Inloggen bij InfraNest met een andere identity provider

Verbind InfraNest met elke identity provider die OpenID Connect ondersteunt, zodat je team kan inloggen met de inloggegevens die ze al gebruiken. Dit geldt voor JumpCloud, OneLogin, Keycloak, Authentik, Auth0 en andere OpenID Connect-providers — voor Okta, Microsoft Entra ID of Google Workspace zijn er specifieke handleidingen.

NoteDit is beschikbaar op Enterprise-abonnementen. Je moet beheerder zijn bij je provider en in InfraNest.

Overzicht

• Werkt met elke provider die een OpenID Connect-toepassing voor een webapp aanbiedt, een authorization code flow, en een discovery-adres dat eindigt op /.well-known/openid-configuration.
• InfraNest leest alles wat nodig is — inclusief het inlogadres — uit dat discovery-adres, dus je hoeft zelf maar een paar waarden in te voeren.
• Jij bepaalt wie er binnenkomt: voeg nieuwe mensen automatisch toe, vereis goedkeuring door een beheerder, of vereis uitnodigingen.
• Optioneel kunnen rollen automatisch worden ingesteld op basis van de groepen die je provider meestuurt.

Wat je provider moet ondersteunen

De meeste moderne providers ondersteunen dit allemaal al, maar controleer op:

• Een OpenID Connect-toepassing voor een webapp (soms confidential client of regular web application genoemd), met een client-ID en een clientgeheim.
• Een redirect-URL (ook redirect URI of callback-URL genoemd) waar je de Redirect-URL van InfraNest kunt plakken.
• De authorization code flow (soms standard flow genoemd). InfraNest heeft geen implicit-, refresh-token- of client-credentials-flow nodig.
• Een discovery-URL die eindigt op /.well-known/openid-configuration.
• Het e-mailadres van iedereen inbegrepen in wat de provider stuurt. InfraNest vraagt om openid, profile en email.
• Inlogtokens ondertekend met een sleutelpaar. Een provider die in plaats daarvan met het clientgeheim ondertekent, wordt geweigerd — dit is relevant voor Authentik (zie hieronder).

De verbinding instellen

Stap 1: Begin in InfraNest

1. Ga naar Instellingen → Inloggen en kies Single sign-on instellen.
2. Kies Andere provider (OpenID Connect).
3. Controleer onder E-maildomein het domein dat InfraNest voorstelt. Verifiëren wordt aanbevolen, zodat mensen kunnen inloggen met hun werkadres en nieuwe mensen automatisch kunnen deelnemen. Je kunt dit overslaan — je team gebruikt dan de inloglink van je organisatie, en nieuwe mensen worden uitgenodigd. Als het nog niet geverifieerd is, toont InfraNest het DNS-record dat je moet toevoegen. Als InfraNest die DNS-zone al beheert, kies dan Voeg het voor me toe; voeg anders het record toe waar je DNS wordt gehost en kies Nu controleren.
4. Bij Create the app kopieer je de Redirect URL die bovenaan deze stap wordt getoond. Houd dit tabblad open.

Stap 2: Maak de app aan bij je provider

Maak in een tweede tabblad de toepassing aan bij je provider, met de Redirect-URL van InfraNest als redirect-URL. De providersecties hieronder geven precies aan waar je die instelling vindt. Houd de client-ID, het clientgeheim en de discovery-URL bij de hand. Zorg ervoor dat je jezelf ook toegang geeft tot de app, anders loopt de test in stap 4 vast bij je provider.

Stap 3: Rond de verbinding af in InfraNest

Vul terug in InfraNest, bij de stap Create the app, de Discovery URL, Client ID en Client secret in. InfraNest leest al het andere uit je provider. Als het de discovery-URL niet kan bereiken, wordt er niets opgeslagen en legt het bericht uit wat er misging.

De verbinding wordt genoemd naar je provider, en je team ziet die naam op de inlogpagina als Continue with …. InfraNest herkent JumpCloud, OneLogin en Auth0 op naam; voor elke andere provider gebruikt het het adres van de provider, zoals sso.acme.com.

Stap 4: Probeer het uit, bepaal wie er binnenkomt, en schakel in

1. Kies bij de stap Try it de optie Sign in with je provider om te testen. Er opent een nieuw tabblad bij je provider — log in met je eigen account. Als het lukt, wordt de stap groen. Een geslaagde test is vereist voordat je de verbinding kunt inschakelen.
2. Kies bij de stap Who gets in wat er gebeurt When somebody new signs in:
   • Add them straight away is standaard geselecteerd. Nieuwe mensen komen binnen met de rol onder Role for new members, die standaard op Member (alleen-lezen) staat. Dit is alleen veilig als je provider alleen de juiste mensen toegang geeft tot de InfraNest-app — sommige providers laten standaard elke gebruiker toe, dus controleer de sectie voor jouw provider.
   • Ask an admin maakt van elke aanmelding van een nieuwkomer een verzoek dat een beheerder moet goedkeuren.
   • Do nothing betekent dat mensen nog steeds een uitnodiging nodig hebben.
3. Kies Switch on. De statuslijst van de verbinding zou nu moeten laten zien: Connected to je provider · Email domain verified · Test sign-in passed · Switched on.

