML, è obbligatorio aggiornare l'identity provider con i nuovi valori dei metadata forniti dalla piattaforma affinché l'integrazione SAML continui a funzionare correttamente. 

Si segnala inoltre che lo shortcode {{course_saml_link}} è stato dismesso a fine 2025, mentre {{session_saml_link}} sarà dismesso a ottobre 2026. Si consiglia pertanto di sostituirli con lo shortcode {{course_link}}.

Prerequisiti

L'app SAML deve essere attivata sulla propria piattaforma, come descritto nell'articolo Gestire applicazioni e funzionalità.

Se si intende configurare il single sign-on SAML per un dominio personalizzato o per un dominio secondario, è necessario configurare prima il dominio in Gestione domini.

Accedere alla pagina delle impostazioni SAML nella piattaforma

Per iniziare, aprire la pagina delle impostazioni SAML.
→ È necessario eseguire questa operazione sulla stessa piattaforma (piattaforma principale o extended enterprise client) per la quale si sta configurando il single sign-on.

Per una piattaforma principale:

1. Accedere alla piattaforma principale, per esempio https://academy70.docebosaas.com
2. Selezionare Menu di navigazione > Componenti aggiuntivi e integrazioni (icona puzzle) > SAML.

Per un extended enterprise client:

1. Accedere all'extended enterprise client, ad esempio https://academy70.docebosaas.com/design2
2. Selezionare Menu di navigazione > Componenti aggiuntivi e integrazioni (icona puzzle) > SAML

Importante: notare che la pagina delle impostazioni SAML 2.0 sarà uguale in entrambi i casi (piattaforma principale o extended enterprise client). Tuttavia: 
- le impostazioni SAML che si effettuano quando connesso all'extended enterprise client si applicheranno solo a quel client; 
- le impostazioni SAML che si effettuano quando connesso alla piattaforma principale (root) si applicheranno alla piattaforma principale e a qualsiasi extended enterprise client che non abbia una propria configurazione SAML.

Una volta aperta la pagina delle impostazioni SAML, se SAML era già configurato si vede la configurazione preesistente: consultare il capitolo Configurare o modificare i campi delle impostazioni SAML.

Se SAML non è ancora configurato si vede una schermata vuota dove poter avviare una nuova configurazione SAML.

Avviare una nuova configurazione SAML

Per avviare una nuova configurazione SAML, seguire i passaggi indicati di seguito:

1. Accedere alla pagina delle impostazioni SAML e selezionare il pulsante Configura SAML.
2. Nel pannello laterale destro che si apre, scegliere se adottare la configurazione di tipo Smart oppure Standard. La configurazione Smart risulta leggermente più semplice; tuttavia, qualora necessario, è possibile optare per la configurazione Standard.
3. Successivamente, cliccare su Conferma.

Le impostazioni SAML relative al tipo di configurazione selezionato verranno visualizzate. Procedere quindi alla loro configurazione seguendo le indicazioni riportate nel capitolo Configurare o modificare i campi delle impostazioni SAML.

Nota importante: non sarà possibile modificare una configurazione esistente da Smart a Standard o viceversa. Qualora si desideri effettuare tale modifica, sarà necessario resettare la configurazione attuale e ricominciare da capo.

Configurare o modificare i campi delle impostazioni SAML

All'apertura della pagina delle impostazioni SAML, sarà presente una navigazione laterale suddivisa in quattro sezioni:

• Impostazioni di connessione: in questa sezione si configura la connessione tra la piattaforma e l'identity provider per il single sign-on.
  → Alcune impostazioni varieranno in base alla scelta tra configurazione Smart o Standard.
• Provisioning degli utenti: (opzionale) consente la creazione automatica di un nuovo utente nella piattaforma qualora l'autenticazione SSO sia valida ma l'utente non risulti ancora presente.
• Opzioni di login e logout: (opzionale) permette di personalizzare le modalità di accesso e uscita degli utenti dalla piattaforma tramite single sign-on SAML.
• Reset della configurazione: selezionare questa opzione per ripristinare la configurazione da zero.

La tabella seguente riassume le impostazioni applicabili per ciascun tipo di configurazione, con link ai capitoli pertinenti.

