Inloggen bij InfraNest met Microsoft Entra ID

Koppel de Microsoft Entra ID-accounts (voorheen Azure Active Directory) van je bedrijf, zodat je team kan inloggen bij InfraNest met de gegevens die ze al gebruiken. Dit is bedoeld voor InfraNest-beheerders die het inloggen voor hun organisatie instellen.

Overzicht

• Hiermee kan je team inloggen bij InfraNest met hun bestaande Microsoft 365- of Azure-accounts.
• Entra ID bepaalt de toegang: zodra je toewijzing verplicht stelt, kunnen alleen de door jou gekozen personen en groepen inloggen, en als je iemand in Entra ID verwijdert, kan die persoon niet meer inloggen bij InfraNest.
• Beschikbaar bij Enterprise-abonnementen. Instellen duurt ongeveer vijftien minuten, verdeeld over het Microsoft Entra-beheercentrum en InfraNest.
• In Entra ID heb je een rol nodig die applicaties kan registreren en gebruikers kan toewijzen, zoals Cloud Application Administrator. In InfraNest moet je beheerder zijn.

NoteInfraNest gebruikt het e-mailadres (of de aanmeldnaam) uit het Entra-account van iedere persoon. Dat adres moet bij het e-maildomein horen dat je tijdens het instellen verifieert. Adressen die eindigen op onmicrosoft.com kunnen niet worden gebruikt voor single sign-on, omdat dat domein van Microsoft is en niet geverifieerd kan worden.

Verbind met één klik (als je apps tenant-breed kunt goedkeuren)

Als je account apps voor je hele tenant kan goedkeuren (bijvoorbeeld Global Administrator, Privileged Role Administrator of Cloud Application Administrator), hoef je geen app te registreren:

1. Ga naar Settings → Sign-in en kies Set up single sign-on, daarna Microsoft Entra ID.
2. Kies bij de stap voor het aanmaken van de app Connect Microsoft Entra ID.
3. Microsoft vraagt je om InfraNest voor je organisatie goed te keuren — er wordt alleen gevraagd om mensen te mogen inloggen (hun naam en e-mailadres), verder niets. Kies Accept.
4. Je komt terug bij InfraNest op de teststap. Ga verder bij Probeer het uit.

Na goedkeuring verschijnt InfraNest onder Enterprise applications in het Entra-beheercentrum, waar je kiest wie mag inloggen (zie Kies wie mag inloggen). Op deze manier is er geen client secret dat je moet vernieuwen.

Als je tenant het goedkeuren van externe apps niet toestaat, of als je rollen wilt toewijzen vanuit Entra-groepen, registreer dan zelf een app — de stappen hieronder laten zien hoe.

Begin in InfraNest

1. Ga naar Settings → Sign-in en kies Set up single sign-on.
2. Kies Microsoft Entra ID.
3. Controleer het voorgestelde Email domain. Het verifiëren ervan wordt aanbevolen, zodat mensen hun werkadres kunnen typen op de inlogpagina en nieuwe mensen automatisch kunnen deelnemen; je kunt dit overslaan, en dan gebruikt je team de inloglink van je organisatie en wordt toegevoegd via uitnodiging. Als het niet geverifieerd is, toont InfraNest het DNS-record dat je moet toevoegen — kies Add it for me als InfraNest die DNS-zone beheert, of voeg het record zelf toe en kies Check now.
4. Kopieer bij de stap voor het aanmaken van de app de Redirect URL bovenaan. Houd dit tabblad open — je komt er straks op terug.

Registreer de app in Entra ID

Log op een tweede tabblad in bij het Microsoft Entra-beheercentrum.

1. Ga naar Entra ID → App registrations en kies New registration.
2. Vul het formulier in:
   • Name: InfraNest. Je mensen zien deze naam mogelijk bij het inloggen.
   • Supported account types: kies de single-tenant optie met de naam van je eigen organisatie.
3. Kies Register. De Overview-pagina van de app wordt geopend.
4. Houd de Application (client) ID bij de hand. De Directory (tenant) ID op dezelfde pagina is je tenant-ID.

Voeg de redirect-URL toe

1. Open in de app Authentication.
2. Kies Add Redirect URI.
3. Kies de tegel Web — niet Single-page application, want InfraNest rondt het inloggen af vanaf zijn server en Microsoft weigert dat voor een redirect-URL van een single-page application.
4. Plak de Redirect URL die je uit InfraNest hebt gekopieerd en kies Configure.

