> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-nl/cerrix-functionaliteiten/admin-settings/authentication-and-user-provisioning/sso-migrating-from-implicit-grant-to-pkce.md). # SSO: Migreren van implicit grant naar PKCE Als je organisatie al SSO heeft ingesteld met CERRIX, gebruikt je huidige configuratie waarschijnlijk de implicit grant flow — een oudere authenticatiestandaard die inmiddels is vervangen door PKCE (Proof Key for Code Exchange). PKCE is veiliger en is nu de aanbevolen standaard voor browsergebaseerde toepassingen. De migratie is zo ontworpen dat je gebruikers op geen enkel moment onderbreking ervaren. Omdat oudere SSO-configuraties verschillen — verschillende identiteitsproviders, verschillende claim-instellingen, verschillende opmaak van gebruikersaccounts — beoordeelt CERRIX eerst je specifieke configuratie en geeft op maat gemaakte instructies voordat je wijzigingen aanbrengt. {% hint style="info" %} Neem contact op met het CERRIX-supportteam om een migratie te starten. De onderstaande stappen beschrijven wat er in elke fase gebeurt. {% endhint %} *** ### Hoe de migratie werkt 1. **Je vraagt de migratie aan** — neem contact op met CERRIX. Wij beoordelen je huidige configuratie en sturen je op maat gemaakte instructies voor Fase 2. 2. **Je stelt de nieuwe configuratie in** — volg de instructies van CERRIX en maak naast je bestaande configuratie een nieuwe app-registratie of appintegratie die klaar is voor PKCE. Laat de bestaande configuratie met rust. 3. **CERRIX schakelt om** — wij richten onze backend opnieuw op je nieuwe configuratie. Je gebruikers kunnen zonder onderbreking blijven inloggen. 4. **Je ruimt alles op** — zodra CERRIX bevestigt dat PKCE werkt, verwijder je de verouderde app-registratie / appintegratie en alle bijbehorende artefacten. {% hint style="warning" %} Breng geen wijzigingen aan in je identiteitsprovider totdat je aan het einde van Fase 1 de op maat gemaakte instructies van CERRIX hebt ontvangen. De instructies zijn specifiek voor jouw omgeving en kunnen afwijken van de standaard SSO-installatiehandleiding. {% endhint %} *** ### Fase 1 — Vraag de migratie aan Neem contact op met het CERRIX-supportteam en geef aan dat je wilt migreren van implicit grant naar PKCE. Je hoeft op dit moment niets voor te bereiden in je identiteitsprovider. CERRIX beoordeelt je huidige SSO-configuratie — inclusief welke claims worden gebruikt om je gebruikers te identificeren en hoe je CERRIX-accounts zijn opgeslagen — en hieronder kun je de volgende fasen bekijken. Wacht op de instructies van CERRIX voordat je doorgaat naar Fase 2. *** ### Fase 2 — Stel de nieuwe configuratie in Gebruik de instructies in deze documentatie om naast je bestaande configuratie een gloednieuwe configuratie in je identiteitsprovider te maken die klaar is voor PKCE. Wijzig of verwijder niets in de bestaande configuratie — je gebruikers moeten tijdens deze fase kunnen blijven inloggen. Een paar zaken om in gedachten te houden: * **Maak nieuwe objecten aan, wijzig de bestaande niet.** Maak in Microsoft Entra ID een gloednieuwe **app-registratie**. Maak in Okta een gloednieuwe **appintegratie** en, indien aangegeven, een gloednieuwe **autorisatieserver**. Als je de nieuwe objecten duidelijk een naam geeft (bijvoorbeeld `CERRIX SSO (PKCE)`) zijn ze tijdens het opschonen gemakkelijk te onderscheiden van de verouderde objecten. * **De bestaande configuratie moet onaangeroerd blijven tot Fase 4.