Beleid en single sign-on

Het policyBeleid van de organisatie stelt regels vast die gelden voor iedereen die je erbij haalt. Met vpn_keySingle sign-on kunnen je medewerkers inloggen met het account dat je bedrijf ze al geeft en worden ze automatisch lid van de organisatie.

Beide staan in het Enterprise-gedeelte: businessEnterprise > policyBeleid en vpn_keySingle sign-on.

Het organisatiebeleid#

Wijzig een van de onderstaande opties en druk dan onderaan de pagina op saveOpslaan. Een nieuwe standaardrol geldt voor mensen die zich vanaf dat moment aansluiten; de rol van bestaande leden verandert niet.

Toegestane e-maildomeinen#

Alleen mensen met deze e-maildomeinen kunnen worden uitgenodigd voor of gekoppeld aan je organisatie. Laat leeg om elk domein toe te staan.

1. Typ onder Toegestane e-maildomeinen een domein in Domein toevoegen, bijvoorbeeld acme.com. Typ alleen het domein, geen e-mailadres of webadres.
2. Druk op addToevoegen (of op Enter). Het domein verschijnt als chip.
3. Druk op saveOpslaan.

Druk op close op een chip om dat domein te verwijderen. Zonder domeinen in de lijst staat op de pagina "Geen beperking: elk e-maildomein kan worden uitgenodigd."

Als de lijst is ingesteld, wordt een uitnodiging naar elk ander domein geweigerd, zowel op de pagina groupGebruikers als door de server, en geldt hetzelfde voor een verzoek om lid te worden dat naar een bestaand account is gestuurd. Leden kunnen hun eigen inlogadres ook niet naar een ander domein wijzigen.

Standaardinstellingen#

• Standaardrol voor nieuwe leden: de rol die iedereen krijgt die zich aansluit: mensen die je uitnodigt, bestaande accounts die een verzoek om lid te worden accepteren, mensen die binnenkomen via single sign-on en leden die via de API zijn aangemaakt. De rol is in eerste instantie Lid. Alleen de eigenaar kan er Beheerder van maken. Zie rollen.
• Leden als inactief markeren na (dagen): een lid dat langer dan dit aantal dagen niet is ingelogd, wordt op de pagina groupGebruikers als inactief weergegeven, als hint dat zijn of haar seat naar iemand anders kan gaan. Elk getal van 1 tot 3650; het begint bij 60.

Beveiligingen#

• Projecten laten overdragen voordat een lid zijn account sluit: leden kunnen in geen geval hun eigen account verwijderen, alleen de eigenaar en Admins kunnen dat, dus deze optie verandert niets. Leden die je verwijdert laten hun projecten altijd bij de organisatie. Zie iemand uit de organisatie verwijderen.

Single sign-on#

Met single sign-on loggen je medewerkers in bij Measure Map Online met het account dat je bedrijf ze al geeft (Microsoft, Okta, Google en andere), via de identiteitsprovider van je bedrijf, met SAML of OpenID Connect (OIDC). Iedereen van je bedrijf die zo inlogt, wordt automatisch lid van je organisatie.

Je vraagt het aan op de pagina vpn_keySingle sign-on: daar staat wat je in je identiteitsprovider moet invullen en wat je ons moet sturen. Wij controleren het verzoek en zetten single sign-on aan. De eigenaar van de organisatie en de Admins kunnen het verzoek versturen.

Zo werkt het#

1. Je stuurt ons hieronder de gegevens van je identiteitsprovider, met de e-maildomeinen die je team gebruikt.
2. Wij controleren ze en schakelen single sign-on in. Je krijgt een e-mail en deze pagina toont de inloglink.
3. Je team logt in met hun bedrijfsaccount. Nieuwkomers worden lid van je organisatie en verschijnen onder Gebruikers, waar je hun rol instelt.

Wat je nodig hebt voordat je begint#

• Beheerderstoegang tot je identiteitsprovider, zoals het Microsoft Entra-beheercentrum, de Okta Admin Console of de Google Admin-console, of iemand in je IT-team die die heeft. Daar voeg je Measure Map Online toe als applicatie.
• Elk e-maildomein dat je team gebruikt, bijvoorbeeld acme.com en acme.co.uk. Alleen mensen met een adres op deze domeinen kunnen zich via single sign-on aansluiten.
• Een technisch contactpersoon: de naam en het e-mailadres van de persoon die wij over de koppeling kunnen benaderen.
• Drie gegevens van je identiteitsprovider, die je kopieert zodra Measure Map Online daar is toegevoegd (stap 1 hieronder):
  • bij SAML: de Single sign-on-URL (login-URL), de Entity ID van de identiteitsprovider (issuer) en het Ondertekeningscertificaat;
  • bij OpenID Connect: de Issuer-URL, de Client-ID en de Client secret.

Stap 1: voeg Measure Map Online toe aan je identiteitsprovider#

1. Open businessEnterprise > vpn_keySingle sign-on.

2. Kies onder Protocol voor SAML 2.0, wat de pagina aanraadt, of voor OpenID Connect als je IT-team daar de voorkeur aan geeft.

