Single sign-on (SSO) instellen

Met single sign-on loggen de mensen in je organisatie bij Polzy in via je eigen identiteitsprovider in plaats van met een wachtwoord. Je stelt het één keer in voor de hele organisatie, alle werkruimtes inbegrepen, via SAML 2.0 of OpenID Connect (OIDC). Deze handleiding brengt je van niets naar een geteste, werkende login: in Polzy, bij je DNS-host en in je identiteitsprovider, met een eigen sectie per provider.

Hoe het werkt

• Je domeinen. Single sign-on geldt voor e-mailadressen op de domeinen die je verifieert, en op hun subdomeinen. Een organisatie koppelt één identiteitsprovider en verifieert zoveel domeinen als haar mensen gebruiken.
• Inloggen. Wie op de inlogpagina van Polzy een adres op je domein typt, ziet Doorgaan met en de naam op je inlogknop, bijvoorbeeld Okta, in plaats van Google en Microsoft.
• Nieuwe mensen. Je kiest wat er gebeurt als iemand van je domein voor het eerst inlogt: Polzy maakt diegene meteen lid, of laat alleen mensen toe die al zijn uitgenodigd of gesynchroniseerd.
• SSO verplichten. Als je wilt, kunnen mensen op je domeinen daarna alleen nog via je identiteitsprovider inloggen.

SAML single logout en meer dan één identiteitsprovider per organisatie worden niet aangeboden.

Voordat je begint

Je hebt nodig:

• Een organisatie met Enterprise, waarvan jij de eigenaar bent.
• Toegang tot de DNS van je domein, om één TXT-record toe te voegen. Zie Het TXT-record toevoegen bij je DNS-host.
• Een beheerdersaccount bij je identiteitsprovider, om Polzy als applicatie toe te voegen.

Houd twee tabbladen open, een met Polzy en een met je identiteitsprovider: je kopieert waarden heen en weer.

Laat je IT-team het doen

Beheert iemand anders je identiteitsprovider, stuur diegene dan een instellink in plaats van je eigen login te delen.

1. Open Organisatie-instellingen → Beveiliging. Zoek in de sectie Single sign-on naar IT-instellinks en kies Link sturen.
2. Vul onder Instellink sturen Hun e-mailadres in en de Taal van de e-mail en de pagina, en kies Link sturen.

De link opent de stappen van de instelling (provider, domein, koppeling, mensen en de testlogin) en het SCIM-token, en verder niets in Polzy. Er is geen Polzy-account voor nodig en het kost geen plek, en alles wat via de link gebeurt, wordt vastgelegd in de auditlog. Single sign-on aanzetten en verplichten blijven bij jou.

• Een link werkt 7 dagen, tot je Intrekken kiest, of tot je single sign-on aanzet. Er kunnen er maximaal 5 tegelijk werken, en je kunt er maximaal 20 per dag sturen.
• Is single sign-on eenmaal aan geweest, dan toont een nieuwe link de instelling en kan die het SCIM-token aanmaken; alleen jij kunt de domeinen en de koppeling nog wijzigen.
• Een link kan het SCIM-token aanmaken, maar niet vervangen. Trek je een link in, dan stopt ook een SCIM-token dat ermee is aangemaakt.

De instelling starten

1. Open het accountmenu onderaan de zijbalk, kies Organisatie-instellingen en dan Beveiliging.
2. Kies in de sectie Single sign-on voor Single sign-on instellen. De instelling opent in zes stappen: Provider, Domein, Koppelen, Mensen, Testen en Aanzetten. Wat je invult, wordt bewaard terwijl je verdergaat: sluit de instelling wanneer je wilt, en Verder met instellen brengt je terug naar de eerste stap waar nog iets te doen is.
3. Kies je identiteitsprovider: Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud, Ping Identity, Andere SAML 2.0-provider of Andere OpenID Connect-provider. De keuze bepaalt het protocol en de veldnamen die de volgende stappen tonen. Okta, Microsoft Entra ID en Google Workspace beginnen met SAML; kies Gebruik OpenID Connect om ze met OIDC te koppelen.
4. Houd onder Naam op de inlogknop de naam van je provider aan of typ een andere, bijvoorbeeld die van je organisatie. Mensen op je domeinen zien Doorgaan met en die naam.

