> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-nl/cerrix-functionaliteiten/admin-settings/authentication-and-user-provisioning/sso-setup-guide.md). # SSO-configuratiegids Single Sign-On stelt uw gebruikers in staat om in te loggen bij CERRIX met hun bestaande organisatorische identiteit — hetzelfde account dat zij gebruiken voor Microsoft 365, Okta of een andere gekoppelde service. Zodra SSO is ingeschakeld, hebben gebruikers geen apart CERRIX-wachtwoord meer nodig en worden zij geauthenticeerd via uw eigen identiteitsprovider. Deze gids leidt u door alles wat u moet voorbereiden voordat u bij het CERRIX-team om SSO-activatie vraagt. Alle configuratiestappen vinden plaats in uw eigen omgeving; CERRIX voert de uiteindelijke activatie aan onze kant uit zodra u uw verzoek indient. {% hint style="info" %} CERRIX ondersteunt **Microsoft Entra ID (Azure AD)** en **Okta** standaard. Als uw organisatie een andere identiteitsprovider gebruikt, neem dan contact op met uw CERRIX-accountmanager om de opties te bespreken. {% endhint %} *** ### Voordat u begint U heeft het volgende nodig: * **Beheerdersrechten** voor uw identiteitsprovider (beheerdersconsole van Microsoft Entra ID of Okta). * **Uw CERRIX-omgeving-URL** — het adres dat u gebruikt om CERRIX te openen, bijvoorbeeld `acme.cerrix.com`. U heeft dit nodig om de omleidings-URI samen te stellen. Elke stap in deze gids waarbij een URL betrokken is, vereist uw eigen subdomein. Kopieer geen URL's uit deze gids zonder eerst uw subdomein te vervangen. * Een manier om een **screenshot** van de voltooide configuratie van de omleidings-URI te maken, die u bij uw activatieverzoek moet voegen. *** ### Hoe SSO werkt in CERRIX Wanneer een gebruiker klikt op **Werkaccount** op de inlogpagina, stuurt CERRIX hun browser door naar de inlogpagina van uw identiteitsprovider. Nadat de gebruiker zich heeft geauthenticeerd, stuurt de identiteitsprovider een veilig token terug naar CERRIX, dat het verifieert en een sessie opzet. De gebruiker voert nooit een CERRIX-specifiek wachtwoord in. CERRIX gebruikt het **OpenID Connect (OIDC)** protocol met de **PKCE** (Proof Key for Code Exchange)-flow. Dit is de huidige industriestandaard voor browsergebaseerde toepassingen en de enige ondersteunde configuratie voor nieuwe SSO-configuraties. #### Stille aanmelding Als uw organisatie het standaard CERRIX-inlogformulier niet gebruikt, kan CERRIX worden geconfigureerd om automatisch de SSO-aanmelding te starten wanneer de inlogpagina wordt geladen — zonder dat de gebruiker ergens op hoeft te klikken. Dit zorgt voor een naadloze ervaring waarbij gebruikers na het navigeren naar uw CERRIX-omgeving rechtstreeks naar uw identiteitsprovider worden geleid. Stille aanmelding is standaard ingeschakeld wanneer het standaard inlogformulier is uitgeschakeld. Als u wilt dat stille aanmelding naast het standaardformulier wordt ingeschakeld, vermeld dit dan in uw activatieverzoek. *** ### Uw omleidings-URI instellen Tijdens de configuratiestappen hieronder moet u een **omleidings-URI** — het adres waar uw identiteitsprovider gebruikers na authenticatie naartoe terugstuurt. Uw omleidings-URI is altijd: ``` https://[your-subdomain].cerrix.com/auth/callback ``` Vervang `[your-subdomain]` door het subdomein van uw CERRIX-omgeving. Bijvoorbeeld: | Uw CERRIX-URL | Uw omleidings-URI | | ----------------------- | --------------------------------------------- | | `acme.cerrix.com` | `https://acme.cerrix.com/auth/callback` | | `globalcorp.cerrix.com` | `https://globalcorp.cerrix.com/auth/callback` | {% hint style="warning" %} De omleidings-URI moet exact overeenkomen met uw omgeving. Een mismatch is de meest voorkomende reden dat SSO-activatie mislukt. Controleer nogmaals of u uw eigen subdomein hebt gebruikt en niet een voorbeeld uit deze gids. {% endhint %} *** ### Microsoft Entra ID (Azure AD) #### 1. Registreer een nieuwe toepassing 1. Meld u aan bij de [Azure Portal](https://portal.azure.com/) en open **Microsoft Entra ID**. 