Le configurazioni SAML appena create sono impostate di default nello stato Inattivo. Una volta completata la configurazione e salvate le modifiche tramite il pulsante Salva modifiche, è necessario attivare la configurazione cliccando sul relativo pulsante posizionato in fondo alla pagina per impostare lo stato su Attivo.

Impostazioni di connessione > URL SSO e Entity ID (solo per configurazione Smart)

Nell'ambito della configurazione Smart, in questa sezione è necessario inserire le seguenti informazioni fondamentali per stabilire la connessione con l'identity provider.
→ Entrambi i valori devono essere ottenuti dall'identity provider.

URL Single Sign-On: l'endpoint HTTP SAML fornito dall'identity provider. Si tratta dell'indirizzo web a cui vengono inviate le richieste SAML per l'avvio dell'autenticazione.

ID dell'identity provider: identificatore univoco del servizio SAML associato al proprio account presso l'identity provider. Ad esempio, per OneLogin corrisponde all'Issuer URL, mentre per Microsoft Entra è il Microsoft Entra Identifier.

Impostazioni di connessione > Certificato X.509 (solo per configurazione Smart)

In questa sezione è necessario caricare il certificato X.509 fornito dall'identity provider.

→ Il certificato X.509 verrà convalidato al momento del caricamento. Si consiglia di consultare le note relative alla convalida e alla scadenza del certificato riportate di seguito.

Nota importante: durante il download del certificato X.509 dall'identity provider, si raccomanda di impostare l'impronta SHA utilizzando l'algoritmo di crittografia SHA-256, in quanto è quello supportato dalla piattaforma. L'algoritmo SHA-1 non è più supportato.

Convalida e scadenza del certificato

La piattaforma valida automaticamente i certificati caricati e tiene traccia e notifica della loro scadenza. Questo vale sia per il certificato X.509 sia per il certificato del fornitore di servizi.

Convalida: una volta completato il caricamento del file del certificato X.509, apparirà un messaggio che informerà se il file caricato è valido o meno. 

Si può premere il pulsante Visualizza dettagli per verificare come la piattaforma ha letto e convalidato i file di certificato, inclusi lo stato di convalida e le date di scadenza.

Scadenza:

La tua piattaforma utilizzerà automaticamente le date di scadenza dei certificati caricati per inviare a tutti i Superadmin della piattaforma notifiche obbligatorie riguardo agli aggiornamenti necessari alla configurazione SAML quando la data di scadenza si avvicina (30, 15, 5 e un giorno prima della scadenza del certificato). Le notifiche non possono essere modificate o disabilitate. In questo modo, si può aggiornare la configurazione SAML prima che scada, così i propri utenti non saranno bloccati dal login alla piattaforma. Per le piattaforme enterprise estese, le notifiche saranno inviate per le configurazioni SAML sia sulla piattaforma principale sia su tutti gli extended enterprise client.

Impostazioni di connessione > Metadati XML (solo configurazione Standard)

Nell’ambito della configurazione Standard, in questa sezione è necessario incollare il contenuto del file dei metadati XML fornito dal proprio identity provider.
→ Il file dei metadati contiene generalmente l'Entity ID dell'identity provider, l'URL SSO, l'URL SLO e i certificati.

Impostazioni di connessione > Attributo username

In questa sezione, occorre specificare quale campo dell'identity provider (Attributo username) sarà utilizzato per identificare in modo univoco l’utente all’interno della piattaforma di formazione.
- Il campo selezionato deve essere valorizzato per tutti gli utenti lato identity provider e deve essere univoco per ciascun utente.
- Il campo dell'identity provider scelto in Attributo username sarà associato, per impostazione predefinita*, al campo Username nella piattaforma.

*Solo per la configurazione Standard, è possibile mappare opzionalmente l’attributo username a un campo differente della piattaforma. Si rimanda al capitolo successivo su Campo univoco.

Impostazioni di connessione > Campo unico (solo configurazione Standard)

Il Campo unico consente di definire quale campo utente all’interno della piattaforma (Nome utente, UUID, Email) sarà mappato al campo dell'identity provider configurato in Attributo username.
- Se i due campi corrispondono, l’utente autenticato tramite SSO sarà riconosciuto come esistente nella piattaforma e accederà al relativo account.
- In caso contrario, l’utente SSO non è presente nella piattaforma (ma potrà essere creato automaticamente se è attivato il provisioning degli utenti).