Single sign-on

Welke identiteitsprovider gebruik je?

1. 1Provider
2. 2Domein
3. 3Koppelen
4. 4Mensen
5. 5Testen
6. 6Aanzetten

Kies de provider waarmee je team inlogt. Die bepaalt welke veldnamen je in de volgende stappen ziet, en je kunt hem later wijzigen.

OktaSAML of OpenID ConnectMicrosoft Entra IDSAML of OpenID ConnectGoogle WorkspaceSAML of OpenID ConnectOneLoginSAMLJumpCloudSAMLPing IdentitySAMLAndere SAML 2.0-providerSAMLAndere OpenID Connect-providerOpenID Connect

Koppelt via SAML.Gebruik OpenID ConnectStapsgewijze handleiding voor Okta

Naam op de inlogknop

Mensen op je domein zien „Doorgaan met Okta” op de inlogpagina.

Volgende

Stapsgewijze handleiding voor je provider, naast elke stap, opent de sectie van die provider op deze pagina.

Je domein verifiëren

Polzy vertrouwt je identiteitsprovider alleen voor adressen op een domein waarvan je hebt laten zien dat het van jou is.

1. Typ in de stap Domein het domein van de adressen van je mensen, bijvoorbeeld acme.com, en kies Domein toevoegen.
2. Polzy toont het record dat je toevoegt: type TXT, naam @ (of het volledige domein, als je DNS-host daarom vraagt), en een waarde die begint met polzy-domain-verification=. Kopieer de waarde.
3. Voeg het record toe bij je DNS-host, op de hoofdnaam van het domein, niet op een subdomein. Zie Het TXT-record toevoegen bij je DNS-host.
4. Kies terug in Polzy Nu controleren. Het domein gaat van Wacht op DNS naar Geverifieerd. Een nieuw record kan een paar minuten tot een uur nodig hebben om zichtbaar te worden; controleer later opnieuw als het nog niet gevonden wordt.

Je kunt doorgaan met de volgende stappen terwijl de DNS bijwerkt: alleen het aanzetten van single sign-on wacht op een geverifieerd domein. Voeg elk domein toe dat je mensen gebruiken, zoals acme.com en acme.eu; elk heeft een eigen record. Een geverifieerd domein dekt ook de subdomeinen, zoals eu.acme.com.

Het TXT-record toevoegen bij je DNS-host

Je DNS-host is waar de records van je domein staan: vaak het bedrijf waar je het domein hebt gekocht, soms een aparte dienst. Elke host vraagt om dezelfde drie dingen: het type (TXT), de naam of host (@ voor de hoofdnaam van het domein) en de waarde die Polzy toonde. Laat de TTL (time to live) op de standaardwaarde staan.

Je identiteitsprovider koppelen

Koppelen gaat van twee kanten: je identiteitsprovider heeft de adressen van Polzy nodig, en Polzy die van je identiteitsprovider.

De kant van Polzy, voor SAML. Onder Plak deze in je identiteitsprovider toont Polzy twee waarden om te kopiëren, elk met de naam die je provider dat veld geeft, en de attributen die je provider moet meesturen.

De kant van je identiteitsprovider. Geef Polzy onder Gegevens uit je identiteitsprovider de instellingen op een van drie manieren:

• Metadata-URL: plak het adres van de metadata en kies Importeren. Zodra single sign-on aan staat, leest Polzy het elke dag opnieuw, zodat een nieuw ondertekeningscertificaat Polzy vanzelf bereikt.
• Bestand uploaden: het XML-metadatabestand dat je provider aanbiedt, tot 1 MB.
• Handmatig invoeren: de Entiteits-ID van de identiteitsprovider (soms de issuer genoemd), de Inlog-URL en het Ondertekeningscertificaat, inclusief de regels BEGIN en END.

De attributen die Polzy leest (SAML). Hoofdletters maken bij de namen niet uit.

Gebruikt je identiteitsprovider andere namen, wijzig ze dan in de stap Mensen onder Geavanceerd: attribuutnamen. De assertion moet ondertekend zijn met SHA-256 of sterker: een antwoord dat met SHA-1 is ondertekend, wordt geweigerd.

