Inloggen met een eigen provider¶

Wat een eigen inlogprovider is en voor wie hij werkt, staat in Organisaties en klanten.

Heeft je organisatie een eigen identity provider, dan kun je de beheerders van je organisatie daarmee laten inloggen in de console in plaats van met een wachtwoord: OpenID Connect, Google Workspace of Microsoft Entra ID. Je stelt dat in op het tabblad Toegang & policy van de organisatie, als beheerder van die organisatie of van een organisatie erboven. Met een API-sleutel gaat het zoals beschreven in Een eigen inlogprovider instellen met een sleutel.

Vier regels gelden bij elke provider:

• Niemand krijgt een account door in te loggen. Alleen wie je al als beheerder hebt uitgenodigd kan zo inloggen, herkend aan het e-mailadres dat de provider heeft geverifieerd.
• De tweede factor van de provider telt. Vraagt je provider om een code, dan vraagt de console er geen tweede.
• Wie beheerder is van meer dan één organisatie, kan via de provider van geen enkele organisatie inloggen. Die logt in met een wachtwoord, zodat de provider van de ene organisatie nooit die van een andere opent.
• Een provider verwijderen verwijdert geen accounts. Wie ook een wachtwoord heeft, logt daar nog mee in.

Wie je uitnodigt en meteen via je provider inlogt, kiest hier nooit een wachtwoord: de stappen van de uitnodiging -- een wachtwoord kiezen, het adres bevestigen, een code instellen -- zijn met het inloggen bij de provider de eerste keer afgehandeld. Moet iemand later toch met een wachtwoord inloggen, vraag dan de beheerder van je installatie, of stel het opnieuw in vanaf de inlogpagina als je installatie dat aanbiedt; in beide gevallen stelt die onderweg een code in.

Eerst je e-maildomein bewijzen¶

Je provider laat alleen adressen inloggen in een e-maildomein waarvan je organisatie heeft bewezen dat het van haar is, zodat de provider van niemand een adres van een ander bedrijf kan laten inloggen. Bewijs elk domein waarin de adressen van je beheerders liggen voordat je een provider toevoegt:

1. Open de organisatie, dan Instellingen, dan het tabblad Toegang & policy. Vul op de kaart E-maildomeinen het domein in (bijvoorbeeld example.com) en kies Domein claimen.
2. Het domein verschijnt als Wacht op bewijs, met een Recordnaam (_artific-challenge.example.com) en een Recordwaarde. Kopieer ze allebei en publiceer een TXT-record op die naam met die waarde, bij wie de DNS van je domein beheert.
3. Kies zodra het gepubliceerd is Nu controleren. Wordt het record nog niet gevonden, dan zegt de kaart dat; wacht tot je DNS is bijgewerkt en controleer opnieuw. Is het gevonden, dan staat het domein op Bewezen.

Een domein dat een andere organisatie al heeft bewezen kun je niet claimen, en een gedeeld mailboxdomein zoals gmail.com nooit. Een organisatie claimt hoogstens vijftig domeinen. Kies je Opgeven bij een domein, dan laat je provider daar meteen niemand meer inloggen. Het domein van een Google Workspace-provider moet een domein zijn dat je hebt bewezen.

Eerst de hosts van je provider toestaan¶

De inlogdienst praat namens je organisatie met je provider, dus je organisatie moet de hosts van je provider toestaan voordat je hem toevoegt, zoals ze elke andere host toestaat die ze bereikt. Een provider opslaan waarvan de hosts niet zijn toegestaan wordt geweigerd, met het veld erbij.

Kies op hetzelfde tabblad op de kaart Toegestane hosts voor Host toevoegen, vul de host in en kies Host toestaan. Doe dat voor elke host uit de tabel.

Een provider toevoegen¶

1. Open de organisatie, dan Instellingen, dan het tabblad Toegang & policy.
2. Kies op de kaart Inloggen met een eigen provider voor Toevoegen, of voor Provider toevoegen als er al een provider staat. Is er nog geen domein bewezen, dan zegt de kaart dat en verwijst ze naar de kaart E-maildomeinen.
3. Vul een Naam in: kleine letters, cijfers en koppeltekens, hoogstens 32 tekens, niet aan het begin of einde een koppelteken. De naam komt in het redirect-adres en kan later niet meer wijzigen.
4. Kies de Soort provider en vul het ene veld in dat daarbij hoort:

1. Vul het Client-id en het Client secret in van de client die je bij je provider voor deze console hebt aangemaakt. De Weergavenaam is optioneel en is hoe de inlogpagina de provider zou noemen.
2. Kies Provider opslaan.

Het secret wordt nooit meer getoond. Bij elke wijziging van een provider vul je het opnieuw in; het veld leeg laten bewaart het oude niet.

Het redirect-adres registreren¶

Je provider moet weten waarheen hij mensen terugstuurt. Na het opslaan blijft de lade open en toont een Redirect-adres. Kies Redirect-adres kopiëren en voeg het bij je client van de provider toe als toegestaan redirect-adres. Vroeg de provider om een redirect-adres voordat je de client kon aanmaken, maak hem dan aan met een tijdelijk adres, sla hier op en vervang het tijdelijke adres door het getoonde.

De provider werkt pas zodra het redirect-adres is geregistreerd.

De inloglink delen¶

De gewone inlogpagina toont de providers van geen enkele organisatie. De lade toont daarom ook een Inloglink: het inlogadres van de console met jouw provider erin genoemd. Kies Inloglink kopiëren en geef de link aan je beheerders; als ze hem openen, gaan ze rechtstreeks naar je provider. Wat zij dan zien, staat in Inloggen.

Noemt de link een provider die niet meer bestaat, dan komt de persoon op de gewone inlogpagina uit.

Een provider wijzigen of verwijderen¶

Kies een provider op de kaart om hem opnieuw te openen. Provider verwijderen vraagt om bevestiging en zorgt dan dat niemand er nog mee inlogt. Accounts blijven zoals ze zijn.

De kaart bevat hoogstens tien providers; bij tien zegt ze Maximaal 10 providers.