SSO instellen met De Operator: Entra ID in 3 stappen
Single Sign-On configureren voor je organisatie met Microsoft Entra ID. Self-service setup in drie stappen: configureren, testen, activeren.
| De Operator
Je medewerkers loggen dagelijks in op tientallen applicaties. Elke app heeft een eigen wachtwoord, een eigen loginpagina en een eigen sessiebeheer. Voor de medewerker is dat gedoe. Voor IT is het een beveiligingsrisico. Vergeten wachtwoorden, hergebruikte wachtwoorden, accounts die actief blijven nadat iemand uit dienst gaat.
Single Sign-On lost dit op. Medewerkers loggen in met hun bestaande bedrijfsaccount, hetzelfde account dat ze gebruiken voor Outlook, Teams en SharePoint. Geen apart wachtwoord voor De Operator. IT behoudt controle: als iemand uit dienst gaat, wordt de toegang tot alle gekoppelde applicaties in een keer ingetrokken.
De Operator ondersteunt SSO via Microsoft Entra ID (voorheen Azure Active Directory). De setup is self-service: een IT-admin configureert de koppeling in drie stappen, test de verbinding en activeert SSO. Geen support tickets, geen implementatietraject.
Wat je nodig hebt
SSO is beschikbaar op het Enterprise plan van De Operator. Daarnaast heb je nodig:
- Toegang tot het Microsoft Azure Portal (portal.azure.com) met rechten om app-registraties aan te maken - Een Entra ID (Azure AD) tenant waar je medewerkers in zitten - Admin-rechten in De Operator
De technische koppeling gebruikt het OpenID Connect protocol. De Operator handelt PKCE, state-validatie en JWT-verificatie automatisch af. Je hoeft alleen de Azure-kant te configureren.
Stap 1: Azure App Registration
Open het Azure Portal en ga naar Entra ID, vervolgens App registrations, en klik op New registration.
Vul het volgende in: - Name: De Operator SSO - Supported account types: Accounts in any organizational directory (multi-tenant) - Redirect URI: Web, https://api.deoperator.nl/auth/sso/callback
Klik op Register. Kopieer de Application (client) ID. Die heb je straks nodig.
Ga naar Certificates & secrets en klik op New client secret. Geef het een beschrijving (bijvoorbeeld "De Operator SSO") en kies een looptijd. Kopieer de secret value direct. Azure toont deze maar een keer.
Ga naar Authentication en controleer dat onder Supported account types "Accounts in any organizational directory" is geselecteerd. Controleer met je IT-beheerder of deze accountinstelling past bij de tenants die je wilt toelaten.
Azure Portal De Operator +-----------------+ +------------------+ | App Registration| | Instellingen | | | | | | Client ID ----+-------------->-+ Client ID | | Secret ----+-------------->-+ Client Secret | | Tenant ID ----+-------------->-+ Tenant ID | | Redirect URI |<--------------+- Callback URL | +-----------------+ +------------------+
Stap 2: Configureren in De Operator
Log in als admin in De Operator en ga naar Instellingen. Scroll naar de sectie Single Sign-On. Klik op het uitklapmenu voor de Azure setup instructies als je de stappen nogmaals wilt zien.
Vul de velden in: - Tenant ID: je Azure AD tenant ID (te vinden in Azure Portal onder Overview) - Client ID: de Application (client) ID uit stap 1 - Client Secret: de secret value uit stap 1 - Domeinen: het e-maildomein van je organisatie (bijvoorbeeld bedrijf.nl)
Optioneel kun je instellen: - Standaard rol: de rol die nieuwe gebruikers krijgen (member of viewer) - Automatisch aanmaken: of nieuwe gebruikers automatisch een account krijgen bij eerste SSO-login - SSO verplicht: of wachtwoord en magic link login uitgeschakeld worden
Klik op Opslaan. De configuratie wordt veilig opgeslagen met AES-GCM versleuteling voor het client secret.
Stap 3: Testen en activeren
Na het opslaan verschijnt stap 2: Test verbinding. Klik op de testknop. De Operator controleert of het OIDC discovery document opgehaald kan worden en of het client secret correct versleuteld is opgeslagen.
Als de test slaagt, verschijnt stap 3: Activeren. Klik op SSO activeren. Vanaf dat moment kunnen medewerkers met een e-mailadres op het geconfigureerde domein inloggen via SSO.
De loginpagina detecteert automatisch of een e-maildomein SSO heeft. Wanneer een medewerker een @bedrijf.nl adres invult, verschijnt de knop "Inloggen via [organisatienaam]". Een klik stuurt ze naar het Microsoft-inlogscherm. Als ze al ingelogd zijn in Microsoft, is het vaak een naadloze redirect terug naar De Operator.
Wat er onder de motorkap gebeurt
De SSO-flow gebruikt het OpenID Connect protocol met PKCE (Proof Key for Code Exchange). Daarbij worden controles op onder meer state, nonce en het ontvangen token gebruikt.
Medewerker De Operator Microsoft Entra ID | | | | 1. Email invullen | |---------------->| | | | 2. SSO discover | | | (domein check) | | 3. Klik SSO | | |---------------->| | | | 4. Redirect | | |------------------>| | | | 5. Authenticatie | | 6. Code terug | | |<------------------| | | 7. Token exchange | | |------------------>| | | 8. ID token | | |<------------------| | | 9. Validatie | | 10. Ingelogd | | |<----------------| |
Veelgestelde vragen
Kan ik SSO verplicht maken? Ja. In de SSO-instellingen zet je "SSO verplicht" aan. Wachtwoord en magic link login worden dan uitgeschakeld voor je organisatie. Alleen SSO werkt nog. Dit is handig als je organisatie wil afdwingen dat iedereen via het bedrijfsaccount inlogt.
Wat als een medewerker nog geen account heeft? Als "Automatisch aanmaken" aan staat, wordt er bij de eerste SSO-login automatisch een account aangemaakt in De Operator met de standaardrol. Als deze optie uit staat, ziet de medewerker een melding dat hun aanvraag bij IT is ingediend. De admin kan de aanvraag goedkeuren of afwijzen in de instellingen.
Werkt SSO naast wachtwoord en magic link? Ja, standaard zijn alle drie de methodes actief. Je kunt per methode aan- en uitzetten welke beschikbaar zijn.
Wat kost SSO? SSO is onderdeel van het Enterprise plan. Neem contact op voor pricing.
Is mijn client secret veilig opgeslagen? Ja. Het client secret wordt versleuteld opgeslagen met AES-GCM encryptie. Het origineel is na opslaan niet meer in te zien.