Voor OpenID Connect kopieer je de Redirect-URI van Polzy naar je identiteitsprovider en vul je in Polzy de Issuer-URL, de Client-ID en het Clientgeheim in. Het clientgeheim wordt versleuteld opgeslagen; laat het veld later leeg om het te houden. Polzy vraagt om de scopes openid, email en profile, en leest email, given_name, family_name en, als je groepsregels gebruikt, groups.

De secties hieronder vertellen waar elke waarde komt bij elke identiteitsprovider, met een link naar de eigen handleiding van die provider. De menu's van de providers staan hier in het Engels.

Okta

1. Ga in de Okta Admin Console naar Applications → Applications en kies Create App Integration. Vraagt Okta welke wizard je wilt gebruiken, kies dan Classic experience. Selecteer SAML 2.0 en kies Next.
2. Noem de app Polzy en kies Next.
3. Plak de Single sign-on URL van Polzy in Single sign-on URL en laat Use this for Recipient URL and Destination URL aangevinkt. Plak de Audience URI (SP Entity ID) in Audience URI (SP Entity ID).
4. Zet Name ID format op EmailAddress en Application username format op Email.
5. Voeg onder Attribute Statements email toe met de waarde user.email, firstName met user.firstName en lastName met user.lastName. Om mensen per groep te plaatsen, voeg je een Group Attribute Statement toe met de naam groups en een filter zoals Starts with polzy.
6. Kies Next, selecteer I'm an Okta customer adding an internal app en kies Finish.
7. Kopieer op het tabblad Sign On van de app de Metadata URL, plak die in Polzy onder Metadata-URL en kies Importeren.
8. Kies op het tabblad Assignments voor Assign en wijs de mensen of groepen toe die Polzy gebruiken.

Voor OpenID Connect maak je de integratie met OIDC - OpenID Connect en Web Application, plak je het adres van Polzy in Sign-in redirect URIs, en geef je Polzy de Client ID, het Client secret en je Okta-adres, bijvoorbeeld https://acme.okta.com, als issuer.

Handleidingen van Okta: Create SAML app integrations, Create OpenID Connect app integrations en Assign an app integration to a group.

Microsoft Entra ID

1. Ga in het Microsoft Entra-beheercentrum naar Entra ID → Enterprise apps → All applications, kies New application en dan Create your own application.
2. Noem de app Polzy, kies Integrate any other application you don't find in the gallery (Non-gallery) en kies Create.
3. Open Single sign-on en kies SAML.
4. Kies onder Basic SAML Configuration voor Edit. Plak de Identifier (Entity ID) van Polzy in Identifier (Entity ID) en de Reply URL (Assertion Consumer Service URL) in Reply URL (Assertion Consumer Service URL), en sla op.
5. Onder Attributes & Claims sturen de standaardclaims de namen al mee, en de user principal name als Name ID, die Polzy als e-mailadres gebruikt. Zijn de user principal names van je mensen niet hun e-mailadressen, kies dan Add new claim, noem die email en kies het bronattribuut user.mail: Polzy leest een claim met de naam email als eerste. Om mensen per groep te plaatsen, kies je Add a group claim en Groups assigned to the application.
6. Kopieer onder SAML Certificates de App Federation Metadata Url, plak die in Polzy onder Metadata-URL en kies Importeren.
7. Kies onder Users and groups voor Add user/group en wijs de mensen of groepen toe die Polzy gebruiken.

Entra stuurt elke groep als object-ID, tenzij je een ander formaat kiest; een groepsregel in Polzy noemt de groep dus precies zoals Entra die stuurt. De testlogin laat je zien wat dat is.

Voor OpenID Connect registreer je een app onder App registrations met het accounttype voor alleen je eigen tenant, voeg je het adres van Polzy toe als Web-redirect-URI, en maak je een clientgeheim aan onder Certificates & secrets. De issuer is https://login.microsoftonline.com/<tenant ID>/v2.0, met de ID van je tenant.

Handleidingen van Microsoft: Enable SAML single sign-on for an enterprise application, Customize SAML token claims, Configure group claims, Manage users and groups assignment to an application, Register an application, Add a redirect URI en Add credentials.

