Single Sign-On (SSO)

Single Sign-On stelt de leden van een Enterprise-organisatie in staat zich aan te melden bij de CCTV Design Tool met de identiteitsprovider die uw bedrijf al gebruikt, in plaats van met een apart wachtwoord. De tool kan koppelen met Microsoft Entra ID of met elke OpenID Connect-provider zoals Okta, Auth0, Keycloak of Google Workspace. Zodra SSO is ingeschakeld, meldt uw team zich aan door op de aanmeldpagina Sign in with SSO te kiezen en hun werk-e-mailadres in te voeren. Beheerders kunnen SSO ook afdwingen zodat leden niet langer kunnen aanmelden met een wachtwoord of een Google-account.

Wanneer gebruiken

• Wanneer uw organisatie één set inloggegevens wil voor alle zakelijke applicaties
• Wanneer u nieuwe teamleden wilt onboarden zonder voor hen wachtwoorden aan te maken en te versturen
• Wanneer uw beveiligingsbeleid vereist dat toegang centraal door uw identiteitsprovider wordt beheerd
• Wanneer u zeker wilt stellen dat iemand die het bedrijf verlaat, de toegang verliest zodra diens account bij de identiteitsprovider is uitgeschakeld

Voor u begint

• Uw account moet tot een Enterprise-organisatie behoren. Zie Free / Premium / Enterprise-versies.
• U hebt de machtiging Manage SSO settings nodig. De ADMIN-groep van de eigenaar van de organisatie heeft deze standaard. Om een andere groep SSO te laten configureren, schakelt u Manage SSO settings in voor die groep in Manage Groups.
• U hebt beheerdersrechten nodig op uw identiteitsprovider om de CCTV Design Tool daar als applicatie te registreren.

SSO-instellingen openen

1. Klik op het User-menu in de linkerwerkbalk.
2. Selecteer Profile in het vervolgkeuzemenu.
3. Selecteer in de sectie Company van de User Profile-zijbalk Single Sign-On.

De pagina heeft twee kaarten: SSO configuration, waar u de gegevens van uw identiteitsprovider invoert, en Test & activation, die verschijnt zodra een configuratie is opgeslagen.

Stap 1: Registreer de app bij uw identiteitsprovider

De CCTV Design Tool moet in uw identiteitsprovider als webapplicatie worden geregistreerd. De ene waarde die u uit de tool nodig hebt, is de Callback URL onderaan de kaart SSO configuration. Klik op de kopieerknop ernaast en registreer deze als de redirect-URI van de applicatie.

Microsoft Entra ID

1. Open in het Microsoft Entra admin center App registrations en klik op New registration.
2. Geef de applicatie een naam, bijvoorbeeld CCTV Design Tool.
3. Kies onder Redirect URI het platform Web en plak de uit de tool gekopieerde Callback URL.
4. Registreer de applicatie en noteer de Application (client) ID en de Directory (tenant) ID van de overzichtspagina.
5. Open Certificates & secrets, maak een nieuwe client secret en kopieer direct de value. De value wordt slechts één keer getoond.

Andere OpenID Connect-providers

1. Maak een nieuwe webapplicatie (soms een regular web app of confidential client genoemd) met een client secret.
2. Registreer de uit de tool gekopieerde Callback URL als toegestane redirect-URI.
3. Noteer de client ID en het client secret.
4. Zoek de issuer URL van uw provider. Deze moet exact overeenkomen met de issuer-waarde die in het discovery-document van de provider op /.well-known/openid-configuration is gepubliceerd, bijvoorbeeld https://your-company.okta.com.

Stap 2: Configuratie invoeren

Vul de kaart SSO configuration in en klik op Save.

Veld	Wat in te vullen
Provider	Microsoft Entra ID, of Other (OpenID Connect) voor elke andere provider.
Tenant ID	Alleen Entra ID. De Directory (tenant) ID van uw Microsoft-tenant.
Issuer URL	Alleen andere providers. De issuer-URL precies zoals gepubliceerd in het discovery-document van de provider.
Client ID	De Application (client) ID van de app die u registreerde.
Client secret	De geheime waarde die voor die app is aangemaakt.
Callback URL	Alleen-lezen. Registreer deze redirect-URI in uw identiteitsprovider.