→ Si consiglia di impostare il campo Username.

Nota: L’UUID rappresenta un identificatore utente univoco e di sola lettura all’interno della piattaforma.

Note importanti relative ai campi univoci:

• quando il Campo univoco selezionato è Email, se più account utente nella piattaforma condividono lo stesso indirizzo email, l’accesso tramite SAML verrà associato all’account utente creato più recentemente;
• non è possibile creare nuovi utenti tramite SAML se si seleziona l’attributo UUID, poiché l’UUID viene generato solo dopo la creazione dell’utente nella piattaforma.

Impostazioni di connessione > Metadati del fornitore di servizi SAML

È possibile copiare l’Entity ID, l’URL di accesso e l’URL di disconnessione visualizzati in questa sezione per inserirli nella configurazione del proprio identity provider.

Inoltre, è possibile scaricare il file dei metadati, qualora richiesto dal provider.

Importante: in caso di migrazione da una configurazione SAML legacy, è necessario aggiornare l'identity provider con i nuovi valori dei metadati copiati da questa sezione. Ciò garantirà il corretto funzionamento dell’integrazione dopo il periodo di transizione o dopo l’aggiornamento del certificato del fornitore di servizi. Per ulteriori dettagli, consultare l'Avviso importante per la migrazione dall'interfaccia SAML legacy.

Impostazioni di connessione > Certificato del fornitore dei servizi

Il certificato consente alla piattaforma di firmare le richieste di autenticazione SAML e le asserzioni inviate all'identity provider. Alcuni identity provider o federazioni richiedono che i fornitori di servizi dispongano di un certificato.

La generazione di tale certificato è facoltativa, ma necessaria qualora si desideri configurare il comportamento di disconnessione.

Per generare un certificato:

selezionare la casella Abilita certificato del service provider. Al salvataggio della configurazione, il certificato verrà generato e saranno disponibili i seguenti pulsanti:
- Scarica certificato
- Copia certificato
- Genera nuovo certificato

Si segnala che cliccando su Genera nuovo certificato, il nuovo certificato viene creato senza necessità di salvare le modifiche, e i pulsanti Scarica e Copia forniranno immediatamente il certificato aggiornato.

Se la casella viene deselezionata e le modifiche salvate, il certificato generato verrà rimosso.

→ Si dovrà pertanto scaricare il certificato e caricarlo sull'identity provider.

Importante: in caso di migrazione da una configurazione SAML legacy, al momento dell’aggiornamento del certificato del fornitore di servizi, è necessario aggiornare anche l'identity provider con i nuovi valori dei metadati del fornitore di servizi, qualora non sia già stato fatto. Per maggiori dettagli, consultare la Avviso importante per la migrazione dall'interfaccia SAML legacy.

Notifiche di scadenza: la piattaforma invierà notifiche per segnalare l’imminente scadenza del certificato del fornitore di servizi. Per ulteriori informazioni, si rimanda al capitolo Convalida e scadenza del certificato.

Provisioning degli utenti

Il provisioning degli utenti consente di creare automaticamente un nuovo utente sulla piattaforma se l'autenticazione SSO è valida ma l'utente in questione non esiste ancora sulla piattaforma. Consente inoltre di aggiornare automaticamente i dettagli di un utente sulla piattaforma in base alle informazioni corrispondenti presenti nel provider di identità.

→ È possibile configurarlo nella scheda Provisioning degli utenti delle impostazioni SAML.

Suggerimento: per impostazione predefinita, un utente è considerato già esistente sulla piattaforma se il suo Username corrisponde al campo del provider di identità impostato come Attributo username.
Solo nella configurazione SAML Standard, se necessario, è possibile impostare un campo di corrispondenza diverso (UUID o Email al posto dello Username) nel Campo unico.

