Single Sign-On (SSO) stelt je teamleden en lezers in staat om in te loggen op Document360 met inloggegevens van je bestaande identiteitsprovider (IdP), zoals Okta, Microsoft Entra of Google Workspace. In plaats van aparte wachtwoorden voor Document360 te beheren, authenticeren gebruikers zich eenmaal via jouw IdP en krijgen ze automatisch toegang. Document360 ondersteunt SAML, OpenID Connect en JWT als SSO-methoden, en SCIM voor geautomatiseerde gebruikersprovisioning.
Wat is SSO?
Single Sign-On (SSO) is een authenticatiemethode waarmee een gebruiker één keer kan inloggen en toegang krijgt tot meerdere applicaties zonder opnieuw inloggegevens voor elke applicatie in te voeren.
In Document360 werkt SSO tussen twee partijen:
- Identiteitsaanbieder (IdP): De dienst die de inloggegevens van je gebruikers opslaat en verifieert. Voorbeelden zijn Okta, Microsoft Entra ID, Google Workspace, ADFS en OneLogin.
- Dienstverlener (SP): Document360, dat afhankelijk is van de IdP om de identiteit van een gebruiker te bevestigen voordat toegang wordt verleend.
Wanneer een gebruiker inlogt, authenticeert de IdP hen en stuurt een geverifieerd token naar Document360. Document360 vertrouwt op dat token en verleent toegang zonder dat er een apart wachtwoord nodig is.
Document360 ondersteunt meerdere gelijktijdige SSO-configuraties. Je kunt één IdP gebruiken voor je interne team en een andere voor externe lezers, zodat elke doelgroep een inlogervaring krijgt die past bij jouw setup.
Waarom gebruik je SSO in Document360?
| Voordeel | Wat het in de praktijk betekent |
|---|---|
| Verbeterde beveiliging | Inloggegevens worden centraal beheerd in je IdP, waardoor het risico op zwakke of hergebruikte wachtwoorden in Document360 wordt verminderd |
| Vereenvoudigde toegang | Gebruikers loggen eenmaal in en openen Document360 zonder een aparte login |
| Gemakkelijker gebruikersbeheer | Voeg toegang toe of verwijder je toegang van je IdP en het wordt automatisch weergegeven in Document360 (met SCIM) |
| Compliance-ondersteuning | Gecentraliseerde authenticatie helpt te voldoen aan wettelijke vereisten voor toegangscontrole |
| Verminderde IT-overhead | Minder wachtwoordresets en geen aparte inlogdatabases om te beheren |
Ondersteunde SSO-methoden
Document360 ondersteunt drie SSO-meth-OD's. Elke werkt anders en past bij verschillende toepassingen.
SAML 2.0
Een XML-gebaseerde standaard die door de meeste enterprise identity providers wordt gebruikt. Het beste voor organisaties die al Okta, Microsoft Entra, Google Workspace, ADFS of OneLogin gebruiken. Ondersteunt zowel team- als lezerauthenticatie.
Ga naar SAML →OpenID Connect (OIDC)
Een modern authenticatieprotocol gebouwd op OAuth 2.0. Geschikt voor organisaties die Okta, Auth0 of ADFS gebruiken met OpenID-ondersteuning. Ondersteunt zowel team- als lezerauthenticatie.
Ga naar OpenID Connect →JWT (JSON Web Token)
Een door ontwikkelaars geïmplementeerde methode om lezers te authenticeren vanuit je eigen applicatie. Geen externe IdP nodig. Het beste is het als je authenticatie in je eigen systeem beheert en geverifieerde tokens aan Document360 wilt doorgeven.