2. Selecteer in het linkermenu **App-registraties**, en klik op **Nieuwe registratie**. 3. Geef de toepassing een herkenbare naam, bijvoorbeeld `CERRIX SSO`. 4. Onder **Ondersteunde accounttypen**, selecteer **Alleen accounts in deze organisatiemap**. 5. Laat het veld **Omleidings-URI** voorlopig leeg — u configureert het in de volgende stap. 6. Klik op **Registreren**. #### 2. Configureer de omleidings-URI Het correct configureren van de omleidings-URI is essentieel. Het platformtype dat u kiest bepaalt de authenticatiestroom; het selecteren van het verkeerde type zorgt ervoor dat SSO niet werkt. 1. Ga in uw zojuist geregistreerde toepassing naar **Verificatie** in het linkermenu. 2. Onder **Platformconfiguraties**, klik op **Een platform toevoegen**. 3. Selecteer **Single-page application (SPA)**.

Het kiezen van Single-page application is belangrijk. Dit platformtype schakelt PKCE automatisch in en is vereist voor de CERRIX SSO-configuratie. Kies niet "Web" — dat platform gebruikt een andere stroom die niet compatibel is.

4. In het **Omleidings-URI's** veld voert u uw omleidings-URI in met **uw eigen subdomein**: ``` https://[your-subdomain].cerrix.com/auth/callback ``` 5. Klik op **Configureren**. #### 3. Controleer de instellingen voor impliciete toekenning Met het SPA-platform en PKCE worden access- en ID-tokens veilig verkregen via de autorisatiecodereeks. De oudere opties voor impliciete toekenning moeten uitgeschakeld blijven. 1. Nog steeds in **Verificatie**, scrol naar **Impliciete toekenning en hybride stromen**. 2. Zorg ervoor dat zowel **Access-tokens** en **ID-tokens** zijn **niet aangevinkt**. 3. Klik op **Opslaan** als u wijzigingen hebt aangebracht. #### 4. API-machtigingen configureren CERRIX heeft de **User.Read** machtiging op Microsoft Graph nodig om de aangemelde gebruiker te identificeren. Het verlenen van beheerdersinstemming op tenantniveau zorgt ervoor dat gebruikers niet afzonderlijk worden gevraagd bij de eerste aanmelding. 1. Selecteer in uw app-registratie **API-machtigingen** in het linkermenu. 2. De **User.Read** gedelegeerde machtiging onder **Microsoft Graph** wordt standaard toegevoegd. Als deze ontbreekt, klik op **Machtiging toevoegen → Microsoft Graph → Gedelegeerde machtigingen**, zoek naar **User.Read**, en voeg deze toe. 3. Klik bovenaan de machtigingenlijst op **Verleen beheerdersinstemming voor \[Uw tenantnaam]**. 4. Bevestig met **Ja**. De **Status** kolom moet veranderen naar **Verleend voor \[Uw tenantnaam]** met een groen vinkje naast **User.Read**. {% hint style="warning" %} De **Verleen beheerdersinstemming** knop is alleen zichtbaar voor gebruikers met de juiste Entra ID-rol (meestal Global Administrator of Privileged Role Administrator). Als u de knop niet ziet, vraag dan uw tenantbeheerder om deze stap uit te voeren. {% endhint %} #### 5. Hoe CERRIX uw gebruikers identificeert Na verificatie geeft Entra ID een **ID-token** af — een ondertekend document met claims over de