INFO

Het client secret wordt versleuteld opgeslagen en nooit meer getoond. Als u de configuratie later bewerkt, laat u het veld Client secret leeg om het huidige secret te behouden.

WARNING

Het opslaan van elke wijziging in de configuratie wist het laatste testresultaat en schakelt SSO uit totdat u de configuratie opnieuw test en weer inschakelt. Als SSO was afgedwongen, wordt de afdwinging ook opgeheven. Plan configuratiewijzigingen, zoals het roteren van een verlopen client secret, op een moment waarop een korte onderbreking acceptabel is.

Stap 3: Test de configuratie

Klik in de kaart Test & activation op Test configuration. De test controleert dat:

• het discovery-document van de identiteitsprovider bereikbaar is voor de door u ingevoerde tenant of issuer,
• de provider zijn sleutels voor het ondertekenen van tokens publiceert,
• voor Microsoft Entra ID, de client ID en het client secret door de tenant worden geaccepteerd.

Voor Other (OpenID Connect)-providers kan het client secret niet worden gecontroleerd zonder een echte aanmelding, dus een geslaagde test bevestigt alleen dat de provider bereikbaar is. Het secret wordt gecontroleerd door de eerste gebruiker die zich aanmeldt.

Het resultaat van de laatste test wordt naast de knop getoond. Bij een mislukte test wordt de reden getoond, bijvoorbeeld een onjuiste tenant-ID of een afgewezen client secret. SSO kan niet worden ingeschakeld totdat een test slaagt.

Stap 4: SSO inschakelen

Zodra een test is geslaagd, zet u Enable SSO aan. Vanaf nu:

• Leden van uw organisatie kunnen zich aanmelden met Sign in with SSO op de aanmeldpagina.
• Aanmelden met wachtwoord en Google blijft werken. SSO is op dit moment optioneel.
• Elk lid dat zich voor het eerst met SSO aanmeldt, koppelt zijn identiteit via e-mail aan het bestaande account.

Enable SSO uitzetten stopt SSO-aanmelding onmiddellijk en heft ook de afdwinging op.

SSO afdwingen

Zet Enforce SSO aan om de identiteitsprovider de enige manier van aanmelden te maken. De schakelaar is alleen beschikbaar zolang SSO is ingeschakeld. Wanneer SSO is afgedwongen:

• Leden kunnen zich alleen aanmelden met Sign in with SSO. Aanmelden met wachtwoord en Google wordt geweigerd met het bericht Your organization requires single sign-on.
• Uitgenodigde gebruikers kunnen zich niet registreren of een wachtwoord instellen. Ze worden lid van de organisatie door zich voor het eerst met SSO aan te melden (zie Gebruikers toevoegen).
• Leden van de ADMIN-groep blijven uitgezonderd en kunnen zich altijd met hun wachtwoord aanmelden. Dit garandeert dat een onjuiste configuratie van de identiteitsprovider de organisatie nooit buitensluit van haar eigen instellingen.

TIP

Schakel SSO eerst in zonder afdwinging en vraag een paar leden om Sign in with SSO te proberen. Dwing het pas af nadat u hebt bevestigd dat aanmelden voor reguliere leden werkt.

Hoe uw team zich aanmeldt

1. Klik op de aanmeldpagina op Sign in with SSO.
2. Voer uw werk-e-mailadres in en klik op Continue with SSO.
3. U wordt doorgestuurd naar de identiteitsprovider van uw organisatie. Meld u daar aan met hetzelfde account waarvan u zojuist het e-mailadres hebt ingevoerd.
4. U keert terug naar de CCTV Design Tool, al aangemeld.

De organisatie wordt afgeleid uit het e-mailadres: het moet behoren tot een lid van een organisatie met SSO ingeschakeld, of tot een openstaande uitnodiging van zo’n organisatie. Als op het account tweefactorauthenticatie is ingeschakeld, wordt de code nog steeds gevraagd nadat de identiteitsprovider u heeft aangemeld.

