JWT-configuraties beheren

Nadat je je JWT-configuratie hebt ingesteld en getest, geeft Document360 je volledige controle over hoe elke configuratie zich in productie gedraagt. Je kunt individuele configuraties in- of uitschakelen, geheime tokens regenereren, beheren hoe lezers naar de juiste JWT-setup worden gestuurd, bepalen hoe de inlogpagina van de lezer verschijnt, en een volledig auditspoor van alle wijzigingen bekijken.

Voordat je begint

• Alleen gebruikers met de rol Eigenaar of Beheerder van het project kunnen JWT-configuraties beheren.
• Er moet al minstens één JWT-configuratie in je project bestaan. Als je er nog geen hebt gemaakt, zie dan JWT configureren in Document360.

Configuraties beheren

Schakel een JWT-configuratie in of uit

Je kunt een JWT-configuratie deactiveren zonder deze te verwijderen. Dit is handig wanneer je een configuratie tijdelijk moet opschorten zonder de instellingen te verliezen.

1. Ga naar Instellingen () > Gebruikers & machtigingen > Enterprise SSO.
2. Zoek de JWT-configuratie die je wilt beheren.
3. Klik op het Edit ()-icoon in de configuratie.
4. Uitgebreide instellingen uitbreiden.
5. Zet JWT-authenticatie inschakelen uit om te deactiveren, of aan om opnieuw te activeren.
6. Klik op Opslaan.

Verwijder een JWT-configuratie

1. Ga naar Instellingen () > Gebruikers & machtigingen > Enterprise SSO.
2. Zoek de JWT-configuratie die je wilt verwijderen.
3. Klik op het Verwijderen ()-icoon.
4. Bevestig het verwijderen als je erom vraagt.

Regenereer geheime tokens

Elke JWT-configuratie heeft een primaire geheime token en een secundair geheim token. De secundaire token bestaat specifiek om rotatie te ondersteunen: het maakt authenticatie mogelijk terwijl je het primaire token in je applicatie bijwerkt, waardoor elke serviceonderbreking wordt voorkomen.

1. Ga naar Instellingen () > Gebruikers & machtigingen > Enterprise SSO.
2. Klik op het Edit ()-icoon in de configuratie.
3. Klik onder JWT-toetsen op Regenereren naast de token die je wilt vervangen.
4. Kopieer onmiddellijk het nieuwe token. Tokens worden slechts één keer getoond en worden niet opgeslagen in Document360.
5. Werk je applicatie bij met de nieuwe token.
6. Klik op Opslaan.

Lezerstoegang beheren

Domeingebaseerde lezerroutering

Wanneer meerdere JWT-configuraties actief zijn, stuurt Document360 elke lezer naar de juiste configuratie op basis van de domeinnaam die ze op de inlogpagina invoeren.

Document360 past een meest-specifieke-overeenkomstregel toe. Als zowel example.com als support.example.com zijn geconfigureerd, wordt een lezer die invoert support.example.com naar die configuratie gerouteerd in plaats van naar het ouderdomein. Dit maakt het mogelijk om subdomeinen zonder conflict door dedicated configuraties te behandelen.

Aanvullende routeringsregels:

• Domeinmatching is hoofdlettergevoelig en elke domeinnaam moet uniek zijn voor alle JWT-configuraties in het project.
• Als de bijbehorende configuratie inactief is, wordt de lezer naar de standaard inlogopties gestuurd.
• Als er geen match wordt gevonden, wordt de lezer doorgestuurd naar de standaard inlogopties.
• Het domeinnaamveld geldt alleen voor JWT-routering. SSO-providers zijn niet toegankelijk via dit veld.

Hoe authenticatievalidatie werkt

Domeingebaseerde routering bepaalt naar welke Login-URL een lezer wordt gestuurd. Het beïnvloedt niet hoe Document360 het authenticatieverzoek valideert.

Wanneer een lezer terugkeert met een JWT-code, controleert Document360 of de code geldig is en is aangemaakt met het geheim dat voor die JWT-configuratie is geconfigureerd. Het domein van de lezer beïnvloedt deze validatie niet.

Dit betekent dat je dezelfde JWT-configuratie kunt gebruiken voor meerdere omgevingen, zoals ontwikkeling en productie, zolang ze hetzelfde JWT-geheim gebruiken.

Als je wilt dat verschillende omgevingen verschillende JWT-geheimen gebruiken of een inlogflow wilt beperken tot specifieke domeinen, maak dan een aparte JWT-configuratie voor elk domein.

JWT en SSO coëxistentie

JWT- en SSO (SAML- of OpenID)-configuraties kunnen gelijktijdig actief zijn in hetzelfde project. Elk type wordt onafhankelijk beheerd. Het wijzigen van een JWT-configuratie heeft geen invloed op SSO-configuraties, en omgekeerd. Dit stelt organisaties in staat lezers van verschillende identiteitssystemen te ondersteunen via één kennisbankportaal zonder conflicten tussen authenticatiemethoden.

Voorbeeld: Enterprise-klanten kunnen authenticeren via JWT die aan uw applicatie is gekoppeld, terwijl interne teamleden zich aanmelden via een gecentraliseerde identiteitsprovider zoals Okta met SAML. Beide methoden kunnen tegelijkertijd actief zijn zonder interferentie.

Limieten voor inlogknopen

Maximaal 3 JWT-inlogknoppen en 5 SSO-inlogknoppen kunnen op elk moment op de inlogpagina van de lezer worden weergegeven. Deze limieten worden onafhankelijk toegepast.