Google Workspace

1. Ga in de Google Admin-console naar Apps → Web and mobile apps en kies Add App → Add custom SAML app.
2. Noem de app Polzy en ga verder.
3. Kies bij Google Identity Provider details voor Download IDP metadata en bewaar het bestand voor Polzy.
4. Plak bij Service Provider Details de ACS URL van Polzy in ACS URL en de Entity ID in Entity ID. Zet Name ID format op EMAIL en Name ID op Basic Information > Primary email.
5. Koppel onder Attribute mapping First name aan firstName en Last name aan lastName. Om mensen per groep te plaatsen, voeg je de groepen toe onder Group membership met het app-attribuut groups; Google stuurt er maximaal 75.
6. Kies Finish en upload het metadatabestand in Polzy onder Bestand uploaden.
7. Open User access van de app en zet die aan voor iedereen, of voor de organisatie-eenheden of groepen die Polzy gebruiken. Google kan er tot 24 uur over doen.

Voor OpenID Connect maak je in de Google Cloud-console een OAuth-client van het type Web application, voeg je het adres van Polzy toe onder Authorized redirect URIs, en geef je Polzy de client-ID en het geheim met de issuer https://accounts.google.com. Alleen accounts in je Google Workspace, op een van je geverifieerde domeinen, kunnen zo inloggen.

Handleidingen van Google: Set up your own custom SAML app, Manage OAuth clients en OpenID Connect.

OneLogin

1. Ga in OneLogin naar Applications → Applications en kies Add App. Zoek SAML Custom Connector (Advanced), noem de app Polzy en sla op.
2. Plak op het tabblad Configuration de Entity ID van Polzy in Audience (EntityID), en de ACS URL in Recipient en ACS (Consumer) URL. Vul bij ACS (Consumer) URL Validator de ACS URL in met ^ ervoor en $ erachter.
3. Zet SAML nameID format op Email en SAML signature element op Assertion, en sla op.
4. Voeg op het tabblad Parameters email, firstName en lastName toe met de waarden Email, First Name en Last Name, elk opgenomen in de SAML-assertion. Om mensen per groep te plaatsen, voeg je groups toe met de waarde User Roles als parameter met meerdere waarden.
5. Kopieer op het tabblad SSO de Issuer URL, plak die in Polzy onder Metadata-URL en kies Importeren.
6. Geef de mensen die Polzy gebruiken toegang tot de app, via hun rollen of onder Users.

Handleiding van OneLogin: Advanced SAML Custom Connector.

JumpCloud

1. Ga in de JumpCloud Admin Portal naar Access → SSO Applications, kies Add New Application, dan Custom Application, en kies Manage Single Sign-On (SSO) met Configure SSO with SAML. Noem de app Polzy.
2. Vul een unieke IdP Entity ID in, bijvoorbeeld je domein. Plak de Entity ID van Polzy in SP Entity ID en de ACS URL onder ACS URLs.
3. Zet SAMLSubject NameID op email en SAMLSubject NameID Format op urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress, en onderteken de assertion.
4. Voeg onder User Attributes email, firstName en lastName toe, gekoppeld aan het e-mailadres, de voornaam en de achternaam van de gebruiker. Om mensen per groep te plaatsen, selecteer je Include Group Attribute; Polzy leest de standaardnaam van JumpCloud, memberOf, net zo goed als groups.
5. Activeer de applicatie, kies Export Metadata en upload het bestand in Polzy onder Bestand uploaden. Of kies Copy Metadata URL en importeer die.
6. Voeg op het tabblad User Groups de groepen toe die Polzy gebruiken.

Handleidingen van JumpCloud: SSO using custom SAML application connectors en SSO application connector fields.

Ping Identity

1. Ga in PingOne naar Applications → Applications en voeg een applicatie toe. Noem die Polzy, kies SAML Application en dan Configure.
2. Kies Manually Enter: plak de ACS URL van Polzy onder ACS URLs en de Entity ID in Entity ID. Of kies Import from URL met de metadata-URL van Polzy. Sla op.
3. Koppel op het tabblad Attribute Mappings saml_subject aan Email Address, en voeg email (Email Address), firstName (Given Name) en lastName (Family Name) toe. Om mensen per groep te plaatsen, voeg je groups toe, gekoppeld aan Group Names.
4. Kopieer op het tabblad Overview van de app de IDP Metadata URL, plak die in Polzy onder Metadata-URL en kies Importeren.
5. Zet de applicatie aan en geef op het tabblad Access de groepen die Polzy gebruiken toegang.

