Single sign-on

Onderdeel vanSoveryne inrichten voor je organisatie

Iedereen logt bij Soveryne in met het werkaccount dat hij al heeft. Soveryne maakt geen wachtwoorden aan. Deze pagina legt uit welke identiteitsproviders worden ondersteund, wat de beheerder van je identiteitsprovider moet controleren, wie er binnenkomt en hoe mensen hun rol krijgen.

Ondersteunde identiteitsproviders

Identiteitsprovider	Opmerkingen
Google Workspace	Aanbevolen als je de keuze hebt. Google bevestigt altijd dat een e-mailadres is geverifieerd.
Microsoft Entra ID	Werk- en schoolaccounts. Persoonlijke Microsoft-accounts worden niet geaccepteerd.
Okta	Beschikbaar als Soveryne Okta voor je organisatie heeft ingericht. Vraag het je contactpersoon bij Soveryne.
GitHub	De persoon heeft een geverifieerd primair e-mailadres nodig op zijn GitHub-account.

Single sign-on (SSO) gebruikt OpenID Connect (OAuth 2.0). Soveryne kan op verzoek een andere OpenID Connect-provider toevoegen. SAML wordt niet ondersteund.

Wat de beheerder van je identiteitsprovider moet doen

In de standaardinrichting registreer je geen applicatie in je identiteitsprovider. Soveryne laat mensen inloggen via zijn eigen inlogapplicatie, dus als er later een product, een persoon of een webadres bijkomt, hoef je aan jouw kant niets te wijzigen.

De beheerder van je identiteitsprovider hoeft alleen drie dingen te bevestigen:

Iedereen heeft een geverifieerd e-mailadres, en je provider deelt dat bij het inloggen. Soveryne laat mensen alleen toe op basis van hun geverifieerde e-mailadres. Gebruikersnamen en andere attributen worden niet vertrouwd.

Mensen mogen inloggen bij een applicatie van derden.

Microsoft Entra ID: controleer je instellingen voor gebruikerstoestemming. Als je tenant beheerderstoestemming voor applicaties vereist, keurt een beheerder de inlogapplicatie van Soveryne één keer goed.

Google Workspace: controleer of de toegang voor apps van derden de inlogapplicatie van Soveryne toestaat.

Iedereen logt in met een adres op een van de e-maildomeinen van je organisatie, of is persoonlijk uitgenodigd (zie hieronder).

Opmerking

Als je organisatie een eigen OAuth-applicatie moet gebruiken, kan Soveryne een werkruimte daarvoor configureren. Je registreert dan een vertrouwelijke webapplicatie bij je provider en geeft Soveryne de clientgegevens ervan. Soveryne geeft je het redirectadres dat je moet registreren. Mensen op zo'n werkruimte loggen in op het eigen webadres van het product.

Wie er binnenkomt

Iemand kan inloggen als zijn geverifieerde e-mailadres:

op een van de toegestane e-maildomeinen van de werkruimte staat, bijvoorbeeld iedereen bij example.com, of

persoonlijk is uitgenodigd op exact adres, bijvoorbeeld een consultant bij een ander bedrijf.

Daarbij gelden een paar regels:

Openbare e-maildiensten zoals gmail.com of outlook.com kunnen nooit een toegestaan domein zijn. Je kunt wel één exact adres bij zo'n dienst uitnodigen.

Een werkruimte zonder toegestaan domein en zonder uitnodigingen laat niemand binnen. Command zet een provider pas aan als je minstens een van beide hebt toegevoegd.

Mensen die zijn gedeactiveerd, kunnen niet inloggen, ook niet als hun domein is toegestaan.

Een geweigerde inlogpoging maakt geen account aan.

Je beheert toegestane domeinen en uitnodigingen in Command onder Afdelingen › Single sign-on. Je kunt ze ook instellen in de set-up wizard (zie Command).