Je hebt geen front-channel-logout-URL nodig.

Maak een client secret aan

1. Open in de app Certificates & secrets, daarna het tabblad Client secrets, en kies New client secret.
2. Voer een omschrijving in, bijvoorbeeld InfraNest, en kies wanneer deze verloopt (Microsoft staat maximaal 24 maanden toe en raadt minder dan 12 aan).
3. Kies Add en kopieer meteen de Value van het geheim — niet de Secret ID, dat is slechts een label. Microsoft toont de waarde maar één keer.

WarningNoteer de vervaldatum in je agenda. Wanneer het geheim verloopt, kan niemand meer inloggen bij InfraNest via Entra ID totdat je een nieuw geheim aanmaakt en dit bijwerkt in InfraNest.

Sta de inlogrechten toe

1. Open in de app API permissions en kies Add a permission → Microsoft Graph → Delegated permissions.
2. Selecteer openid, email en profile, en kies Add permissions.
3. Kies Grant admin consent for je organisatie en bevestig.

Verstuur het inlogtijdstip

Als je organisatie mensen vraagt om gevoelige acties te bevestigen door opnieuw in te loggen, voeg dan deze claim toe zodat InfraNest het inlogtijdstip kan controleren:

1. Open in de app Token configuration en kies Add optional claim.
2. Kies tokentype ID, selecteer auth_time, en kies Add.

Zonder deze claim kunnen mensen nog steeds inloggen, maar het bevestigen van een gevoelige actie via Microsoft wordt geweigerd met een melding over deze ontbrekende claim.

Rond de koppeling af in InfraNest

Terug op het InfraNest-tabblad, bij de stap voor het aanmaken van de app:

1. Plak bij Your tenant de Directory (tenant) ID, of typ een domein in je tenant.
2. Plak bij Client ID de Application (client) ID.
3. Plak bij Client secret de Value van het geheim.

InfraNest leest al het overige bij Microsoft op. Als het je tenant niet kan vinden, wordt er niets opgeslagen en legt de melding uit wat er misging.

Kies wie mag inloggen

Standaard kan ieder account in je tenant inloggen bij een app die je registreert. Om InfraNest te beperken tot de juiste mensen:

1. Ga in het Entra-beheercentrum naar Entra ID → Enterprise apps en open InfraNest.
2. Open Properties, zet Assignment required? op Yes, en kies Save.
3. Open Users and groups, kies Add user/group, selecteer de mensen of groepen, en kies Assign.

Wijs ook jezelf toe, anders loopt de test in de volgende stap vast bij Microsoft. Het toewijzen van een hele groep vereist een Microsoft Entra ID P1- of P2-licentie; zonder die licentie wijs je mensen individueel toe. Leden van een groep binnen een toegewezen groep worden niet meegenomen. Global Administrators kunnen altijd inloggen, ongeacht deze instelling.

Probeer het uit

1. Kies bij de teststap Sign in with Microsoft Entra ID to test.
2. Er opent een nieuw tabblad bij Microsoft — log in met je eigen werkaccount.
3. Als het werkt, wordt de stap groen.

Een test is verplicht voordat je de koppeling kunt inschakelen. Lukt het niet, zie dan Als het niet werkt.

Bepaal wie toegang krijgt en schakel in

1. Kies bij de stap Who gets in wat er gebeurt als iemand nieuw inlogt:
   • Add them straight away — vooraf geselecteerd, en veilig zodra Assignment required? op Yes staat. Nieuwe mensen krijgen de rol onder Role for new members, standaard Member (alleen-lezen).
   • Ask an admin — maakt van het inloggen van elke nieuwkomer een toetredingsverzoek dat een beheerder goedkeurt.
   • Do nothing — mensen hebben nog steeds een uitnodiging nodig.
2. Kies Switch on.

De status van de koppeling zou nu moeten zijn: Connected to Microsoft Entra ID · Email domain verified · Test sign-in passed · Switched on.

Je team logt in vanaf de normale InfraNest-inlogpagina door hun werkadres te typen en Continue with … te kiezen.

Optioneel: geef mensen rollen op basis van Entra ID

InfraNest kan de rol van iedere persoon instellen op basis van app-rollen die je in Entra ID aanmaakt, die bij elke keer inloggen worden meegestuurd.