Abilitare la creazione di utenti provisioning:

Per iniziare, selezionare l'opzione Abilita il provisioning degli utenti. Con il provisioning abilitato, un utente che accede tramite SSO e che non esiste ancora nella piattaforma verrà creato subito, per impostazione predefinita con Username della piattaforma = il campo provider impostato nell'Attributo username. (nelle impostazioni di Connessione)
→ Nota per la configurazione Standard: se al posto di Username viene impostato un campo unico diverso per la corrispondenza, tenere presente che l'opzione UUID non consentirà la creazione di utenti con provisioning e che l'opzione Email funzionerà correttamente solo se tutti gli utenti hanno indirizzi email distinti.

Nota sul posizionamento nel ramo predefinito: per l'SSO sulla piattaforma principale, gli utenti appena creati verranno posizionati nel ramo principale. Per l'SSO su un extended enterprise client, gli utenti appena creati verranno posizionati nel ramo associato al client.

Aggiungere altri campi provisioning:

Oltre allo Username, si può voler popolare altri dettagli di un utente con provisioning utilizzando le informazioni recuperate dall'identity provider.

È possibile configurare questa opzione nella sezione Corrispondenza dei campi.

In questa sezione, cliccare sul pulsante Aggiungi campi e, nel pannello Aggiungi campi utente che si apre, selezionare il campo utente della piattaforma o il campo aggiuntivo utente che desideri aggiungere. 

• È possibile selezionare anche più campi contemporaneamente. 
• Durante la selezione dei campi, si consiglia di fare riferimento all'elenco dei campi utente supportati per il provisioning SAML indicato di seguito.

Quando completata la selezione, cliccare su Aggiungi.
→ I campi della piattaforma aggiunti verranno visualizzati nell'area Corrispondenza dei campi .

Successivamente, nella casella Attributo SAML per ogni campo aggiunto, inserire l'attributo corrispondente fornito dall'identity provider che s'intende utilizzare per quel campo. 

Tenere presente che ogni campo della piattaforma e campo dell'identity provider può essere utilizzato una sola volta. Non è possibile abbinare più campi della piattaforma allo stesso attributo, o viceversa.

Campi utente supportati per il provisioning SAML:

Username, Nome, Cognome, Email, Nome ramo, Codice ramo, Lingua e Campi aggiuntivi.

Bloccare i campi provisioning utenti:

Selezionare la casella di controllo Blocca campi provisioning utenti per impedire agli utenti di modificare, nella sezione Il mio profilo, i campi utente provisioning. Questi campi appariranno in grigio e contrassegnati come disabilitati, in modo che l'utente non possa modificare il valore ottenuto dall'identity proivider.

→ Per alcune importanti limitazioni e problemi che possono verificarsi con i campi bloccati, consultare l'articolo General guidance for SSO configuration (Istruzioni generali per la configurazione SSO) > Lock provisioned user fields > (Bloccare i campi provisioning utente).

Aggiornare i campi provisioning:

Selezionare la casella di controllo Se l'utente esiste già, aggiorna le sue informazioni per aggiornare automaticamente, all'interno della piattaforma, i valori di tutti i campi provisioning che sono stati modificati dall'identity provider. Se non si seleziona questa opzione, bisogna copiare manualmente le modifiche per mantenere allineati i campi provisioning.

Cliccare su Salva le modifiche per completare la configurazione.

Opzioni di login e logout

In questa sezione è possibile personalizzare le modalità con cui gli utenti accedono e si disconnettono dalla piattaforma tramite il single sign-on SAML.

Metodo di Accesso SSO

Qui è possibile configurare il metodo con cui gli utenti effettuano il login sulla piattaforma tramite SSO. È possibile scegliere tra le seguenti opzioni:
- visualizzare la finestra di login standard, dalla quale gli utenti possono cliccare un pulsante per procedere al provider SSO;
- reindirizzare automaticamente gli utenti al provider senza mostrare la finestra di login.

Per ulteriori dettagli, si rimanda all'articolo Guida generale per la configurazione SSO > Configurazione SSO.

Disconnessione dall'identity provider

Selezionare questa opzione per consentire la disconnessione automatica degli utenti dall'identity provider al momento dell’uscita dalla piattaforma.

→ Per configurare questa funzione, è necessario aver preventivamente abilitato e generato il certificato del fornitore di servizi.