Maak in PingFederate een SP-connectie aan vanuit de metadata-URL van Polzy, met het e-mailadres als subject, en geef Polzy de metadata van die connectie.

Handleidingen van Ping Identity: Adding an application, Editing a SAML application, IdP metadata for SAML applications en Accessing SP connections.

Een andere SAML 2.0-provider

Elke identiteitsprovider die SAML 2.0 ondersteunt, werkt. Kies in de eerste stap Andere SAML 2.0-provider, en doe in je identiteitsprovider het volgende:

• Voeg een SAML-applicatie toe met de ACS URL en de Entity ID van Polzy, of laat die de metadata-URL van Polzy lezen.
• Stuur het e-mailadres mee als NameID, in het formaat e-mailadres, of als attribuut email.
• Onderteken de assertion met SHA-256 of sterker. Polzy accepteert meerdere ondertekeningscertificaten tegelijk, zodat een certificaat zonder onderbreking kan worden vervangen.
• Voeg de attributen firstName en lastName toe en, om mensen per groep te plaatsen, groups.

Geef Polzy daarna de metadata, als URL of XML-bestand, of vul de instellingen handmatig in.

OpenID Connect

Gebruik OpenID Connect met elke identiteitsprovider die het aanbiedt. Kies in de eerste stap Andere OpenID Connect-provider, of Gebruik OpenID Connect voor Okta, Microsoft Entra ID of Google Workspace.

1. Maak in je identiteitsprovider een webapplicatie die inlogt met de authorization code flow en een clientgeheim heeft.
2. Voeg de Redirect-URI van Polzy toe als redirect-URI voor het inloggen.
3. Sta de scopes openid, email en profile toe. Een claim groups in het ID-token is optioneel, om mensen per groep te plaatsen.
4. Vul in Polzy de Issuer-URL in: het adres waaronder /.well-known/openid-configuration van je provider te vinden is. Daarna de Client-ID en het Clientgeheim van de applicatie.

Een adres dat je identiteitsprovider als niet geverifieerd markeert, wordt geweigerd. Met Microsoft Entra ID moet de issuer je tenant noemen: https://login.microsoftonline.com/<tenant ID>/v2.0. De gedeelde issuers common, organizations en consumers worden geweigerd, omdat elk Microsoft-account er dan mee zou kunnen inloggen.

Handleidingen: OpenID Connect Discovery (de specificatie van de OpenID Foundation voor het issuer-adres) en Microsoft: OpenID Connect on the Microsoft identity platform.

Kiezen wie erin komt

De stap Mensen bepaalt wat er gebeurt als iemand van je domein voor het eerst via je identiteitsprovider inlogt.

• Automatisch een lid aanmaken. Kies de Werkruimte waar ze bij komen en hun Rol daarin, om te beginnen Kijker. Een nieuw lid neemt een plek in; zolang er geen vrij is, wordt de login geweigerd.
• Alleen mensen die al zijn uitgenodigd of gesynchroniseerd. Wie nog geen lid is, wordt weggestuurd met het verzoek contact op te nemen met een beheerder, ook met een geldige login bij je identiteitsprovider.

Mensen die al lid zijn, houden hun werkruimtes en rollen. Hun eerste login via je identiteitsprovider koppelt hun Polzy-account eraan. Een gedeactiveerd lid blijft gedeactiveerd.

Groepsregels (optioneel) plaatsen mensen per groep: voeg per groep een regel toe, met de naam van de groep zoals je identiteitsprovider die stuurt, een werkruimte en een rol. Bij iemands eerste login leest Polzy het groepenattribuut: het nieuwe lid komt in de werkruimte die elk van zijn groepen noemt, met de rol uit die regel. Latere logins veranderen geen werkruimte of rol, dus zonder SCIM bereikt een regel mensen alleen als ze voor het eerst binnenkomen. Je identiteitsprovider moet het groepenattribuut meesturen.