In Entra ID:

1. Ga naar Entra ID → App registrations, open InfraNest, daarna App roles, en kies Create app role.
2. Vul het formulier in, inclusief een Display name die je herkent, Allowed member types ingesteld op Users/Groups, een korte Value zonder spaties (zoals infranest.admins), en een Description. Laat Do you want to enable this app role? aangevinkt staan.
3. Kies Apply. Herhaal dit voor elke rol die je nodig hebt.
4. Ga naar Entra ID → Enterprise apps → InfraNest → Users and groups. Kies Add user/group, selecteer mensen of groepen, kies de app-rol, en kies Assign.

In InfraNest: open de koppeling, daarna Credentials and claim names. Zet Groups claim op roles, en voeg voor elke app-rol een rij toe die de exacte Value (niet de weergavenaam) koppelt aan een rol. Rollen die dingen kunnen wijzigen of verwijderen, kunnen niet worden gekoppeld — wijs die mensen handmatig toe.

Tips

TipJe kunt single sign-on verplicht stellen voor je hele organisatie zodra het werkt, onder Settings → Sign-in. InfraNest vraagt eerst om minstens één eigenaar met een passkey, zodat een Microsoft-storing je nooit kan buitensluiten.

• Starten vanuit My Apps: plak de inloglink van je organisatie in het Home page URL-veld van de app-registratie onder Branding & properties, en maak de app zichtbaar voor gebruikers, zodat mensen InfraNest kunnen starten vanuit het Microsoft My Apps-portaal.
• Client secrets verlopen: maak vóór de vervaldatum een nieuw geheim aan, plak dit in de koppeling, kies Replace, en verwijder daarna het oude geheim in Entra ID.
• Verhuizen naar een andere tenant vereist een nieuwe koppeling, omdat de bestaande koppeling gebonden is aan de tenant waarmee die is ingesteld.

Problemen oplossen

• Microsoft zegt dat beheerdersgoedkeuring nodig is bij het kiezen van Connect Microsoft Entra ID: je account kan geen apps tenant-breed goedkeuren. Vraag het een beheerder, of gebruik je eigen app-registratie.
• AADSTS50011 (redirect-URI komt niet overeen): kopieer de Redirect URL opnieuw uit InfraNest en voeg deze toe onder Authentication als een Web-redirect-URI.
• Inloggen bij Microsoft lukt, maar de test mislukt toch: controleer of de redirect-URL onder Web staat, en niet onder Single-page application.
• AADSTS90094 (beheerdersgoedkeuring vereist): verleen beheerdersgoedkeuring onder API permissions en probeer het opnieuw.
• AADSTS50105 (gebruiker niet toegewezen): wijs die persoon toe, of een groep waarvan ze rechtstreeks lid zijn, onder Enterprise apps → InfraNest → Users and groups.
• AADSTS7000215 (ongeldig client secret): controleer of je de Value van het geheim hebt geplakt, en niet de Secret ID. Maak zo nodig een nieuw geheim aan.
• AADSTS7000222 (client secret verlopen): maak een nieuw geheim aan en werk dit bij in InfraNest.
• AADSTS700016 (applicatie niet gevonden): controleer of de client-ID en de tenant bij elkaar horen op de Overview-pagina van de app.
• AADSTS90002 (tenant niet gevonden): controleer de tenant-ID of het domein op typefouten.
• Iemand logt in bij Microsoft, maar InfraNest laat diegene niet binnen: het e-mailadres (of de aanmeldnaam) van die persoon hoort niet bij een domein dat je in InfraNest hebt geverifieerd.
• Een bestaande InfraNest-gebruiker wordt eerst om zijn wachtwoord gevraagd: dit gebeurt wanneer het Entra-e-mailadres afwijkt van de aanmeldnaam. Diegene kan één keer inloggen met zijn wachtwoord en Microsoft Entra ID koppelen vanuit zijn profiel; daarna werkt inloggen direct.
• Iedereen krijgt de standaardrol, ondanks gekoppelde app-rollen: controleer of Groups claim op roles staat, of je de Value van elke rol hebt gekoppeld (niet de weergavenaam), en of de persoon de app-rol toegewezen heeft gekregen, en niet alleen de app.
• Beheerders kunnen elke mislukte poging, met de reden, bekijken onder Settings → Audit Log.