Single sign-on en aanmeldkoppelingen

Met single sign-on kan iedereen in je organisatie inloggen met Google, GitHub of Microsoft in plaats van een wachtwoord. Dit artikel is bedoeld voor organisatie-eigenaren en beheerders die instellen of beheren hoe leden zich aanmelden.

Overzicht

• Een aanmeldkoppeling is het beleid van je organisatie voor één provider — welke e-maildomeinen deze accepteert en wat er gebeurt wanneer iemand nieuw zich daarmee aanmeldt.
• Je kunt iedereen verplichten om via je koppelingen in te loggen, met de passkey van een eigenaar als noodtoegang.
• Alles hier wordt vastgelegd in je Auditlog.

Een aanmeldkoppeling toevoegen

1. Ga naar Instellingen → Inloggen.
2. Kies onder Sign-in connections een provider om toe te voegen.
3. De koppeling staat meteen aan. Iedereen in je organisatie kan die provider nu gebruiken.

NoteAls een provider niet wordt aangeboden, is deze nog niet ingesteld voor het platform — vraag dit na bij je InfraNest-beheerder.

Aanmelden beperken tot je eigen e-maildomeinen

Standaard accepteert een koppeling elk adres. Om dit te beperken:

1. Typ de domeinen in Allowed email domains, één per regel, of
2. Zet Use our verified domains aan zodat de koppeling de domeinen volgt die je al hebt geverifieerd — je hoeft ze dan niet twee keer op te geven.

De rij toont altijd wat de beperking op dit moment accepteert.

• Subdomeinen zijn niet inbegrepen. Het toestaan van acme.com staat mail.acme.com niet toe. Voeg dit apart toe als je dat nodig hebt.
• "Use our verified domains" aanzetten voordat je domeinen hebt geverifieerd, accepteert alles. De rij geeft dit aan wanneer dat het geval is.

Leden die geen van je koppelingen kunnen gebruiken, zijn beschermd: als een beperking iemand zou buitensluiten terwijl single sign-on verplicht is, weigert InfraNest deze op te slaan en noemt het de betrokken personen.

Single sign-on verplicht stellen

Als je Require single sign-on aanzet, gaat je organisatie alleen open voor mensen die zich hebben aangemeld via een van haar koppelingen. Een eigenaar kan ook met een passkey naar binnen, als noodtoegang. Passkeys van andere leden tellen niet mee, dus het verwijderen van iemand bij je identity provider beëindigt echt hun toegang.

Onder de schakelaar geeft InfraNest precies aan wat mensen toegang geeft: elke koppeling die aanstaat, passkeys van eigenaren en externe leden. Als je je eigen identity provider hebt gekoppeld maar aanmelden via Google, GitHub of Microsoft nog steeds aanstaat voor je organisatie, telt dat ook nog mee — met één klik zet je dit uit.

Dit geldt voor je organisatie, niet voor het hele account van iedereen erin. Iemand die ook bij een andere organisatie hoort, kan zich nog steeds met een wachtwoord aanmelden om die andere organisatie te bereiken. Wanneer diegene vervolgens de jouwe opent, vraagt InfraNest hen om in te loggen via jouw single sign-on, en ze blijven bij beide ingelogd. Totdat ze dat doen, zien ze niets van jouw organisatie: je meldingen blijven buiten hun belletje, en je organisatie staat alleen op naam in hun organisatielijst, met een sleutelicoon ernaast. Iemand die alleen bij organisaties hoort die single sign-on verplicht stellen, kan helemaal geen wachtwoord gebruiken.

Voor die mensen vermeldt hun pagina Mijn account → Sign-in & security welke provider hen aanmeldt, en biedt deze geen wachtwoord, tweestapsverificatie of passkeys aan: geen van die opties zou toegang geven tot jouw organisatie. InfraNest weigert ook om deze op een andere manier aan te maken, zoals via een e-mail voor wachtwoordherstel, en koppelt geen Google- of GitHub-account die je organisatie niet accepteert. Eigenaren behouden hun passkeys, omdat dit de noodtoegang is. Mensen die ook bij een andere organisatie horen, behouden alles, met een regel die uitlegt dat dit voor hun andere organisaties is.