** Wijzig op de verouderde app-registratie / appintegratie geen platformtypes, grant-types, redirect-URI's of claims. Zodra de nieuwe configuratie klaar is, bevestig je aan CERRIX dat: * Je bestaande SSO-aanmelding nog steeds werkt. * De nieuwe app-registratie / appintegratie is aangemaakt zoals voorgeschreven. Stuur het volgende terug, afhankelijk van je provider: **Microsoft Entra ID:** * Toepassings-(client-)ID van de nieuwe app-registratie * Directory-(tenant)-ID * Schermafbeelding van de redirect-URI die is geconfigureerd op de nieuwe app-registratie **Okta:** * Client-ID van de nieuwe appintegratie * Metadata-URI van de autorisatieserver (van **Security → API → Authorization Servers → \[uw server] → Settings**) * Schermafbeelding van de redirect-URI die is geconfigureerd op de nieuwe appintegratie *** ### Fase 3 — CERRIX schakelt over naar PKCE Nadat CERRIX je bevestiging en referenties uit Fase 2 heeft ontvangen, richten wij de backend opnieuw op je nieuwe configuratie. Je hoeft tijdens deze fase niets te doen. CERRIX laat je weten zodra de overstap is voltooid en vraagt je te controleren of SSO-aanmelding correct werkt. *** ### Fase 4 — Verwijder de verouderde configuratie Zodra CERRIX bevestigt dat PKCE werkt, verwijder je de verouderde configuratie volledig uit je identiteitsprovider. Dit is een belangrijke beveiligingsstap — als de implicit grant flow actief blijft, kan deze nog steeds worden gebruikt om tokens te verkrijgen. #### Microsoft Entra ID Verwijder de **verouderde CERRIX-app-registratie** — de registratie die vóór de migratie is gemaakt en waarbij nog steeds de **Web** platform en implicit grant zijn ingeschakeld. 1. Ga naar **Azure Portal → Microsoft Entra ID → App-registraties** en selecteer de verouderde app-registratie. 2. Klik op **Verwijder** in de bovenste werkbalk en bevestig. Als het beleid van je organisatie het verwijderen van app-registraties niet toestaat, neutraliseer de verouderde registratie dan volledig in plaats daarvan: * **Verificatie → Platformconfiguraties**: verwijder de **Web** platformvermelding. * **Verificatie → Implicit grant en hybride stromen**: vink beide uit **Access-tokens** en **ID-tokens**. * **Eigenschappen**: stel **Ingeschakeld voor gebruikers om zich aan te melden** op **Nee**. {% hint style="warning" %} Zorg ervoor dat je werkt met de **verouderde** app-registratie en niet met de nieuwe PKCE-registratie die in Fase 2 is gemaakt. De nieuwe registratie moet blijven bestaan — die is wat CERRIX nu gebruikt. {% endhint %} #### Okta Verwijder de **verouderde CERRIX-appintegratie** samen met alle artefacten die specifiek daarvoor zijn gemaakt. 1. Ga naar **Okta Admin Console → Toepassingen**, zoek de verouderde appintegratie op en **deactiveer** die. 2. Zodra gedeactiveerd, **verwijderen** de appintegratie. 3. Ga naar **Beveiliging → API → Autorisatieservers**. Als er voor de verouderde app een aparte autorisatieserver is gemaakt en deze nergens anders voor wordt gebruikt, verwijder die dan ook. {% hint style="warning" %} Zorg ervoor dat je werkt met de **verouderde** appintegratie en autorisatieserver, niet de nieuwe die in Fase 2 zijn gemaakt. De nieuwe moeten blijven bestaan — die zijn wat CERRIX nu gebruikt. {% endhint %} #### Bevestig aan CERRIX Bevestig na het opschonen aan het CERRIX-supportteam dat SSO-aanmelding nog steeds correct werkt. De migratie is daarna voltooid. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.cerrix.com/cerrix-documentation-nl/cerrix-functionaliteiten/admin-settings/authentication-and-user-provisioning/sso-migrating-from-implicit-grant-to-pkce.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.