Je team aanmelden met SSO

Wat je gaat bouwen

Aan het einde van deze zelfstudie heb je:

• een SAML-verbinding tussen je Control Center-server en een identiteitsprovider (we gebruiken Okta als voorbeeld),
• één gebruiker die bij de eerste aanmelding automatisch wordt geprovisioneerd en
• een lidmaatschapsbeleid voor werkruimtes dat je bewust hebt gekozen.

Je hebt een server nodig die je beheert (de servereigenaar — de beheerder van de installatie) en een IdP-applicatie die je kunt configureren. Reken op 20 minuten.

1. De single sign-on-instellingen openen

Meld je aan bij Control Center en ga naar Instellingen → Server → Single sign-on. Het scherm wisselt tussen SAML en OpenID Connect, plus een kaart Gebruikersvoorziening (SCIM). Blijf op SAML staan.

Alles op dit scherm geldt serverbreed: één IdP authenticeert de mensen van elke werkruimte, dus alleen de servereigenaar kan het bewerken.

2. De IdP-metadata plakken

Open in Okta het tabblad Sign On van je app en kopieer de metadata-XML (of download die en plak de inhoud van het bestand). Plak die terug in Control Center in IdP-metadata-XML en klik op Verbinding testen.

De melding toont het aanmeld-endpoint van de IdP — bewijs dat de metadata is geparst, het certificaat is gelezen en de server er een aanmeldverzoek mee kan opbouwen (de test doorloopt alles behalve de roundtrip in de browser). Mislukt het, dan was de XML geen volledige EntityDescriptor (het SAML-tabblad in Okta noemt dit “Metadata URL”; open de URL en kopieer wat die teruggeeft). Dezelfde knop onder OpenID Connect controleert in plaats daarvan het discovery-document van je issuer. Wil je ook een aflopend certificaat opvangen en zien of de IdP Control Center herkent, gebruik dan de controle in stap 6.

3. Control Center registreren bij de IdP

Klik op SP-metadata kopiëren en geef die aan wie de Okta-kant configureert (of lees de twee waarden voor waar ze om vragen):

• ACS-URL: https://<your-server>/saml/acs
• Entiteits-id: https://<your-server>/saml

De URL’s zijn afgeleid van de origin die de browsers van je gebruikers bereiken. Draait de server achter een tunnel of reverse proxy, zorg dan dat de origin stabiel is (Instellingen → Server → Verbinding en status → Deze server delen toont de openbare URL) — of zet de entiteits-id expliciet vast in het veld SP-entiteits-id.

Achter NAT?

SAML-aanmelding heeft geen openbaar IP-adres of domein nodig: de IdP maakt nooit verbinding met je server — de browser van de gebruiker draagt de roundtrip, dus localhost, LAN, VPN, Tailscale of een tunnel werken allemaal. Twee dingen om scherp te houden:

• de origin die de browser gebruikt moet overeenkomen met de ACS-URL en de entiteits-id die bij de IdP zijn geregistreerd (zet de entiteits-id vast als gebruikers de server onder meer dan één origin bereiken),
• SCIM-provisionering is de uitzondering — de IdP roept je server rechtstreeks aan, dus die heeft een tunnel of een openbare URL nodig (gebruikers provisioneren met SCIM).

4. Bepalen wat een aanmelding verleent

Twee beleidsregels bepalen wat een eerste aanmelding doet:

• Gebruikers bij eerste login aan elke workspace toevoegen — laat dit aanstaan voor een deployment met één team waarin SSO gelijkstaat aan vertrouwen. Zet het uit wanneer meerdere teams of klanten de server delen: elke nieuwkomer heeft dan een expliciete uitnodiging voor de werkruimte nodig, wat de veiligere standaard is.
• Onbekende gebruikers voorzien bij eerste login — staat standaard aan; zet het uit om iedereen te weigeren wiens account nog niet bestaat.

Optioneel koppel je een attribuut met groepsnamen (bij Okta is dat gewoonlijk groups) en vertaal je groepen naar rollen met de map — bijvoorbeeld {"platform-leads": "admin"}. SSO kan de rol eigenaar nooit verlenen.

5. Inschakelen en een aanmelding doorlopen

Zet SAML gebruiken om aan te melden aan, klik op Verbinding opslaan en open dan een privévenster in de browser op https://<your-server>/saml/login. Meld je aan bij Okta en je komt terug in de webclient — aangemeld, met je account aangemaakt en het lidmaatschap verleend volgens het beleid dat je hebt gekozen.

Hetzelfde toegangspunt verschijnt op het verbindingsscherm van de webclient (Inloggen met SAML) zodra je het serveradres typt — het formulier past zich aan wat de server biedt (bij OpenID Connect staat Inloggen met OpenID Connect). De knop opent het aanmelden in een nieuw tabblad; is de roundtrip voltooid, dan pikt het wachtende tabblad de sessie automatisch op. Het instelscherm van de desktopserver doet hetzelfde: typ de server-URL, er verschijnt een knop Inloggen met SAML die je browser opent, en de app meldt je aan zodra de roundtrip is voltooid.

6. Controleer het vanaf deze pagina

Controleer de onderdelen hier voordat je SSO uitrolt, of wanneer een aanmelding mislukt. De controle draait volledig in je browser: hij leest de metadata die je in dit tabblad plakt en past dezelfde regels toe als de server. Met je serveradres vraagt hij die server bovendien of SAML-aanmelding aanstaat.

Hij vangt wat Verbinding testen in de app niet kan zien: een ondertekeningscertificaat dat bijna verloopt, een IdP die erop staat dat verzoeken ondertekend zijn, en, met de testaanmelding, of de IdP Control Center überhaupt herkent.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Volgende stappen

• Geef je IdP ook de controle over de levenscyclus: gebruikers provisioneren en deprovisioneren met SCIM.
• Spreekt je IdP OpenID Connect in plaats van SAML? Een OpenID Connect-provider verbinden.
• Benieuwd wat de roundtrip in de browser eigenlijk verifieert? Hoe eenmalige aanmelding werkt.