gebruiker. CERRIX leest de **`preferred_username`** claim uit dit token om de aangemelde gebruiker te koppelen aan een CERRIX-account. In Entra ID, `preferred_username` bevat de **UPN (User Principal Name)** — doorgaans het e-mailadres dat wordt gebruikt om in te loggen, bijvoorbeeld `john@acme.com`. Zie de [referentie voor Microsoft ID-tokenclaims](https://learn.microsoft.com/en-us/entra/identity-platform/id-token-claims-reference#payload-claims) voor de volledige lijst met standaardclaims en hun waarden. {% hint style="warning" %} `preferred_username` (UPN) is niet hetzelfde als de gebruikers **weergavenaam**. De `naam` claim bevat de weergavenaam (bijvoorbeeld `John Doe`), terwijl `preferred_username` de inlognaam bevat (`john@acme.com`). Zorg ervoor dat de **AD-aanmelding** op uw CERRIX-gebruikersrecords is ingevuld met de UPN, niet met de weergavenaam — anders zullen aanmeldingen mislukken, ook al slaagt de verificatie. {% endhint %} Als de UPN niet overeenkomt met de **AD-aanmelding** opgeslagen op het gebruikersrecord in CERRIX, kunt u een optionele claim toevoegen aan het ID-token, zodat CERRIX een andere waarde leest. **Een optionele claim toevoegen** 1. Ga in uw app-registratie naar **Tokenconfiguratie** in het linkermenu. 2. Klik op **Optionele claim toevoegen**, selecteer **ID** als tokentype, en kies de claim die u wilt dat CERRIX gebruikt — bijvoorbeeld `email` of `upn`. 3. Klik op **Toevoegen**. Als Entra ID meldt dat voor de claim aanvullende Microsoft Graph-machtigingen nodig zijn, bevestig dan om ze toe te voegen. 4. Ga naar **API-machtigingen** en klik op **Verleen beheerdersinstemming voor \[Uw tenantnaam]** om toestemming te geven voor eventuele nieuw toegevoegde machtigingen. Wanneer u uw activatieverzoek indient, voeg dan de claimnaam toe, zodat CERRIX kan worden geconfigureerd om deze uit het ID-token te lezen in plaats van `preferred_username`. {% hint style="warning" %} De claimwaarde moet exact overeenkomen met het **AD-aanmelding** veld op het gebruikersrecord in CERRIX. Als ze niet overeenkomen, zal de SSO-aanmelding mislukken, zelfs als de verificatie door Entra ID slaagt. {% endhint %} #### 6. Verzamel de vereiste informatie 1. Ga in uw app-registratie naar **Overzicht**. 2. Noteer de **Toepassing (client)-ID** — een GUID die uw CERRIX-app-registratie uniek identificeert. 3. Noteer de **Directory-(tenant)-ID** — een GUID die uw Azure-organisatie identificeert. 4. Als u een optionele claim hebt geconfigureerd, noteer dan de claimnaam. #### 7. Maak een screenshot Voordat u uw verzoek indient, maakt u een screenshot van de **Verificatie** pagina waarop duidelijk de omleidings-URI te zien is die u hebt geconfigureerd onder **Single-page application**. U voegt dit toe aan uw activatieverzoek. *** ### Okta #### 1. Maak een nieuwe app-integratie 1. Meld u aan bij uw **Okta Admin Console**. 2. Ga in het linkermenu naar **Applications → Applications**, en klik op **App-integratie maken**. 3. Voor **Aanmeldmethode**, selecteer **OIDC – OpenID Connect**. 4. Voor **Applicatietype**, selecteer **Single-Page Application**, en klik op **Volgende**. #### 2. Configureer de toepassing 1. Voer een naam voor de toepassing in, bijvoorbeeld `CERRIX SSO`. 2. Onder **Granttype**, zorg ervoor dat **Authorization Code** is geselecteerd. Okta schakelt PKCE automatisch in voor single-page applications.

U hoeft geen extra granttypes in te schakelen. Implicit en client credentials-grants worden niet door CERRIX gebruikt.