Una volta selezionata questa opzione, verrà visualizzato il campo di testo URL di Logout, nel quale è necessario definire l’URL di destinazione a cui gli utenti saranno reindirizzati dopo aver effettuato il logout sia dalla piattaforma sia dall'identity provider. Questa configurazione permette di indirizzare gli utenti verso un URL differente da quello utilizzato per l’SSO.

Reimpostare o disattivare la configurazione SAML

Per rimuovere il single sign-on SAML da una piattaforma, è possibile procedere con le seguenti azioni:

• disattivare SAML: per disabilitare temporaneamente la funzionalità senza perdere le impostazioni;
• reimpostare SAML: per eliminare completamente la configurazione SAML esistente.

Disattivazione di SAML:

Per disattivare la configurazione SAML corrente, cliccare sul pulsante Attivo situato nella parte inferiore dello schermo e selezionare l’opzione Inattivo.
→ Il single sign-on SAML sarà temporaneamente disabilitato sulla piattaforma fino a quando non verrà nuovamente attivato.

Reimpostazione di SAML:

Questa opzione consente di rimuovere tutte le impostazioni SAML esistenti, riportando la configurazione SAML allo stato non configurato.

Per procedere, cliccare sul pulsante Reimposta SAML e, nella finestra di conferma, selezionare la casella di conferma e cliccare nuovamente su Reimposta SAML.

→ Il single sign-on SAML non sarà più disponibile sulla piattaforma. Per ripristinare la funzionalità sarà necessario effettuare una nuova configurazione da zero.

Confronto dei campi utente con SAML e l'app Automation

A seconda del campo, è possibile importarli tramite CSV, SAML o l'app Automation.

Questo è un confronto tra i campi che è possibile importare tramite Automation o SAML SSO:

Attenzione: la creazione di rami in SAML non è supportata tramite importazione CSV. Tutti gli utenti verranno automaticamente inseriti nel ramo principale nelle configurazioni a dominio singolo o, se l'app Extended Enterprise è attiva, nel ramo corrispondente al relativo sottodominio.

Quando si definisce la strategia di provisioning, valutare se si desidera monitorare i propri utenti o inviare notifiche prima del lancio. In tal caso, bisogna caricare prima questi utenti.

Migliori pratiche

Autopopolamento dei gruppi

Per sfruttare al meglio questa integrazione, è possibile impostare gruppi automatici e utilizzare l'app Regole di Iscrizione di Docebo per iscrivere automaticamente questi gruppi a corsi o piani formativi. In questo modo, quando viene creato un nuovo utente, non è necessario assegnarlo manualmente a gruppi, corsi o piani formativi.

Si prega di notare che per associare correttamente i campi SAML appena aggiunti e i campi aggiuntivi della piattaforma appena aggiunti e utilizzarli per il popolamento automatico dei gruppi, è sempre necessario disconnettersi sia dalla piattaforma che dall'Identity Provider. Pertanto, assicurarsi di aver abilitato l'opzione nella sezione Logout behavior. Senza questa opzione, il processo di provisioning degli utenti non verrà eseguito.

Configurazione di un dominio dopo la configurazione di SAML SSO

Se è necessario configurare un dominio personalizzato o un dominio secondario dopo la configurazione di SAML SSO, è necessario:

• Innanzitutto, configurare completamente il dominio personalizzato o il dominio secondario nella piattaforma, come indicato nell'articolo corrispondente: Domain management: Configuring custom domains (Gestione domini: Configurazione di domini personalizzati) o Domain Management: Configuring secondary domains (Gestione domini: Configurazione di domini secondari).
• Successivamente, accedere alla pagina delle impostazioni SAML e, nella sezione Metadati SAML, copiare le nuove informazioni (come ID dell'entità, URL di login o URL di logout) e utilizzarle per aggiornare la configurazione lato identity provider. In questo modo, l'identity provider sarà connesso al dominio appena configurato anziché al precedente URL della piattaforma.

Certificato AWS

Docebo è disponibile nel catalogo AWS SSO.

Altre note

Attenzione: per prevenire configurazioni SAML improprie, Docebo ha implementato un blocco a partire da aprile 2018. Se la connessione continua a rimbalzare avanti e indietro, Docebo ha aggiunto un blocco che mostrerà una pagina di errore. Inoltre, il browser che ha avviato il loop verrà bloccato per un'ora.