Onder Geavanceerd: attribuutnamen wijzig je de namen waaruit Polzy het e-mailadres, de voornaam, de achternaam en de groepen leest. Onder Werkruimtevelden vult een attribuut dat je identiteitsprovider meestuurt, zoals een afdeling of een land, een veld van de werkruimte: het wordt geschreven als iemand erbij komt en bijgewerkt bij elke login.

Gebruik je ook SCIM-provisioning, dan plaatst die mensen met dezelfde werkruimte, rol en groepsregels: SCIM heeft geen eigen regels, en Groepsregels bewerken daar opent deze stap. Met SCIM komen de groepen uit je directory in plaats van uit de login, en de regels worden toegepast telkens als die iemand aan een groep toevoegt of eruit haalt, ook voor mensen die eerst binnenkwamen door in te loggen.

Het inloggen testen

1. Kies in de stap Testen voor Inloggen testen. Je identiteitsprovider opent in een nieuw tabblad; blokkeert je browser dat, kies dan Test-login openen.
2. Log bij je identiteitsprovider in als iemand op een geverifieerd domein.
3. Terug in Polzy verschijnt het resultaat vanzelf; gebeurt dat niet, kies dan Resultaat ophalen.

Polzy toont precies wat je identiteitsprovider heeft gestuurd: onder Wat een login zou gebruiken het e-mailadres, de namen en de groepen, elk Ontvangen of Niet verstuurd; en onder Alles wat je provider stuurde elk attribuut met zijn waarde.

Mislukt de test, dan zegt Polzy in gewone woorden waarom en waar je het oplost. Wijzig de instelling bij je identiteitsprovider en kies Opnieuw testen.

Een test logt niemand in en maakt geen sessie aan. Elke test opent via een adres dat één keer werkt, 10 minuten lang, en de pagina wacht maximaal twee minuten op het antwoord. Een geslaagde test telt 7 dagen: single sign-on aanzetten en verplichten vragen om een test uit de laatste 7 dagen.

Aanzetten

De stap Aanzetten toont wat er nog nodig is: een geverifieerd domein, je identiteitsprovider gekoppeld, de eerste login geregeld, en een geslaagde testlogin in de laatste 7 dagen. Staat bij alles een vinkje, kies dan Single sign-on aanzetten.

Vanaf dan loggen mensen op je geverifieerde domeinen in via je identiteitsprovider:

• Op de inlogpagina typen ze hun e-mailadres en kiezen ze Doorgaan met en de naam op je knop.
• Een link naar een van je werkruimtes, en de Polzy-tegel in je identiteitsprovider, leiden hen door dezelfde login.
• Voor een bladwijzer gebruik je app.polzy.ai/login?sso= gevolgd door het adres van je werkruimte, bijvoorbeeld app.polzy.ai/login?sso=acme.

Zolang je single sign-on niet verplicht, kunnen mensen ook nog inloggen zoals voorheen. Aanzetten beëindigt elke IT-instellink die nog werkt.

Zolang single sign-on aan staat, blijven je domeinen van jou: aanmelden bij Polzy met een adres op die domeinen, met het formulier of met Google of Microsoft, wordt geweigerd, en de pagina biedt in plaats daarvan de login van je organisatie aan.

Je identiteitsprovider staat alleen in voor mensen in de werkruimtes van je organisatie. Wie via die provider heeft ingelogd en daarna een werkruimte van een andere Polzy-organisatie opent, krijgt eerst de vraag om de eigen code voor tweestapsverificatie, als die aan staat, tenzij diegene op dat apparaat Dit apparaat 30 dagen vertrouwen heeft gekozen.

SSO verplichten

Met Single sign-on verplichten aan kunnen mensen op je geverifieerde domeinen alleen nog via je identiteitsprovider inloggen. Een wachtwoord, een gemailde inloglink en inloggen met Google of Microsoft worden voor hen geweigerd.

1. Open Beheren in de sectie Single sign-on. De laatste stap heet nu Single sign-on beheren.
2. Zet Single sign-on verplichten aan. Polzy zegt hoeveel leden daarna alleen nog via je identiteitsprovider inloggen.
3. Kies Verplichten. De sessies van leden die op een andere manier hebben ingelogd, eindigen meteen, die van jou nooit.

