Instellen van Single Sign-On met Microsoft Azure/Entra

In deze handleiding leggen we uit hoe u Single Sign-On kunt instellen met Microsoft Azure.

Hoewel de schermafbeeldingen in deze handleiding afkomstig zijn van de Azure-portal, is deze handleiding ook van toepassing op het Microsoft Entra-beheercentrum.

1. Inloggen

Ga naar portal.azure.com en log in met je Microsoft-account.

Je kunt een Microsoft-account aanmaken als je er nog geen hebt.

2. Het Azure-abonnement

Als je al een actief Microsoft Azure-abonnement hebt, kun je deze stap overslaan en direct naar 3. Een nieuwe applicatie aanmaken gaan.

Om gebruik te maken van Microsoft Azure-diensten, heb je een actief Microsoft Azure-abonnement nodig. Je kunt Microsoft Azure voor een beperkte tijd gratis proberen. Na deze proefperiode kun je ervoor kiezen om het te verlengen op een "pay-as-you-go" basis.

Als je nog geen actief abonnement hebt, verschijnt er een link op de hoofdpagina om een abonnement af te sluiten. Zo niet, klik dan op de menuknop in de linkerbovenhoek en vervolgens op "Alle services".

Typ vervolgens "abonnementen" in het zoekveld en klik op "Abonnementen".

Zodra je het registratieproces hebt voltooid, kun je verder gaan met de volgende stappen.

3. Een nieuwe applicatie aanmaken

Om verbinding te maken met Declaree, moet je een nieuwe applicatie maken. Klik eerst op de menuknop in de linkerbovenhoek en klik op "Alle services".

Typ vervolgens "bedrijfstoepassingen" in het zoekveld en klik op "Bedrijfstoepassingen".

Op de pagina "Bedrijfstoepassingen | Alle applicaties", klik je op de knop "Nieuwe toepassing".

Je komt nu in de "Microsoft Entra-galerie". In plaats van naar een bestaande applicatie te zoeken, klik je op "Uw eigen toepassing maken".

Er verschijnt een paneel aan de rechterkant van het scherm. Voer de naam van de app in. Je kunt elke naam kiezen die je wilt, maar voor de duidelijkheid noemen we deze hier "Declaree".

Zorg ervoor dat je de onderste optie hebt geselecteerd, "Een willekeurige andere toepassing integreren die niet aanwezig is in de galerie (niet-galerie)", en klik op "Maken" onderaan het paneel.

Zodra de "Declaree" applicatie is gemaakt, word je naar de overzichtspagina gebracht. De volgende stap is om de gebruikers toe te voegen die je toegang wilt geven tot Declaree.

4. Gebruikers toevoegen

Klik aan de linkerkant van de pagina op "Gebruikers en groepen".

Klik vervolgens op de knop "Gebruiker/groep toevoegen".

Op de pagina "Toewijzing toevoegen", klik op "Niets geselecteerd".

Er opent een ander paneel aan de rechterkant van het scherm. Selecteer de gebruikers die je wilt toevoegen en klik op "Selecteren".

Om te bevestigen, klik je op "Toewijzen":

Je hebt nu de gebruikers toegewezen die kunnen inloggen op Declaree met single sign-on. In de volgende sectie stellen we een uniek subdomein in dat we koppelen aan de Azure-directory van je organisatie.

5. Een subdomein instellen in Declaree

Elke organisatie binnen Declaree krijgt een uniek subdomein. Dit subdomein dient als toegangspunt voor je gebruikers en zorgt ervoor dat Declaree specifiek verbinding maakt met jouw Azure-account, waardoor verwarring met andere accounts wordt voorkomen.

Om het subdomein van je organisatie te vinden, log in op Declaree en ga naar "Configuratie" → "Single Sign-On". Je vindt het subdomein onder het tabblad "Algemeen". Als het subdomein bijzonder lang of anderszins onhandig is, kun je ervoor kiezen om het te wijzigen.

Zodra je tevreden bent met het subdomein, noteer deze en ga verder met de volgende stap, waar we het subdomein koppelen aan Azure.

6. Single Sign-On instellen in Azure

Ga terug naar het Azure-portaal. Terwijl je nog steeds in je "Declaree" bedrijfstoepassing zit, klik je op "Eenmalige aanmelding" in het menu aan de linkerkant van de pagina. Je krijgt verschillende methoden voor eenmalige aanmelding te zien. Declaree gebruikt "SAML".