Omdat geen enkel wachtwoord je organisatie nog opent, gelden je wachtwoordregels niet meer zolang single sign-on verplicht is: minimale lengte, verplichte symbolen en maximale wachtwoordleeftijd. Ze worden grijs weergegeven, zodat ze niet langer de wachtwoorden bepalen die je leden voor hun andere organisaties gebruiken. Ze blijven bewaard zoals je ze had ingesteld en gelden weer zodra je de verplichting uitzet. Require two-factor authentication blijft aan: leden die zich aanmelden via je eigen identity provider voldoen hier al aan via de eigen tweestapscontrole van die provider, maar het geldt nog steeds voor een eigenaar die met een passkey inlogt en voor aanmeldingen via Google, GitHub of Microsoft.

Voordat je dit kunt inschakelen, controleert InfraNest of niemand vastloopt:

• elk lid moet een van je koppelingen kunnen gebruiken, en
• ten minste één eigenaar moet een geregistreerde passkey hebben.

Die passkey is je weg terug naar binnen. Als je identity provider ooit uitvalt, blijft de passkey van een eigenaar werken wanneer wachtwoorden dat niet doen. Registreer er eerst een bij Mijn account → Sign-in & security.

WarningToch buitengesloten — is de passkey-eigenaar vertrokken, of is het apparaat kwijt? Neem contact op met InfraNest-support. Een beheerder kan wachtwoordaanmelding voor je herstellen. Dit wordt vastgelegd in je Auditlog en je eigenaren worden op de hoogte gebracht, zodat je altijd kunt zien dat het is gebeurd.

Mensen van buiten je organisatie

Een engineer van een MSP, een auditor of een contractor zit meestal niet in je identity provider, dus je single sign-on zou hen nooit kunnen binnenlaten. Markeer hen als External onder Instellingen → Team (het ⋯-menu op hun rij). Een extern lid meldt zich aan op de manier die hun eigen organisatie vereist, en jouw organisatie laat hen binnen zoals zij zich al hebben aangemeld. Dit wordt vastgelegd in je Auditlog. Een eigenaar kan nooit extern zijn.

Een koppeling uitzetten

1. Zoek de koppeling onder Instellingen → Inloggen.
2. Gebruik de schakelaar bij de koppeling om aanmeldingen hiermee te stoppen, of kies Verwijderen om deze helemaal te verwijderen.
3. Als single sign-on verplicht is en dit je enige koppeling is, weigert InfraNest dit — zet eerst Require single sign-on uit.

TipDe schakelaar is bijna altijd wat je wilt. Een koppeling uitzetten stopt aanmeldingen meteen, houdt ieders accounts eraan gekoppeld, en kan weer worden aangezet. Een koppeling verwijderen ontkoppelt ook iedereen die zich hiermee aanmeldt, en iemand die zich alleen ooit zo heeft aangemeld, heeft geen wachtwoord om op terug te vallen.

Zodra iemand zich via een koppeling aanmeldt, voorkomt InfraNest dat je deze verwijdert en wordt de knop Verwijderen grijs weergegeven. De rij laat zien om hoeveel mensen het gaat. Zet de koppeling in plaats daarvan uit.

Goed om te weten

• Aanmelden met een provider verandert nooit iemands rol of rechten.
• Elke wijziging hier wordt vastgelegd in je Auditlog.
• Zolang single sign-on verplicht is, komen alleen passkeys van eigenaren binnen. Dat is bewust: het is de noodtoegang, en een lid dat je bedrijf verlaat, mag geen passkey behouden die je identity provider omzeilt.
• Het inschakelen van de verplichting beëindigt ook sessies die op een andere manier waren gestart voordat dit gebeurde: mensen wordt gevraagd zich via je provider aan te melden de volgende keer dat ze de organisatie openen.