SSO & Directory

Onder SSO & Directory verbind je Kibi Connect met je bedrijfsdirectory: medewerkers melden zich aan met hun bedrijfsaccount en accounts en groepen komen rechtstreeks uit de directory.

Zo open je het gebied#

De lijst toont alle identiteitsbronnen met type, status, aantal gekoppelde accounts en laatste aanmelding.

Welke identiteitsproviders je kunt koppelen#

Meerdere bronnen gelijktijdig#

Je kunt meerdere identiteitsbronnen parallel gebruiken, bijvoorbeeld Microsoft Entra ID voor het beheer en Keycloak voor de productie. Elke actieve bron verschijnt als aparte knop op de aanmeldpagina, gelabeld met „Aanmelden met <Weergavenaam>“. De aanmelding met wachtwoord, passkey of QR-code blijft daarnaast behouden.

Identiteitsbron toevoegen#

Bij Microsoft Entra ID bevestig je met Instellen: de integratie wordt ingeschakeld en de bron aangemaakt. Daarna voer je de inloggegevens van je Entra-app in. De stappen in het Microsoft Entra Admin Center worden beschreven op de pagina MS Entra Integratie.

De drie tabbladen van een identiteitsbron#

Elke bron heeft dezelfde drie tabbladen. Wijzigingen in alle tabbladen sla je gezamenlijk op via de balk Opslaan onderaan.

Tabblad „Verbinding“#

OpenID Connect

• Issuer-URL

  Het adres van je identiteitsprovider, bijvoorbeeld https://login.example.com/realms/bedrijf. Met „Discovery ophalen“ controleer je of de provider reageert en zie je het aanmeld-eindpunt, token-eindpunt en sleutels.

• Client-ID en Client-Secret

  Uit de client-configuratie bij de provider. Een opgeslagen Secret wordt niet meer getoond; voer het alleen in om het te vervangen.

• Scopes en PKCE

  Scopes gescheiden door spaties. PKCE beschermt de aanmelding extra – schakel het alleen uit als je provider het niet ondersteunt.

SAML 2.0

• Metadata overnemen

  Voeg de metadata-XML toe, laad het bestand op of geef de metadata-URL op. Entity-ID, aanmeld-URL en handtekeningcertificaat worden hieruit ingevuld en blijven wijzigbaar. Bevatten de metadata meerdere providers (bijv. bij eIAM of AGOV), geef dan de gewenste Entity-ID op.

• Gegevens voor je identiteitsprovider

  Entity-ID van dit platform, ACS-URL en het certificaat van het platform. Met „SP-Metadata downloaden“ ontvang je alles in één bestand dat je bij de provider uploadt.

• NameID-formaat

  Aanbevolen is „Permanent (persistent)“. Bij „Wisselend (transient)“ heb je een vast attribuut als identificatie nodig.

• Certificaatwisseling

  Voer oud en nieuw certificaat onder elkaar in. Het platform waarschuwt Systeem-Admins tijdig voordat een certificaat verloopt.

Verbinding testen

De knop Verbinding testen controleert of Kibi Connect de identiteitsprovider bereikt en erop kan vertrouwen – zonder dat iemand hoeft aan te melden. Elk controlepunt verschijnt met „In orde“, „Opmerking“ of „Fout“, bijvoorbeeld of de uitgever overeenkomt, of Client-ID en Client-Secret worden geaccepteerd of hoe lang een SAML-certificaat nog geldig is.

Tabblad „Aanmelding“#

• Attributen overnemen

  Bepaalt welke gegevens van de identiteitsprovider (voornaam, achternaam, e-mailadres, aanmeldnaam) in het profiel worden overgenomen. Deze worden bij elke aanmelding bijgewerkt.

• Accounts koppelen

  Bij de eerste login zoekt Kibi Connect het passende account via een ketting van regels – in volgorde, de eerste regel met een treffer geldt. Daarna is de persoon vast gekoppeld aan zijn account.

