JWT-configuraties beheren

Nadat je je JWT-configuratie hebt ingesteld en getest, geeft Document360 je volledige controle over hoe elke configuratie zich in productie gedraagt. Je kunt individuele configuraties in- of uitschakelen, geheime tokens regenereren, beheren hoe lezers naar de juiste JWT-setup worden gestuurd, controleren hoe de inlogpagina van de lezer verschijnt, en een volledig auditspoor van alle wijzigingen bekijken.

Voordat je begint

• Alleen gebruikers met de rol Eigenaar of Beheerder van het project kunnen JWT-configuraties beheren.
• Er moet minstens één JWT-configuratie al bestaan in je project. Als je er nog geen hebt gemaakt, zie dan JWT configureren in Document360.

Configuraties beheren

Schakel een JWT-configuratie in of uit

Je kunt een JWT-configuratie deactiveren zonder deze te verwijderen. Dit is handig wanneer je een configuratie tijdelijk moet opschorten zonder de instellingen te verliezen.

1. Ga naar Instellingen () > Gebruikers & machtigingen > JWT.
2. Zoek de JWT-configuratie die je wilt beheren.
3. Klik op het Edit ()-icoon in de configuratie.
4. Uitgebreide instellingen uitbreiden.
5. Zet JWT-authenticatie inschakelen uit om te deactiveren, of aan om opnieuw te activeren.
6. Klik op Opslaan.

Verwijder een JWT-configuratie

1. Ga naar Instellingen () > Gebruikers & permissies > JWT.
2. Zoek de JWT-configuratie die je wilt verwijderen.
3. Klik op het Verwijderen ()-icoon.
4. Bevestig het verwijderen als je erom vraagt.

Regenereer geheime tokens

Elke JWT-configuratie heeft een primaire geheime token en een secundaire geheime token. De secundaire token bestaat specifiek om rotatie te ondersteunen: het maakt het mogelijk om authenticatie voort te zetten terwijl je het primaire token in je applicatie bijwerkt, waardoor elke serviceonderbreking wordt voorkomen.

1. Ga naar Instellingen () > Gebruikers & machtigingen > JWT.
2. Klik op het Edit ()-icoon in de configuratie.
3. Klik onder JWT-toetsen op Regenereren naast de token die je wilt vervangen.
4. Kopieer onmiddellijk het nieuwe token. Tokens worden slechts één keer getoond en worden niet opgeslagen in Document360.
5. Werk je applicatie bij met de nieuwe token.
6. Klik op Opslaan.

Lezerstoegang beheren

Domeingebaseerde lezerroutering

Wanneer meerdere JWT-configuraties actief zijn, stuurt Document360 elke lezer naar de juiste configuratie op basis van de domeinnaam die ze op de inlogpagina invoeren.

Document360 hanteert een regel voor de meest-specifieke match. Als zowel example.com als support.example.com zijn geconfigureerd, wordt een lezer die invoert support.example.com naar die configuratie gerouteerd in plaats van naar het ouderdomein. Dit maakt het mogelijk om subdomeinen zonder conflicten door speciale configuraties te beheren.

Aanvullende routeringsregels:

• Domeinmatching is hoofdlettergevoelig en elke domeinnaam moet uniek zijn voor alle JWT-configuraties in het project.
• Als de bijbehorende configuratie inactief is, wordt de lezer naar de standaard inlogopties gestuurd.
• Als er geen match wordt gevonden, wordt de lezer doorgestuurd naar de standaard inlogopties.
• Het domeinnaamveld geldt alleen voor JWT-routering. SSO-providers zijn niet toegankelijk via dit veld.

JWT en SSO coëxistentie

JWT- en SSO (SAML- of OpenID)-configuraties kunnen gelijktijdig actief zijn in hetzelfde project. Elk type wordt onafhankelijk beheerd. Het aanpassen van een JWT-configuratie heeft geen effect op SSO-configuraties, en omgekeerd. Dit stelt organisaties in staat om lezers van verschillende identiteitssystemen te ondersteunen via één kennisbankportaal zonder conflicten tussen authenticatiemethoden.

Voorbeeld: Enterprise-klanten kunnen zich authenticeren via JWT die aan je applicatie is gekoppeld, terwijl interne teamleden zich aanmelden via een gecentraliseerde identiteitsprovider zoals Okta met SAML. Beide methoden kunnen tegelijkertijd actief zijn zonder interferentie.

Limieten voor inlogknopen

Maximaal 3 JWT-inlogknoppen en 5 SSO-inlogknoppen kunnen op elk moment op de lezer-inlogpagina worden weergegeven. Deze limieten worden onafhankelijk toegepast.

Als bijvoorbeeld 5 JWT-configuraties actief zijn, verschijnen er 3 als inlogknoppen en zijn de resterende 2 alleen toegankelijk via domeininvoer. Als 6 SSO-configuraties actief zijn, zijn er slechts 5 toegankelijk. De 6e is niet bereikbaar voor lezers.