3. Kies onder Identiteitsprovider de jouwe: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud of Een andere provider.

4. Onder Voer deze waarden in bij je identiteitsprovider toont de pagina onze kant van de koppeling. Kopieer elke waarde van de pagina met content_copy in plaats van hem over te typen.

   Met SAML:

   • Identifier (Entity ID): https://app.measuremaponline.com
   • Antwoord-URL (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Het e-mailadres van de gebruiker
   • Attributen: email (verplicht); voor- en achternaam, of weergavenaam (optioneel)

   Met OpenID Connect:

   • Redirect-URI: https://measuremaponline.com/__/auth/handler
   • Scopes: openid email profile

5. Daaronder geeft de pagina de stappen voor de provider die je koos. Ze staan ook hier, met waar je elk gegeven vindt dat stap 2 vraagt.

Waar je het vindt in je identiteitsprovider#

Microsoft Entra ID, Okta en Google Workspace hebben hun eigen stappen. OneLogin, JumpCloud en andere providers volgen de algemene stappen.

Microsoft Entra ID, met SAML#

1. Open in het Microsoft Entra-beheercentrum Enterprise applications > New application > Create your own application. Geef de applicatie de naam "Measure Map Online" en kies ervoor een applicatie te integreren die je niet in de galerie vindt.
2. Open in de nieuwe applicatie Single sign-on en kies SAML. Vul onder Basic SAML Configuration de Identifier (Entity ID) en de Antwoord-URL (ACS URL) in.
3. Stel onder Attributes & Claims de Unique User Identifier (Name ID) in op user.mail en behoud de claim voor het e-mailadres.
4. Wijs onder Users and groups de mensen of groepen toe die gaan inloggen.
5. Kopieer terug onder Single sign-on de drie gegevens:
   • Single sign-on-URL (login-URL): de Login URL, onder Set up Measure Map Online.
   • Entity ID van de identiteitsprovider (issuer): de Microsoft Entra Identifier, op dezelfde plek.
   • Ondertekeningscertificaat: download Certificate (Base64) onder SAML Certificates.

Okta, met SAML#

1. Open in de Okta Admin Console Applications > Applications > Create App Integration, kies SAML 2.0 en geef de app de naam "Measure Map Online".
2. Vul de Antwoord-URL (ACS URL) in als Single sign-on URL en de Identifier (Entity ID) als Audience URI (SP Entity ID). Stel Name ID format in op EmailAddress en Application username op Email.
3. Voeg onder Attribute Statements email toe met de waarde user.email (en firstName en lastName als je wilt).
4. Wijs op het tabblad Assignments de mensen of groepen toe die gaan inloggen.
5. Open op het tabblad Sign On de View SAML setup instructions en kopieer:
   • Single sign-on-URL (login-URL): de Identity Provider Single Sign-On URL.
   • Entity ID van de identiteitsprovider (issuer): de Identity Provider Issuer.
   • Ondertekeningscertificaat: het X.509 Certificate.

Google Workspace, met SAML#

1. Open in de Google Admin-console Apps > Web and mobile apps > Add app > Add custom SAML app en geef de app de naam "Measure Map Online".
2. Kopieer op de pagina Google Identity Provider details de drie gegevens en ga dan verder:
   • Single sign-on-URL (login-URL): de SSO URL.
   • Entity ID van de identiteitsprovider (issuer): de Entity ID.
   • Ondertekeningscertificaat: download het certificaat.
3. Vul op de volgende pagina de Antwoord-URL (ACS URL) in als ACS URL en de Identifier (Entity ID) als Entity ID. Stel Name ID format in op EMAIL en Name ID op Basic Information > Primary email.
4. Zet de app onder User access aan voor de organisatie-eenheden of groepen die gaan inloggen.

OneLogin, JumpCloud en andere providers, met SAML#

1. Maak een SAML 2.0-applicatie met de naam "Measure Map Online".
2. Vul de Identifier (Entity ID) en de Antwoord-URL (ACS URL) in, stuur het e-mailadres van de gebruiker als Name ID mee en wijs de mensen toe die gaan inloggen.
3. Kopieer de drie gegevens, meestal van de SAML- of metadatapagina van de applicatie:
   • Single sign-on-URL (login-URL): de single sign-on-URL van de identiteitsprovider.
   • Entity ID van de identiteitsprovider (issuer): de entity ID, ook wel issuer genoemd.
   • Ondertekeningscertificaat: het ondertekeningscertificaat.

Microsoft Entra ID, met OpenID Connect#

1. Open in het Microsoft Entra-beheercentrum App registrations > New registration. Geef de app de naam "Measure Map Online", kies Web als platform en vul de Redirect-URI in.
2. Maak onder Certificates & secrets een client secret aan en kopieer de waarde meteen: die wordt maar één keer getoond.
3. Voeg onder Token configuration de optionele claim email toe aan het ID-token.
4. Kopieer de drie gegevens:
   • Issuer-URL: https://login.microsoftonline.com/<tenant ID>/v2.0, met de Directory (tenant) ID van de pagina Overview.
   • Client-ID: de Application (client) ID.
   • Client secret: de waarde van het secret uit stap 2.