Ga naar JWT →De juiste SSO-methode kiezen
| SAML | OpenID Connect | JWT | |
|---|---|---|---|
| Het beste voor | Ondernemingen met een bestaande IdP | Organisaties die OAuth 2.0-gebaseerde providers gebruiken | Ontwikkelaars die authenticatie beheren in hun eigen applicatie |
| Authenticeert | Gebruikers en lezers | Gebruikers en lezers | Alleen lezers |
| Vereist een IdP | Ja | Ja | Nee |
| Opzetcomplexiteit | Medium | Medium | Hoger (vereist aangepaste ontwikkeling) |
| SCIM-provisioning | Ondersteund (Okta, Entra, OneLogin, ADFS, anderen) | Ondersteund (Okta, ADFS, anderen) | Niet van toepassing |
| Kan naast andere methoden bestaan | Ja, SAML en JWT kunnen samen actief zijn | Ja, OIDC en JWT kunnen samen actief zijn | Ja |
SAML en OpenID Connect sluiten elkaar uit. Je kunt niet beide actief hebben in hetzelfde project tegelijk. Echter, zowel SAML als OpenID Connect kunnen naast JWT in hetzelfde project bestaan.
SCIM-provisioning
SCIM (System for Cross-domain Identity Management) is een provisioninglaag die bovenop je SSO-configuratie werkt om het beheer van de gebruikerslevenscyclus te automatiseren.
Met SCIM ingeschakeld wordt elke wijziging die je in je IdP aanbrengt (een gebruiker toevoegen, een rol bijwerken, iemand deactiveren) automatisch in Document360 weergegeven. Je hoeft gebruikersaccounts niet handmatig te beheren in Document360.
SCIM moet worden geconfigureerd nadat je SSO-installatie is voltooid. Het is beschikbaar voor SAML- en OpenID Connect-configuraties met ondersteunde providers.
Lees meer over SCIM-provisioning →
Hoe SSO werkt
Wanneer een gebruiker inlogt bij Document360 met SSO, gebeurt het volgende:
- De gebruiker opent het Document360-portaal of de kennisbanksite en voert zijn e-mailadres of domein in.
- Document360 identificeert de SSO-configuratie voor dat domein en verwijst de gebruiker door naar de IdP-inlogpagina.
- De gebruiker voert zijn gegevens in in de IdP (niet in Document360).
- De IdP verifieert de inloggegevens en stuurt een ondertekend token terug naar Document360.
- Document360 valideert het token en verleent de gebruiker toegang op basis van hun toegewezen rol en rechten.
De gebruiker is nu ingelogd. Als ze toegang krijgen tot andere applicaties die onder dezelfde SSO-sessie vallen, hoeven ze niet opnieuw in te loggen.
Begin met SSO
OpenID Connect configureren
Stel SSO in met OpenID Connect met je identiteitsprovider.
Overzicht van OpenID Connect →Configureer JWT
Implementeer JWT-authenticatie voor lezerstoegang vanuit je applicatie.
JWT overzicht →SCIM-provisioning instellen
Automatiseer gebruikers- en lezerprovisioning vanuit je IdP.
SCIM overzicht →Beheer SSO-toegang
Voeg gebruikers toe, beheer lezers, kaart projecten in kaart en beheer de inloginstellingen nadat SSO is geconfigureerd.
Toegang beheren met SSO →
Kan ik SAML en OpenID Connect tegelijk gebruiken?
Nee. SAML en OpenID Connect zijn onderling exclusief in Document360. Je kunt per project maar één actief hebben. Echter, beide kunnen naast een JWT-configuratie in hetzelfde project bestaan.
Kan ik SSO configureren voor zowel mijn team als mijn lezers?
Ja. SAML en OpenID Connect ondersteunen authenticatie voor zowel teamleden (die toegang krijgen tot het kennisbankportaal) als lezers (die toegang krijgen tot de kennisbanksite). JWT is alleen bedoeld voor lezerauthenticatie en kan niet worden gebruikt om in te loggen op het portaal.
Kan ik meerdere SSO-configuraties in hetzelfde project instellen?
Ja. Document360 ondersteunt meerdere gelijktijdige SSO-configuraties. Je kunt bijvoorbeeld één IdP gebruiken voor interne medewerkers en een aparte IdP voor externe lezers. Je kunt ook tot 5 JWT-configuraties actief hebben in hetzelfde project, naast een SAML- of OpenID Connect-configuratie.