• Tweede factor bij identiteitsprovider

  Vraagt je identiteitsprovider bij elke aanmelding om een tweede factor, bevestig dat dan hier. Kibi Connect vraagt dan niet extra om de eigen tweede factor. De bron draagt daarna de vermelding „MFA bevestigd“.

• Aanmelding via deze bron toestaan

  Uitgeschakeld verdwijnt de knop van de aanmeldpagina. Koppelingen blijven behouden.

• Identiteitsbron verwijderen

  Ter bevestiging typ je de naam in. Koppelingen en een SCIM-koppeling worden verwijderd, de accounts zelf blijven behouden. Microsoft Entra ID verwijder je niet, maar schakel je de verbinding uit in het tabblad „Verbinding“.

Voorbeeld van een regelketting:

Zo vinden medewerkers met e-mailadres hun account via het adres, alle anderen via het medewerkernummer. Dit is ook de standaardinstelling voor Microsoft Entra ID. Je kunt tot drie regels aanmaken en hun volgorde wijzigen. Zonder regel wordt geen bestaand account gezocht; accounts moeten dan vooraf gekoppeld of via SCIM aangemaakt zijn.

Tabblad „Gebruikerssynchronisatie“#

OpenID Connect en SAML 2.0

• Accounts aanmaken bij eerste login

  Wie zich voor het eerst via de bron aanmeldt en nog geen account heeft, krijgt er een – mits er vrije licenties beschikbaar zijn. Onder „Rollen voor nieuwe accounts“ stel je in welke rollen deze accounts krijgen. Rollen met beheerrechten kunnen hier niet worden toegekend.

• SCIM-provisionering

  Jouw identiteitsbeheer maakt accounts en groepen aan, onderhoudt en deactiveert ze. Instelling, offboarding, groepen en roltoewijzing worden beschreven op de pagina „SCIM-provisionering instellen“.

• Door directory onderhouden velden vergrendelen

  Aan: medewerkers zien naam, e-mailadres en contactgegevens in het profiel alleen voor lezen. Uit: medewerkers kunnen de velden wijzigen, maar de volgende synchronisatie overschrijft de wijziging weer. De instelling geldt per bron.

Microsoft Entra ID

Hier vind je de volledige directory-synchronisatie zoals voorheen: planning, overgenomen velden, offboarding, meldingen, „Nu synchroniseren“ en weesaccounts. SCIM is optioneel als alternatief mogelijk als je accounts liever vanuit Entra provisioneert. De directory-synchronisatie mogen ook rollen met het recht „Integraties“ op het niveau „Configureren“ wijzigen; de aanmeldinstellingen in het tabblad „Verbinding“ blijven voorbehouden aan Systeem-Admins.

Bescherming voor admin-accounts#

Wie het e-mailadres van een admin-account controleert, zou via „Wachtwoord vergeten?“ toegang kunnen krijgen. Daarom gelden voor accounts uit een identiteitsbeheer vaste beschermingsregels:

• Bevestiging per e-mail

  Als SCIM of de Entra-synchronisatie een bestaand admin-account wil overnemen of het e-mailadres wil wijzigen, wordt dit pas actief als de betrokkene het bevestigt. De e-mail gaat naar het huidige adres.

• Geen automatische admin-rollen

  Niet bij de eerste login noch via SCIM-groep worden rollen met beheerrechten toegekend.

• Limiet bij massale offboarding

  Als een identiteitsbeheer in korte tijd meer dan de helft van zijn accounts wil deactiveren, stopt het platform en waarschuwt het de Systeem-Admins per e-mail.

• Laatste Systeem-Admin

  De laatste actieve Systeem-Admin kan nooit via SCIM geblokkeerd of verwijderd worden.

• „Adres gecontroleerd“

  Wie een account met een door identiteitsbeheer ingesteld adres een admin-rol geeft, moet het adres vooraf zichtbaar controleren. Details onder „Rollen & Rechten“.

Wie mag wat?#