Wanneer de limiet van 3 knoppen voor JWT is bereikt, ontvangen alle projectbeheerders een systeemmelding: "Je hebt de limiet van 3 JWT-inlogknoppen bereikt. Extra JWT-configuraties verschijnen niet als knoppen op de inlogpagina. Lezers kunnen zich nog steeds aanmelden door hun domeinnaam in te voeren."

Het bereiken van de JWT-knoplimiet heeft geen effect op de SSO-knoplimiet, en omgekeerd.

Inlogknoppen herschikken

Standaard verschijnen inlogknoppen in de volgorde waarin de SSO- en JWT-configuraties zijn aangemaakt. Je kunt deze volgorde wijzigen via Site Customization. De volgorde geldt zowel voor de primaire knoppen als voor de sectie Overige inlogopties .

Om inlogknoppen te herordenen:

1. Klik op Site builder openen in het Instellingen-popup in de SSO-configuratie of vanuit de Configure JWT login modal. De sitebuilder opent direct op de Login-pagina.
2. Zorg ervoor dat de basisstijl is gekozen.
3. In de CTA-positielijst sleep je zorgverleners in de gewenste volgorde. De lijst toont alle ingeschakelde SSO- en actieve JWT-configuraties in één samengevoegde lijst.
4. Klik op Opslaan en vervolgens op Publiceren.

Op de inlogpagina van de lezer staat

De inlogpagina die aan lezers wordt getoond, hangt af van twee factoren: de status van de schakelaar voor de standaard inlogpagina Uitschakelen en welke JWT- en SSO-configuraties momenteel actief zijn.

Regels die in alle staten gelden:

• Alleen actieve configuraties worden weergegeven. Inactieve configuraties worden nooit aan lezers getoond, ongeacht de toggle status.
• Het invoerveld voor domeinnaam wordt weergegeven wanneer de schakelaar AAN staat en minstens één JWT-configuratie actief is. Dit zorgt ervoor dat JWT-configuraties zonder zichtbare inlogknop bereikbaar blijven via domeininvoer.
• Als alle JWT- en SSO-configuraties inactief zijn terwijl de schakelaar AAN staat, krijgen lezers een bericht te zien dat er momenteel geen inlogopties beschikbaar zijn.
• Wijzigingen om de status of configuratiestatus te wisselen gaan direct in voor nieuwe lezersessies. Bestaande geauthenticeerde sessies worden niet beïnvloed.

Monitoring en audit

Auditlogging

Alle JWT-configuratieacties worden automatisch vastgelegd in het auditlogboek, wat een volledig en manipulatievrij bestand van wijzigingen biedt voor compliance- en beveiligingscontroledoeleinden.

Geregistreerde acties:

• Aanmaken, Bijwerken, Verwijderen
• Inschakelen, uitschakelen
• Regenereer Primaire Token, Regenereer Secundaire Token
• Directe JWT-login inschakelen/uitschakelen
• Schakel de standaard inlogpagina in/uit

Elke logboekvermelding registreert het actietype, tijdstempel (UTC), de identiteit van de beheerder die de actie uitvoerde, en de configuratienaam op het moment van de actie. Voor updateacties bevat het logboek de specifieke velden die zijn veranderd, samen met de vorige en nieuwe waarden. Tokenwaarden worden nooit geregistreerd; alleen het feit van de rotatie wordt geregistreerd om de beveiliging van de inloggegevens te beschermen.

Logs worden minimaal 90 dagen bewaard. Toegang tot JWT-auditlogboeken is beperkt tot gebruikers met Security & Audit-rechten.

Om JWT-activiteitstracking mogelijk te maken:

1. Ga naar Instellingen () > Beveiliging & Audit > Teamauditing > Auditconfiguratie.
2. Schakel de relevante JWT-gebeurtenisschakelaars in.
3. Zodra ingeschakeld, verschijnt JWT-activiteit in het tabblad Teamauditing . Gebruik het dropdown Event en zoek op "JWT" om te filteren op eventtype.

Ontvangers van e-mailmeldingen:

Best practices

• Gebruik het secundaire geheime token als rotatiebuffer. Werk altijd eerst het secundaire token in je applicatie bij en roteer daarna het primaire token. Dit voorkomt authenticatiefouten tijdens de inlogrotatie.
• Schakel JWT-configuraties uit in plaats van ze te verwijderen tijdens het oplossen van problemen. Uitschakelen behoudt je instellingen en laat je opnieuw activeren zonder opnieuw te configureren.
• Schakel Direct JWT-login alleen in wanneer JWT de enige authenticatiemethode is. Wanneer meerdere methoden actief zijn, schakel deze uit zodat lezers hun aanmeldoptie kunnen kiezen.
• Test de schakelaar 'Uitschakelen voor de standaard inlogpagina' in een staging-omgeving voordat je deze in productie inschakelt.
• Bekijk regelmatig het auditlogboek om onverwachte configuratiewijzigingen of tokenregeneraties te detecteren.
• Houd het aantal actieve JWT-configuraties bij wat je actief gebruikt. Ongebruikte configuraties zorgen voor onnodige beheersbelasting en mogelijke veiligheidsrisico's.

FAQ