3. Onder **Aanmeldings-omleidings-URI's**, klik op **URI toevoegen** en voer uw omleidings-URI in met **uw eigen subdomein**: ``` https://[your-subdomain].cerrix.com/auth/callback ``` 4. Onder **Afmeld-omleidings-URI's**, voer de basis-URL van uw CERRIX-omgeving in: ``` https://[your-subdomain].cerrix.com ``` 5. Onder **Toewijzingen**, kies wie in uw organisatie toegang moet hebben. U kunt specifieke groepen toewijzen of alle gebruikers toestaan. 6. Klik op **Opslaan**. #### 3. Configureer de autorisatieserver (optioneel) CERRIX werkt standaard met Okta's ingebouwde **standaard aangepaste autorisatieserver** — er is van uw kant geen extra configuratie nodig. De standaardserver is beschikbaar op `/oauth2/default/` in elke Okta-org. U hebt dit onderdeel alleen nodig als u in plaats daarvan een **specifieke** autorisatieserver voor CERRIX wilt gebruiken. Redenen waarom u misschien een specifieke server verkiest: * **Audience-isolatie.** Tokens van de standaardserver gebruiken `api://default` als audience. Met een specifieke server kunt u de audience instellen op uw CERRIX-client-ID, zodat tokens die voor CERRIX zijn uitgegeven niet worden geaccepteerd door andere services die ook uw Okta-org valideren. * **Geïsoleerde claimconfiguratie.** Als andere toepassingen die met Okta zijn gekoppeld de standaardserver delen, hebben wijzigingen in de claimtoewijzingen invloed op al deze toepassingen. Met een specifieke server kunt u claims voor CERRIX aanpassen zonder andere toepassingen te beïnvloeden. Om een specifieke autorisatieserver te maken: 1. Vouw in het linkermenu **Security** uit en selecteer **API**. 2. Op het tabblad **Authorization Servers** klikt u op **Add Authorization Server**. 3. Vul de velden in: * **Naam**: een herkenbare naam, bijvoorbeeld `CERRIX`. * **Audience**: plak de **Client ID** uit uw app-integratie. * **Beschrijving**: optioneel. 4. Klik op **Opslaan**. Noteer de **Metadata-URI** op het **Instellingen** tabblad van de server — u voegt dit toe aan uw activatieverzoek. #### 4. Hoe CERRIX uw gebruikers identificeert Na verificatie geeft Okta een **ID-token** af — een ondertekend document met claims over de gebruiker. CERRIX leest de **`preferred_username`** claim uit dit token om de aangemelde gebruiker te koppelen aan een CERRIX-account. Standaard zet Okta `preferred_username` op `user.login`, wat de Okta-inlognaam is (doorgaans het e-mailadres dat wordt gebruikt om in te loggen bij Okta). Als de waarde in `preferred_username` niet overeenkomt met de **AD-aanmelding** die is opgeslagen op het gebruikersrecord in CERRIX, voeg dan een specifieke claim toe die de juiste waarde retourneert en laat CERRIX deze lezen. Op het tabblad **Claims** tabblad van uw autorisatieserver, klik op **Claim toevoegen** en configureer: * **Naam**: elke naam, bijvoorbeeld `cerrix_username` * **Opnemen in tokentype**: **ID Token**, **Altijd** * **Waardetype**: **Expressie** * **Waarde**: de Okta-expressie die de overeenkomende waarde retourneert — bijvoorbeeld `user.email` of een aangepast Okta-profielattribuut zoals `user.cerrixUsername` * **Opnemen in**: **Elke scope** Wanneer u uw activatieverzoek indient, voeg dan de claimnaam toe, zodat CERRIX kan worden geconfigureerd om deze uit het ID-token te lezen in plaats van `preferred_username`. {% hint style="warning" %} Welke optie u ook kiest, de claimwaarde moet exact overeenkomen met het **AD-aanmelding** veld op het gebruikersrecord in CERRIX. Als ze niet overeenkomen, zal de SSO-aanmelding mislukken, zelfs als de Okta-verificatie slaagt. {% endhint %} #### 5. Verzamel de vereiste informatie 1. Noteer vanuit het **Algemeen** tabblad van uw app-integratie de **Client ID**. 