Hoe mensen hun rol krijgen

Mensen krijgen hun toegang automatisch wanneer ze inloggen. Command controleert deze regels op volgorde en gebruikt de eerste die van toepassing is:

Volgorde	Regel	Voorbeeld
1	Uitgenodigde personen: een exact e-mailadres krijgt een rol	`j.devries@example.com` → Beleidsredacteur
2	Claim → rol: een groep of rol die je identiteitsprovider meestuurt, krijgt een rol	`security-team` → Incident responder
3	Domein → rol: iedereen op een e-maildomein krijgt een rol	`example.com` → Auditor
4	Provider → rol: iedereen die via een provider inlogt, krijgt een rol	Google → Auditor

Iemand op wie geen enkele regel van toepassing is, kan inloggen maar ziet niets totdat iemand hem een rol geeft.

Beheerderstoegang wordt nooit via single sign-on verleend. Je eerste beheerder wordt ingericht door Soveryne of door je partner wanneer je werkruimte wordt aangemaakt.

Een regel claim → rol heeft de naam nodig van de claim die moet worden gelezen, ingevuld bij Rolclaim-sleutel. Laat die alleen verwijzen naar een groeps- of rolclaim die je identiteitsprovider beheert, nooit naar een waarde die mensen zelf kunnen bewerken.

Om de rol van één persoon te wijzigen, gebruik je Gebruikers & rollen. De wijziging blijft behouden wanneer die persoon de volgende keer inlogt.

Zie Rollen en rechten voor wat elke rol kan doen.

De eerste keer inloggen

Er zijn twee manieren om binnen te komen:

De inlogpagina van Soveryne. Na het inloggen toont die de applicaties die je kunt gebruiken, onder Your applications. Kies er een om die te openen; je bent dan al ingelogd.

Het eigen webadres van het product. Kies je identiteitsprovider op de inlogpagina van Soveryne.

Je account wordt aangemaakt de eerste keer dat je inlogt. Log je later in via een andere provider die hetzelfde e-mailadres bevestigt, dan kom je in hetzelfde account.

Mensen verschijnen in Gebruikers & rollen in Command na hun eerste inlog. Tot die tijd staan uitnodigingen onder Openstaande uitnodigingen.

Problemen oplossen

Wat je ziet	Waarschijnlijke oorzaak	Wat je doet
Je komt zonder melding terug op de inlogpagina	Je e-maildomein is niet toegestaan en je bent niet uitgenodigd; je provider heeft je e-mailadres niet bevestigd; of je account is gedeactiveerd	Vraag je beheerder om je domein toe te voegen of je uit te nodigen. Controleer of je identiteitsprovider een geverifieerd e-mailadres deelt.
Je bent ingelogd, maar elke pagina is leeg	Er is nog geen regel die je een rol geeft	Vraag je beheerder om je met een rol uit te nodigen, of om een regel Domein → rol voor je domein toe te voegen
De knop van je provider ontbreekt	De provider staat voor deze werkruimte niet aan	Vraag je beheerder om hem aan te zetten onder Single sign-on. Staat hij daar niet tussen, neem dan contact op met Soveryne.
Een persoonlijk Gmail- of Outlook-adres wordt geweigerd	Openbare e-maildiensten kunnen niet als domein worden toegestaan	Vraag je beheerder om dat exacte adres uit te nodigen
Inloggen via GitHub wordt geweigerd	Je GitHub-account heeft geen geverifieerd primair e-mailadres, of het is privé	Verifieer een primair e-mailadres in je GitHub-instellingen
Collega's op het domein van een dochteronderneming worden geweigerd	Alleen de vermelde domeinen zijn toegestaan	Voeg het domein toe onder Toegestane e-maildomeinen
Opslaan van Single sign-on mislukt met "Een SSO-koppeling mag de admin-rol niet toewijzen."	Een regel probeert beheerderstoegang te verlenen	Verwijder die regel. Beheerderstoegang wordt apart toegewezen.

← VorigeOnboardingchecklist Volgende →Rollen en rechten