• Er is een geverifieerd domein voor nodig, een geslaagde testlogin in de laatste 7 dagen, en een weg terug naar binnen voor jou: zelf ingelogd zijn via single sign-on, of tweestapsverificatie aan hebben.
• Zit single sign-on niet meer in je abonnement, dan geldt de verplichting niet meer en loggen leden weer op de andere manieren in. Niemand wordt buitengesloten.
• Het geldt alleen voor adressen op je geverifieerde domeinen. Een lid op een ander domein, bijvoorbeeld een externe kracht, logt nog steeds in met een wachtwoord, een link, of Google of Microsoft.

Wie nog zonder kan inloggen. Zodat de organisatie nooit buitengesloten raakt als je identiteitsprovider plat ligt, kan de eigenaar altijd op een andere manier inloggen, en ook elke beheerder die je toevoegt met Beheerder toevoegen. Ieder van hen heeft daarvoor tweestapsverificatie nodig: de lijst laat zien wie die heeft. Haal je iemand van de lijst terwijl single sign-on verplicht is, dan eindigen diens andere sessies meteen.

Beheren, uitzetten of verwijderen

Beheerders zien onder Organisatie-instellingen → Beveiliging hoe single sign-on ervoor staat: je geverifieerde domeinen, de identiteitsprovider met de laatste login, of single sign-on verplicht is, de IT-instellinks en SCIM. Alleen de eigenaar ziet Beheren.

Onder Gevarenzone, in Single sign-on beheren:

• Single sign-on uitzetten (Uitzetten): mensen loggen weer in met hun wachtwoord of een inloglink, en het verplichten stopt ook. De instellingen blijven bewaard, om het later weer aan te zetten.
• Koppeling verwijderen (Verwijderen): verwijdert de koppeling en al haar instellingen; je geverifieerde domeinen blijven. Een koppeling die aan staat, kan niet worden verwijderd: zet die eerst uit. Wisselen tussen SAML en OpenID Connect kan ook alleen als ze uit staat.

Certificaten

Een SAML-ondertekeningscertificaat heeft een vervaldatum, die bij je koppeling staat onder Organisatie-instellingen → Beveiliging. Polzy waarschuwt de beheerders van de organisatie, in de app en per e-mail, 30, 7 en 1 dag voordat het eerstvolgende verloopt, en nog eens zodra elk opgeslagen certificaat is verlopen. Meerdere certificaten kunnen tegelijk actief zijn: voeg het nieuwe toe bij je identiteitsprovider, geef Polzy de bijgewerkte metadata, en trek pas daarna het oude in.

Heb je Polzy een metadata-URL gegeven, dan leest Polzy die elke dag opnieuw zolang single sign-on aan staat, en slaat het een nieuw certificaat vanzelf op. Reageert het adres niet meer, dan blijven de opgeslagen certificaten werken; het tabblad Beveiliging zegt hoeveel dagen al, en de beheerders horen het na drie dagen achter elkaar.

Polzy zet single sign-on nooit uit vanwege een certificaat, maar zodra je identiteitsprovider ondertekent met een certificaat dat Polzy niet heeft, mislukken logins tot je Polzy de bijgewerkte metadata geeft.

Problemen oplossen

Doe eerst een testlogin: die laat zien wat je identiteitsprovider stuurde, en de melding zegt wat je moet oplossen.

Nog twee oorzaken die de test niet noemt:

• Het verkeerde adres komt binnen. In Okta is de applicatiegebruikersnaam de Okta-gebruikersnaam, tenzij je Application username format op Email zet. In Entra is de Name ID de user principal name. Is dat niet het adres dat mensen in Polzy gebruiken, stuur het juiste dan mee in een attribuut email.
• Groepsregels doen niets. De naam van de groep in de regel moet overeenkomen met wat je identiteitsprovider stuurt: Entra stuurt object-ID's, tenzij je het formaat wijzigt. Kopieer de waarde uit Alles wat je provider stuurde in de test.

Nuttige links

• Okta: Create SAML app integrations
• Microsoft: Enable SAML single sign-on for an enterprise application
• Google: Set up your own custom SAML app
• OneLogin: Advanced SAML Custom Connector
• JumpCloud: SSO using custom SAML application connectors
• Ping Identity: Adding an application
• Volgende: Leden inrichten met SCIM, en Beveiliging van je organisatie voor sessieduur en tweestapsverificatie.