2. Noteer de **Metadata-URI** van de autorisatieserver die u gebruikt. Vind deze onder **Security → API → Authorization Servers → \[uw server] → Settings**. Voor de standaardserver ziet het er zo uit `https://[okta-domein]/oauth2/default/.well-known/openid-configuration`. 3. Als u een aangepaste claim hebt toegevoegd, noteer dan de claimnaam. #### 6. Maak een screenshot Voordat u uw verzoek indient, maakt u een screenshot van het **Algemeen** tabblad van uw app-integratie waarop de geconfigureerde aanmeldings-omleidings-URI duidelijk te zien is. U voegt dit toe aan uw activatieverzoek. *** ### Uw activatieverzoek indienen Zodra u de configuratiestappen voor uw identiteitsprovider hebt voltooid, neemt u contact op met het CERRIX-supportteam om SSO-activatie aan te vragen. Voeg het volgende toe aan uw verzoek: **Voor Microsoft Entra ID:** * Toepassing (client)-ID * Directory-(tenant)-ID * Aangepaste claimnaam, als u er een hebt geconfigureerd voor gebruikersmatching (anders leest CERRIX `preferred_username`) * Schermafbeelding van de verificatiepagina waarop uw omleidings-URI zichtbaar is **Voor Okta:** * Client ID * Metadata-URI van de autorisatieserver — voor de standaardserver is dit `https://[okta-domein]/oauth2/default/.well-known/openid-configuration` * Aangepaste claimnaam, als u er een hebt geconfigureerd voor gebruikersmatching (anders leest CERRIX `preferred_username`) * Schermafbeelding van de app-integratie waarop uw aanmeldings-omleidings-URI zichtbaar is **Voor elke provider:** * Als uw organisatie een aangepast domein of een niet-standaard OIDC-metadata-URL gebruikt, voeg dan de volledige metadata-URL toe (bijvoorbeeld `https://login.acme.com/.well-known/openid-configuration`). * Laat ons weten of u het standaard CERRIX-inlogformulier naast SSO beschikbaar wilt houden, of liever alleen SSO-aanmelding wilt. * Laat ons weten of u wilt dat stille aanmelding wordt ingeschakeld (automatische SSO-doorverwijzing bij het laden van de pagina). Het CERRIX-team zal uw verzoek beoordelen, de configuratie toepassen en bevestigen wanneer SSO actief is in uw omgeving. *** ### Verschillen tussen PKCE en impliciete toekenning (verouderd) Als uw organisatie al SSO met CERRIX heeft ingesteld, gebruikt uw configuratie waarschijnlijk de **impliciete toekenning** stroom — een oudere verificatiemethode die inmiddels is vervangen door PKCE. | | PKCE (huidig) | Impliciete toekenning (verouderd) | | ------------------------------- | ----------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------- | | **Security** | Tokens worden server-to-server uitgewisseld; de browser verwerkt nooit rechtstreeks ruwe tokens | Tokens worden teruggegeven in de browser-URL, waardoor ze meer blootgesteld zijn | | **Platformtype** | Single-page application (SPA) | Web | | **Ondersteuning voor Entra ID** | Volledig ondersteund en aanbevolen door Microsoft | Verouderd en niet meer aanbevolen door Microsoft | | **Ondersteuning voor Okta** | Standaard voor SPA-apps | Afgeraden | | **Ondersteuning voor CERRIX** | Aanbevolen voor alle nieuwe en bestaande configuraties | Alleen ondersteund voor bestaande configuraties | {% hint style="info" %} Als u momenteel de implicit grant flow gebruikt en wilt overstappen op PKCE, neem dan contact op met het CERRIX-ondersteuningsteam. De migratie vereist een kleine configuratiewijziging in uw identiteitsprovider en aan onze kant, en veroorzaakt geen downtime voor uw gebruikers. {% endhint %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.cerrix.com/cerrix-documentation-nl/cerrix-functionaliteiten/admin-settings/authentication-and-user-provisioning/sso-setup-guide.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.