SSO instellen

Het is mogelijk om gebruikers in te laten loggen bij de Employability Manager en de ShiftCommunicator via Single Sign On (SSO). Hiermee kunnen gebruikers inloggen met een account op meerdere systemen, zodat ze nog maar een gebruikersnaam en wachtwoord hoeven te onthouden.

Hieronder staat beschreven hoe SSO in te stellen is voor onze applicaties.

Benodigdheden

Om SSO in te stellen is er altijd een Identity Provider nodig. Dit is een systeem waarin alle medewerkers een account hebben waarmee ze kunnen gaan inloggen in het te koppelen systeem. De Identity Provider moet kunnen communiceren volgens een bepaalde standaard: OpenID Connect (OIDC). In de praktijk kunnen ook systemen die oAuth ondersteunen gebruikt worden voor SSO. Neem bij twijfel contact op met OSE.

Stap 1: Identity Provider configureren

Bij de Identity Provider moet een applicatie aangemaakt worden. De stappen die hiervoor nodig zijn, zijn per Identity Provider anders. Hieronder is uitleg te vinden van een aantal veelgebruikte Identity Providers. Neem indien nodig contact op met de support van de Identity Provider.

Redirect URI

Voor het instellen heb je een Redirect URI nodig van het te koppelen systeem. Bij de Employability Manager is deze te vinden in het menu Systeembeheer → Systeeminstellingen → sectie: SSO via OpenID Connect.

Voor de Shiftcommunicator moet contact opgenomen worden met OSE om deze URL te laten maken.

Stappen per Identity Provider

Microsoft / Azure

Volg de stappen van de volgende link: learn.microsoft.com/en-us/power-pages/security/authentication/openid-settings#create-an-app-registration-in-azure

Na deze stappen heb je de volgende gegevens:

• Client ID: kopieer deze bij de applicatie die je hebt aangemaakt in Azure
• Client secret: kopieer deze bij de applicatie die je hebt aangemaakt in Azure
• Authorization URL: https://login.microsoftonline.com/TENANT_ID_INVULLEN/oauth2/v2.0/authorize
  Kopiëren
• Access token URL: https://login.microsoftonline.com/TENANT_ID_INVULLEN/oauth2/v2.0/token
  Kopiëren
• Resource URL / Userinfo endpoint: https://graph.microsoft.com/v1.0/me
  Kopiëren
• User identifier: userPrincipalName
  Kopiëren
• Scopes: profile openid email
  Kopiëren

Google (Workspace)

Volg de stappen van de volgende link: https://developers.google.com/identity/openid-connect/openid-connect

• Client ID: kopieer deze bij de applicatie die je hebt aangemaakt.
• Client secret: kopieer deze bij de applicatie die je hebt aangemaakt.
• Authorization URL: https://accounts.google.com/o/oauth2/auth
  Kopiëren
• Access token URL: https://accounts.google.com/o/oauth2/token
  Kopiëren
• Resource URL / Userinfo endpoint: https://www.googleapis.com/oauth2/v1/userinfo?alt=json
  Kopiëren
• User identifier: email
  Kopiëren
• Scopes: profile email
  Kopiëren

Overige systemen

Neem contact op met de support van jouw Identity Provider. Na het instellen heb je de volgende gegevens gekregen vanuit je Identity Provider.

• Client ID
• Client secret
• Authorization URL
• Access token URL
• Resource URL / Userinfo endpoint
• Redirect URL
• User identifier
• Scopes

Stap 2: Gegevens invullen

Vul de gegevens van de Identity Provider in bij het te koppelen systeem:

Employability Manager

Ga naar het menu Systeembeheer → Systeeminstellingen → sectie: SSO via OpenID Connect. Vul de gegevens van de Identity Provider applicatie in.

Bij de optie Login knop kun je instellen hoe de SSO knop eruit ziet. Zo is de knop herkenbaar voor gebruikers. Staat de gebruikte Identity Provider er niet tussen? Kies dan Anders en vul de naam van de Identity Provider in.

ShiftCommunicator

Neem contact op met OSE om SSO te laten instellen. De volgende gegevens zijn nodig:

• Client ID
• Client secret
• Authorization URL
• Access token URL
• Resource URL / Userinfo endpoint
• Redirect URL
• User identifier
• Scopes

Stuur deze gegevens altijd via een versleuteld bericht of een beveiligde link.

Stap 3: Testen

Om te testen moet er een login account actief zijn die matcht met de User identifier die terugkomt van de Identity Provider. Maak deze zo nodig aan. Ga vervolgens naar het loginscherm en test of inloggen via SSO werkt.

Moeten de loginnamen van alle gebruikers aangepast worden om deze te laten matchen met de User identifier uit de Identity Proivder? Neem dan contact op met OSE.

Stap 4: Afronding

Werkt het inloggen met SSO? Dan kan er gecommuniceerd worden naar de gebruikers dat ze vanaf nu kunnen inloggen met SSO.

Het is mogelijk om de login met gebruikersnaam en wachtwoord uit te schakelen. Neem hier voor contact op met OSE.