Als bijvoorbeeld 5 JWT-configuraties actief zijn, verschijnen er 3 als inlogknoppen en zijn de resterende 2 alleen toegankelijk via domeininvoer. Als 6 SSO-configuraties actief zijn, zijn er slechts 5 toegankelijk. De 6e is niet bereikbaar voor lezers.

Wanneer de limiet van 3 knoppen voor JWT is bereikt, ontvangen alle projectbeheerders een systeemmelding: "Je hebt de limiet van 3 JWT-inlogknoppen bereikt. Extra JWT-configuraties verschijnen niet als knoppen op de inlogpagina. Lezers kunnen nog steeds inloggen door hun domeinnaam in te voeren."

Het bereiken van de JWT-knoplimiet heeft geen effect op de SSO-knoplimiet, en omgekeerd.

Inlogknoppen herschikken

Standaard verschijnen inlogknoppen in de volgorde waarin de SSO- en JWT-configuraties zijn aangemaakt. Je kunt deze volgorde direct wijzigen vanuit de SSO-configuratielijst door middel van slepen en neerzetten of toetsenbordherschikking. De volgorde geldt zowel voor de primaire knoppen als voor de sectie Overige inlogopties .

Om inlogknoppen te herordenen:

1. Vanaf de Enterprise SSO-pagina kunt u een configuratie naar de nieuwe positie in de lijst slepen, of toetsenbordherschikking gebruiken. De lijst toont alle ingeschakelde SSO- en actieve JWT-configuraties in één samengevoegde lijst.
2. De nieuwe bestelling wordt automatisch opgeslagen en weergegeven op de inlogpagina van de lezer.

Lees voor meer informatie de opties Inlog-in herordenen.

Op de inlogpagina van de lezer staat

De inlogpagina die aan lezers wordt getoond, hangt af van twee factoren: de status van de schakelaar voor de standaard inlogpagina Uitschakelen en welke JWT- en SSO-configuraties momenteel actief zijn.

Regels die in alle staten gelden:

• Alleen actieve configuraties worden weergegeven. Inactieve configuraties worden nooit aan lezers getoond, ongeacht de toggle status.
• Het invoerveld voor domeinnaam wordt weergegeven wanneer de schakelaar AAN staat en minstens één JWT-configuratie actief is. Dit zorgt ervoor dat JWT-configuraties zonder zichtbare inlogknop bereikbaar blijven via domeininvoer.
• Als alle JWT- en SSO-configuraties inactief zijn terwijl de schakelaar AAN staat, krijgen lezers een bericht te zien dat er momenteel geen inlogopties beschikbaar zijn.
• Wijzigingen om status of configuratiestatus te wisselen gaan onmiddellijk in voor nieuwe lezersessies. Bestaande geauthenticeerde sessies worden niet beïnvloed.

Monitoring en audit

Auditlogging

Alle JWT-configuratieacties worden automatisch vastgelegd in het auditlogboek, wat een volledig en manipulatievrij bestand van wijzigingen biedt voor compliance- en beveiligingscontroledoeleinden.

Geregistreerde acties:

• Aanmaken, Bijwerken, Verwijderen
• Inschakelen, uitschakelen
• Regenereer Primaire Token, Regenereer Secundaire Token
• Directe JWT-login inschakelen/uitschakelen
• Schakel de standaard inlogpagina in/uit

Elke logboekvermelding registreert het actietype, tijdstempel (UTC), de identiteit van de beheerder die de actie uitvoerde, en de configuratienaam op het moment van de actie. Voor updateacties bevat het logboek de specifieke velden die zijn gewijzigd, samen met de vorige en nieuwe waarden. Tokenwaarden worden nooit geregistreerd; alleen het feit van rotatie wordt geregistreerd om de beveiliging van de inloggegevens te beschermen.

Logs worden minimaal 90 dagen bewaard. Toegang tot JWT-auditlogs is beperkt tot gebruikers met Security & Audit-rechten.

Om JWT-activiteitstracking mogelijk te maken:

1. Ga naar Instellingen () > Beveiliging & Audit > Teamauditing > Auditconfiguratie.
2. Schakel de relevante JWT-gebeurtenisschakelaars in.
3. Zodra ingeschakeld, verschijnt JWT-activiteit in het tabblad Teamauditing . Gebruik het dropdown Event en zoek op "JWT" om te filteren op eventtype.

Ontvangers van e-mailmeldingen:

Best practices

• Gebruik het secundaire geheime token als rotatiebuffer. Werk altijd eerst het secundaire token in je applicatie bij en roteer daarna het primaire token. Dit voorkomt authenticatiefouten tijdens de rotatie van de inloggegevens.
• Schakel JWT-configuraties uit in plaats van te verwijderen bij het troubleshooten. Uitschakelen behoudt je instellingen en laat je opnieuw activeren zonder opnieuw te configureren.
• Schakel Direct JWT-login alleen in wanneer JWT de enige authenticatiemethode is. Wanneer meerdere methoden actief zijn, schakel deze uit zodat lezers hun aanmeldoptie kunnen kiezen.
• Test de schakelaar 'Uitschakelen voor de standaard inlogpagina' in een staging-omgeving voordat je deze in productie inschakelt.
• Bekijk regelmatig het auditlogboek om onverwachte configuratiewijzigingen of tokenregeneraties te detecteren.
• Houd het aantal actieve JWT-configuraties binnen wat je actief gebruikt. Ongebruikte configuraties zorgen voor onnodige beheer-overhead en mogelijke blootstelling aan beveiliging.

FAQ