Optioneel: rollen toekennen op basis van groepen

Als je provider de groepen van iedereen kan meesturen, kan InfraNest daar automatisch rollen uit afleiden. Open de verbinding, ga naar Credentials and claim names. Stel Groups claim in op de naam van het veld waarin je provider de groepen stuurt (de providersectie hieronder vermeldt welke), en voeg voor elke groep een rij toe: onder Group at your provider de naam exact zoals de provider die verstuurt; onder Role here de rol die daarbij hoort. Rollen die dingen kunnen wijzigen of verwijderen kunnen niet worden gekoppeld.

JumpCloud koppelen

1. Ga in het JumpCloud Admin Portal naar Access → SSO Applications en kies + Add New Application.
2. Kies Custom Application, dan Next. Kies Manage Single Sign-On (SSO) en Configure SSO with OIDC, dan Next.
3. Voer een Display Label in, zoals InfraNest, en ga verder naar het tabblad SSO.
4. Plak onder Redirect URIs de Redirect-URL van InfraNest.
5. Stel Client Authentication Type in op Client Secret Basic.
6. Voer bij Login URL het adres van de InfraNest-inlogpagina in zoals dat in je browser verschijnt.
7. Vink onder Attribute Mapping de standaardscopes Email en Profile aan — zonder deze stuurt JumpCloud geen e-mailadressen mee.
8. Kies op het tabblad User Groups de groepen die InfraNest mogen gebruiken. Alleen hun leden kunnen inloggen.
9. Kies Activate. JumpCloud toont de Client ID en Client Secret eenmalig — kopieer beide nu.

Discovery-URL: https://oauth.id.jumpcloud.com/.well-known/openid-configuration. Gebruik indien van toepassing het EU-regio-adres https://oauth.id.eu.jumpcloud.com/.well-known/openid-configuration, of het India-regio-adres https://oauth.id.in.jumpcloud.com/.well-known/openid-configuration.

Groepen: vink onder Attribute Mapping include group attribute aan en noem het groups. Stel Groups claim in InfraNest in op groups.

NoteInfraNest starten vanuit het JumpCloud User Portal wordt niet ondersteund — mensen loggen in via de inlogpagina van InfraNest.

OneLogin koppelen

1. Ga in OneLogin naar Applications → Applications en kies Add App.
2. Zoek naar OpenId Connect, kies OpenId Connect (OIDC), voer een Display Name in zoals InfraNest, en kies Save.
3. Plak op het tabblad Configuration de Redirect-URL van InfraNest onder Redirect URI's. Laat Login Url leeg — InfraNest ondersteunt geen inloggen vanuit het portaal van OneLogin. Kies Save.
4. Stel op het tabblad SSO Application Type in op Web en de authenticatiemethode van het token-endpoint op Basic. Kies Show client secret en kopieer de Client ID en Client Secret.
5. Geef mensen toegang tot de app, meestal via een rol die deze bevat. Alleen mensen met de app kunnen inloggen.

Discovery-URL: https://<jouw subdomein>.onelogin.com/oidc/2/.well-known/openid-configuration, met het eerste deel van je OneLogin-adres als subdomein.

Groepen: open op het tabblad Parameters van de app Groups. Stel Default if no value in op User Roles en kies Semicolon Delimited input (Multi-value output). Stel Groups claim in InfraNest in op groups, en koppel rolnamen.

Keycloak koppelen

1. Kies in de Keycloak Admin Console het realm waarin je mensen zich bevinden, ga naar Clients en kies Create client.
2. Laat Client type op OpenID Connect staan, voer een Client ID in zoals infranest, en ga verder.
3. Schakel Client authentication in, en laat Standard flow aangevinkt.
4. Plak onder Valid redirect URIs de Redirect-URL van InfraNest exact, zonder jokerteken. Sla op.
5. Kopieer op het tabblad Credentials van de client het Client Secret.

Discovery-URL: https://<jouw Keycloak-adres>/realms/<realmnaam>/.well-known/openid-configuration. Oudere Keycloak-versies hebben /auth vóór /realms.

Groepen: open op het tabblad Client scopes van de client de scope die eindigt op -dedicated, en kies Configure a new mapper → Group Membership. Geef het een naam, stel Token Claim Name in op groups, schakel Full group path uit, en zorg dat Add to ID token is ingeschakeld. Stel Groups claim in InfraNest in op groups.