Je ziet nu de instelpagina voor Eenmalige aanmelding met SAML. Dit proces is opgedeeld in verschillende stappen. We hoeven er slechts enkele aan te passen.

Klik op de knop "Bewerken" van stap 1.

Er verschijnt weer een paneel aan de rechterkant van de pagina. Vul de volgende gegevens in (vervang "yourcompany" door het subdomein dat je in de vorige stap hebt ingesteld) en klik op "Opslaan".

Zodra de gegevens zijn opgeslagen, wordt je gevraagd of je de configuratie wilt testen. Aangezien we single sign-on nog moeten configureren aan de kant van Declaree, selecteer je "Nee, ik ga later testen".

Nu alles is ingesteld in Azure, gaan we door naar de laatste stap en configureren we Declaree.

7. Single Sign-On instellen in Declaree

Houd het Azure-portaal open en keer terug naar Declaree. Ga naar "Configuratie" → "Single Sign-On" en klik op het tabblad "SAML". Hier vind je een verzameling velden die we moeten invullen. Begin met het aanvinken van het selectievakje "Activeer SAML 2.0".

Scroll in het Azure-portaal naar stap 3. Dit blok bevat onder andere de "App-URL voor federatieve metagegevens". Kopieer de URL en plak deze in het veld "Metadata URL" in Declaree. Klik op de herlaad knop aan het rechter uiteinde van het veld en de waarden voor de velden "Issuer ID" en "SSO login URL" en het certificaat worden automatisch opgehaald.

Als dit mislukt, kun je deze gegevens handmatig invoeren. De onderstaande tabel beschrijft welke details je moet invullen:

Stel vervolgens de juiste waarde in voor het veld "NameID-formaat" in Declaree. In de meeste gevallen moet dit "E-mail" zijn. Als je weet dat dit niet correct is (bijvoorbeeld als je gebruikers inloggen met een gebruikersnaam), gebruik dan de voor jouw geschikte optie.

Klik tenslotte op de knop "Opslaan" onderaan de pagina. Als alles goed is ingesteld, dan is de configuratie nu afgerond. De laatste stap is het testen van de verbinding om te zien of alles werkt.

8. De verbinding testen

De laatste stap is het testen van de configuratie. Er zijn twee manieren om dit te doen:

1. In het Azure-portaal, scroll naar stap 5 en klik op "Testen"

2. Ga naar yourcompany.declaree.com en log in

Als alles correct is ingesteld, kun je nu inloggen met SSO.

Troubleshooting

Oplossingen voor veelvoorkomende problemen.

Ingelogde gebruiker niet toegewezen aan een rol

De gebruiker ontvangt een bericht zoals dit:

AADSTS50105: Your administrator has configured the application Declaree ('XXX') to block users unless they are specifically granted ('assigned') access to the application. The signed in user 'XXX@XXX.XXX' is blocked because they are not a direct member of a group with access, nor had access directly assigned by an administrator. Please contact your administrator to assign access to this application.

Om dit op te lossen, voeg je de gebruiker toe aan de Declaree-applicatie. Zie 4. Gebruikers toevoegen voor instructies.

Applicatie niet gevonden in directory XXX

Deze fout betekent meestal dat de gebruiker die de bedrijfstoepassing heeft gemaakt niet als eigenaar is ingesteld. Om een gebruiker als eigenaar in te stellen, ga naar het Azure-portaal, zoek je Declaree-app onder "Bedrijfstoepassingen" (zie stap 3) en open deze. Navigeer vervolgens naar "Eigenaren" en klik op de knop "Toevoegen" om de eigenaar toe te voegen.

401 - "Could not find user"

Wanneer een gebruiker deze fout ontvangt, kan dit verschillende dingen betekenen:

1. De gebruiker bestaat niet in Declaree

Om dit op te lossen, maak de gebruiker aan in Declaree.

2. De gebruikersgegevens in Declaree zijn onjuist

Als de gebruiker wel een account heeft in Declaree, controleer dan hun gegevens en corrigeer eventuele typefouten. Zorg ervoor dat hun e-mailadres in Declaree overeenkomt met hun e-mailadres in Azure.

3. Onjuiste "NameID-format" of "Username attribuut" gegevens in Declaree

De velden "NameID-format" en "Username attribuut" in Declaree ("Configuratie" → "Single Sign-On", tab "SAML") worden gebruikt om de inloggegevens van de gebruiker in kaart te brengen. Als dit verkeerd is geconfigureerd, kan Declaree geen gebruiker in Declaree matchen met zijn tegenhanger in Azure.