Gebruikers toevoegen wanneer SSO aan staat

Gebruikers worden zoals gebruikelijk toegevoegd in Gebruikers beheren. Wat er daarna gebeurt, hangt ervan af of SSO is afgedwongen.

SSO ingeschakeld, niet afgedwongen

• Een e-mailadres dat al een CCTV Design Tool-account heeft, ontvangt een uitnodiging die de persoon in de app accepteert.
• Een nieuw e-mailadres vereist een tijdelijk wachtwoord, net als zonder SSO. De persoon meldt zich eerst met dat wachtwoord aan en kan daarna overstappen op SSO.

SSO afgedwongen

• Een nieuw e-mailadres wordt uitgenodigd zonder wachtwoord. De persoon kiest simpelweg Sign in with SSO op de aanmeldpagina. De eerste geslaagde aanmelding accepteert de uitnodiging, plaatst hem of haar in de groep die tijdens de uitnodiging is gekozen en kent een vrije licentie toe als die beschikbaar is.
• Een e-mailadres dat al een actief account heeft, moet zich eerst met het wachtwoord aanmelden en de uitnodiging in de app accepteren. Pas daarna kan die persoon SSO gebruiken.

INFO

Uitnodigingen verlopen. Als iemand zich niet heeft aangemeld voordat de uitnodiging is verlopen, annuleer deze dan en nodig de persoon opnieuw uit vanuit Manage Users.

Auditlogboek

Elke wijziging wordt vastgelegd in de auditlog van de organisatie: het opslaan van de configuratie, het uitvoeren van een test met het resultaat, en het in- of uitschakelen of afdwingen van SSO. Gebruikers die via een SSO-uitnodiging toetreden, verschijnen als Invite Accepted.

Probleemoplossing

Melding	Betekenis
Identity provider discovery failed (HTTP …) — check the tenant ID	De tenant-ID of issuer-URL is onjuist, of de provider is niet bereikbaar.
The discovery document publishes a different issuer	Voor Other (OpenID Connect) voert u de issuer-URL exact in zoals de provider die publiceert, inclusief of exclusief een afsluitend pad.
Client credentials check failed	De client-ID of het client secret is onjuist, of het secret is verlopen. Maak in uw identiteitsprovider een nieuw secret aan en sla dit op.
Test the configuration successfully before enabling SSO	Voer Test configuration uit en los het gemelde probleem op voordat u Enable SSO inschakelt.
SSO is not available for this account	Het ingevoerde e-mailadres behoort niet tot een lid of genodigde van een organisatie met SSO ingeschakeld. Controleer of de persoon is toegevoegd in Manage Users.
You signed in to the identity provider with a different account than the email you entered	Het bij de identiteitsprovider gekozen account komt niet overeen met het e-mailadres dat op de aanmeldpagina is getypt. Begin opnieuw en kies het overeenkomende account.
You already have an account. Sign in with your password and accept the organization invitation first	De genodigde had al een actief account vóór de uitnodiging. Hij/zij moet de uitnodiging één keer in de app accepteren, daarna werkt SSO.
Your invitation has expired	Nodig de persoon opnieuw uit vanuit Manage Users.
Your organization requires single sign-on	SSO is afgedwongen. Gebruik Sign in with SSO in plaats van een wachtwoord of Google.

Tips

• Noteer wanneer uw client secret verloopt en roteer het vóór die datum. Een verlopen secret stopt SSO voor de hele organisatie.
• Schakel afdwinging pas in nadat reguliere leden hebben bevestigd dat SSO-aanmelding voor hen werkt.
• Houd ten minste één beheerder in de ADMIN-groep die zijn wachtwoord kent. Beheerders zijn de fallback als de identiteitsprovider niet beschikbaar is.
• Wanneer SSO is afgedwongen, nodig nieuwe collega’s uitsluitend per e-mail uit. Zij hebben nooit een wachtwoord van u nodig.
• Bekijk na configuratiewijzigingen het auditlogboek om te bevestigen wie wat wanneer heeft veranderd.

Verwante onderwerpen

• Enterprise-instellingen
• Gebruikersprofiel
• Free / Premium / Enterprise-versies