WarningKeycloak laat elke gebruiker in het realm inloggen bij elke client, tenzij je zelf een beperking toevoegt. Kies bij de stap Who gets in liever Ask an admin dan Add them straight away, tenzij je een beperking hebt ingesteld.

Authentik koppelen

1. Ga in de Authentik Admin-interface naar Applications → Applications en kies New Application.
2. Voer onder Application een naam in zoals InfraNest, en noteer de Slug.
3. Kies onder Choose a Provider type de optie OAuth2/OpenID Connect.
4. Kies onder Configure the Provider een authorization flow, en kopieer de Client ID en Client Secret. Voeg een Redirect URI toe van het type Strict, Authorization, met de Redirect-URL van InfraNest (op Authentik-versies vóór 2026.5 is er geen type om te kiezen). Kies onder Signing Key een sleutel — dit is vereist, anders ondertekent Authentik met het clientgeheim en weigert InfraNest dit.
5. Koppel onder Configure Bindings de groepen of mensen die InfraNest mogen gebruiken. Zonder koppelingen kan elke Authentik-gebruiker inloggen.
6. Kies Submit.

Discovery-URL: https://<jouw Authentik-adres>/application/o/<slug>/.well-known/openid-configuration, met de slug uit stap 2.

Groepen: de standaard profielinformatie van Authentik bevat de groepen van de persoon, in een veld genaamd groups. Stel Groups claim in InfraNest in op groups en koppel groepsnamen.

Auth0 koppelen

1. Ga in het Auth0 Dashboard naar Applications → Applications en kies Create Application.
2. Voer een naam in zoals InfraNest, kies Regular Web Applications, en kies Create.
3. Plak op het tabblad Settings de Redirect-URL van InfraNest onder Allowed Callback URLs, en kies Save Changes. Kopieer de Domain, Client ID en Client Secret van hetzelfde tabblad.
4. Stel op het tabblad Credentials de authenticatiemethode in op Client Secret (Basic).

Discovery-URL: https://<jouw Auth0-domein>/.well-known/openid-configuration, met het Domain uit stap 3 (of je aangepaste domein, als je er een gebruikt).

Groepen: Auth0 stuurt standaard geen rollen of groepen mee. Wie je Auth0-tenant beheert, kan deze toevoegen met een kleine post-login Action die de rollen van de persoon als aangepaste claim toevoegt. Stel Groups claim in InfraNest in op de naam van die claim, exact zoals geschreven in de Action — vaak een volledig adres, zoals https://example.com/roles.

Wie kan inloggen: iedereen die kan inloggen via de Auth0-verbindingen die voor deze toepassing zijn ingeschakeld, kan inloggen bij InfraNest. Beperk de verbindingen op de toepassing, of kies Ask an admin bij de stap Who gets in.

Tips

• Begin bij InfraNest. InfraNest starten vanuit het portaal of dashboard van je provider wordt niet ondersteund. Mensen loggen in via de inlogpagina van InfraNest met hun werkadres.
• Geen uitlogadres. InfraNest gebruikt geen uitlog- (post-logout-)redirect-URL — laat dit leeg.
• Het clientgeheim vernieuwen: plak het nieuwe geheim in de verbinding onder Credentials and claim names en kies Replace. Tot je dit doet, kan niemand inloggen via je provider.
• Overstappen naar een andere provider of tenant vereist een nieuwe verbinding, aangezien de verbinding gekoppeld is aan de provider waarmee ze is ingesteld.
• Niet-standaard veldnamen: als je provider het e-mailadres of de naam onder een ongebruikelijke naam meestuurt, vul dit in onder Credentials and claim names → Claim names.

Problemen oplossen

• Er wordt niets opgeslagen wanneer je de discovery-URL invoert: InfraNest kon deze niet lezen. Open het adres in je browser — het zou een pagina met tekst moeten tonen die "issuer" en het adres van je provider bevat. Zo niet, dan klopt het adres niet.
• De provider toont een redirect- of callbackfout: de redirect-URL bij je provider komt niet overeen met de Redirect-URL van InfraNest. Kopieer deze opnieuw — ze moeten exact overeenkomen.
• De test mislukt na het inloggen bij je provider: controleer of het clientgeheim actueel is, en voor JumpCloud, OneLogin en Auth0, of de app het geheim op de Basic-manier verstuurt. Controleer voor Authentik of er een Signing Key is gekozen.
• Iemand logt in bij de provider, maar InfraNest laat diegene niet binnen: het e-mailadres ontbreekt in wat de provider stuurt, of het staat niet op een domein dat je in InfraNest hebt geverifieerd.
• Iedereen krijgt de standaardrol, ook al heb je groepen gekoppeld: controleer of Groups claim exact de veldnaam is die je provider gebruikt, en of groepsnamen precies overeenkomen met wat de provider verstuurt.
• Beheerders kunnen elke mislukte poging, met de reden, bekijken in Settings → Audit Log.