Single sign-on (SAML)

In dit artikel lees je hoe je je identiteitsprovider koppelt via SAML single sign-on (SSO), zodat leden zich op de aanmeldpagina van je werkruimte kunnen aanmelden met "Continue with {connection name}".

SAML SSO is een add-on. Je abonnement moet SSO / SCIM bevatten, en een admin van de werkruimte moet SSO / SCIM inschakelen onder Settings → Advanced voordat leden SSO in die werkruimte kunnen gebruiken.

Wat je waar insteltLink naar kop kopiëren

SAML-verbindingen maak je aan op het niveau van de "organisatie". Met de instellingen per deployment kies je welke verbindingen actief zijn en hoe strikt SSO wordt afgedwongen.

Een SAML-verbinding aanmakenLink naar kop kopiëren

1. Open Admin Center → "Identity".
2. Klik op het tabblad "SSO Connections" op Add Connection.
3. Vul een "Display Name" in (bijvoorbeeld Corporate Okta of Partner Azure AD).
4. Kopieer deze waarden naar je identiteitsprovider:
   • "Identifier (Entity ID)"
   • "Reply URL (ACS)" (formaat: https://{api-host}/auth/saml/acs)
5. Importeer of plak de gegevens van je IdP:
   • "Metadata URL", of
   • "IdP Entity ID", "IdP SSO URL" en "IdP Certificate(s)"
6. Selecteer onder "Assign to Deployments" de deployments die deze verbinding mogen gebruiken.
7. Sla de verbinding op.

In de lijst met verbindingen krijgt elke verbinding een badge "Active ({n})" of "Inactive".

SSO inschakelen op een deploymentLink naar kop kopiëren

1. Open in Admin Center Deployments → je deployment → "Advanced".

2. Zet Continue with SSO aan ("Allow users to sign in with organization SSO").

3. Kies onder "SSO settings" de SSO Enforcement:

   Modus	Label	Effect
   Optioneel	"Optional"	Leden kunnen Google, mail, Microsoft of SSO gebruiken
   Alle gebruikers	"Required for all"	Alleen SSO werkt; de schakelaars voor Google, mail en Microsoft zijn uitgeschakeld
   Geselecteerde domeinen	"Required for selected domains"	De opgegeven e-maildomeinen moeten SSO gebruiken; andere houden de optionele methodes

4. Koos je "Required for selected domains", vul dan bij "Required domains" de domeinen in, gescheiden door komma's (voorbeeldtekst: example.com, another.com).

5. Schakel de SAML-verbinding(en) in die actief moeten zijn voor deze deployment.

Zet ook SSO / SCIM aan in de werkruimte-app onder Settings → Advanced, zodat de werkruimte gebruikers via SCIM en SSO accepteert.

Hoe leden zich aanmelden met SSOLink naar kop kopiëren

Leden openen de aanmeld-URL van je werkruimte, vullen hun e-mailadres in en klikken bij de keuze van de aanmeldmethode op Continue with {your connection display name}.

Staat SSO naast andere methodes, dan verschijnt er een scheiding "Or" tussen SSO en de opties Google, mail of Microsoft.

SAML en eigen domeinenLink naar kop kopiëren

OAuth- en SAML-callbacks lopen via de beheerde aanmeldhosts van Clipido en geven daarna sessiecookies terug aan je eigen domein via een korte aanmeldoverdracht. Leden moeten het aanmelden starten op de hostnaam die ze willen gebruiken (je eigen domein of het standaardsubdomein).

Werkt SSO op het standaardsubdomein maar niet op een eigen domein, dan is het eigen domein misschien nog niet volledig actief, of is het lid op een andere host begonnen met aanmelden.

Vereisten voor abonnement en schakelaarLink naar kop kopiëren

Voor SSO moet de add-on SSO / SCIM in je abonnement zitten én moet de schakelaar SSO / SCIM aanstaan onder Settings → Advanced.

Zit SSO niet in het abonnement, dan toont Settings → Advanced een knop "Upgrade" in plaats van de schakelaar. Zit SSO wel in het abonnement maar staat de schakelaar uit, dan kunnen leden SAML niet gebruiken, ook niet als er verbindingen bestaan in Admin Center.

Gerelateerde artikelenLink naar kop kopiëren

• Eigen domeinen
• Google en Microsoft
• Aanmeldproblemen op een eigen domein
• SCIM-provisioning
• "Upgrade to access" vs. "not enabled"