Andere providers, met OpenID Connect#

1. Maak een OpenID Connect-webapplicatie met de naam "Measure Map Online", met de Redirect-URI.
2. Sta de scopes openid, email en profile toe en wijs de mensen toe die gaan inloggen.
3. Kopieer de drie gegevens: Issuer-URL, Client-ID en Client secret.

Stap 2: stuur ons de gegevens#

Vul onder Stuur ons de gegevens het volgende in:

• Met SAML: Single sign-on-URL (login-URL), Entity ID van de identiteitsprovider (issuer) en Ondertekeningscertificaat. Plak de tekst van het certificaat (Base64 of PEM, met de BEGIN- en END-regels), of druk op upload_fileBestand kiezen en kies het .cer-, .crt- of .pem-bestand dat je hebt gedownload.
• Met OpenID Connect: Issuer-URL, Client-ID en Client secret.
• E-maildomeinen: typ een domein, bijvoorbeeld acme.com, en druk op addToevoegen (of op Enter). Voeg elk domein toe dat je team gebruikt: alleen mensen met een adres op deze domeinen kunnen zich via single sign-on aansluiten.
• Technisch contactpersoon en Contact-e-mail: wie wij over het verzoek benaderen. Al het andere komt in Alles wat we moeten weten (optioneel).

Druk op sendVerzoek verzenden. De gegevens worden gecontroleerd terwijl je ze verstuurt, en als ze niet worden geaccepteerd, zegt het formulier meteen wat je moet aanpassen:

• "Dat ondertekeningscertificaat kon niet worden gelezen. Plak het hele certificaat, inclusief de BEGIN- en END-regels, of kies het bestand."
• "Die gegevens zijn niet geaccepteerd. Controleer de single sign-on-URL, de entity ID en het certificaat (of de issuer, client-ID en het secret) en probeer het opnieuw."

Terwijl wij het controleren#

Zodra het verzoek is verstuurd, staat bovenaan de pagina de status schedule Wacht op ons, met de gegevens die je hebt gestuurd en het nummer van het supportticket dat wij ervoor hebben geopend. Wij controleren het verzoek, vooral of de e-maildomeinen bij je organisatie horen, en zetten single sign-on aan. De eigenaar krijgt een e-mail en de pagina toont check_circle Ingeschakeld met de inloglink.

Zolang het wacht, kun je:

• Op editVerzoek bewerken drukken om het te corrigeren en daarna op sendVerzoek bijwerken. Laat Ondertekeningscertificaat of Client secret leeg om degene te behouden die je eerder hebt gestuurd.
• Op undoVerzoek intrekken drukken om het te annuleren. Je kunt op elk moment een nieuw verzoek versturen.

Als we iets gewijzigd willen hebben, staat bij de status error Wijziging nodig, met onze opmerking over wat er moet veranderen. Corrigeer het formulier en druk op sendVerzoek bijwerken.

Zodra het aan staat#

De pagina toont je identiteitsprovider, de goedgekeurde e-maildomeinen en de Inloglink, bijvoorbeeld https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Druk op content_copy om hem te kopiëren en deel hem met je team: hij opent de inlogpagina, klaar voor de provider van je bedrijf. Dezelfde link met ?saml= in plaats van ?sso= werkt ook.

• Wie er lid wordt: mensen die hiermee inloggen, worden de eerste keer automatisch lid van je organisatie, als hun adres op een van de goedgekeurde domeinen staat. Ze krijgen de standaardrol van de organisatie, net als uitgenodigde mensen, en elk van hen gebruikt een seat. Is er geen vrije seat, dan kan de persoon zich niet aansluiten en krijgt de eigenaar daarover een e-mail (hooguit één per dag).
• Wijzigingen: druk op support_agentContact opnemen om de provider te wijzigen of single sign-on uit te zetten. Dat opent het supportformulier, al voor je begonnen. De eigenaar krijgt een e-mail zodra single sign-on wordt aan- of uitgezet, zodat een onverwachte wijziging niet onopgemerkt blijft.
• Certificaat: bij SAML toont de pagina tot wanneer het ondertekeningscertificaat van je identiteitsprovider geldig is en waarschuwt hij je vanaf een maand voordat het verloopt. Zodra het verlopen is, kan niemand meer inloggen met single sign-on: maak een nieuw certificaat aan in je identiteitsprovider en stuur het ons met support_agentContact opnemen.
• Problemen: als de provider niet meer werkt, staat bij de status error Werkt niet en kan je team er niet mee inloggen. Verstuur het aanvraagformulier onder de melding opnieuw, zoals bij stap 1 en stap 2, en wij koppelen hem weer zodra we hem hebben gecontroleerd. Je kunt ook op support_agentContact opnemen drukken.