Introductie

Zivver ondersteunt Single Sign-On (SSO) via HelloID van Tools4Ever, zodat gebruikers kunnen inloggen bij Zivver met hun werkaccount. Deze handleiding beschrijft hoe je SSO instelt als Zivver-beheerder.

SSO werkt op basis van Security Assertion Markup Language (SAML) v2.0. In dit scenario fungeert HelloID als Identity Provider (IdP) en Zivver als Service Provider (SP).

Om HelloID als IdP voor Zivver te configureren, heb je het volgende nodig:

1. Beheerdersrechten in Zivver.
2. Toegang tot de HelloID-beheerportal.

SSO configureren in HelloID

Een certificaat genereren of importeren

Voor de SSO-verbinding is een certificaat vereist. Als je organisatie nog geen certificaat heeft, volg dan deze stappen om een certificaat in HelloID te importeren of te genereren. In dit voorbeeld wordt een zelfondertekend certificaat gegenereerd:

1. Ga naar de HelloID-beheerportal.
2. Selecteer Settings.
3. Ga naar Certificates.
4. Importeer of genereer een certificaat in HelloID:
   • Genereer een nieuw zelfondertekend certificaat
   • Importeer een bestaand certificaat

Je beschikt nu over een certificaat. HelloID kan nu veilig communiceren met Zivver.

De Zivver HelloID-app installeren en configureren

Volg deze stappen om de Zivver SSO-applicatie toe te voegen en te configureren in HelloID.

1. Ga naar de HelloID-beheerportal.
2. Navigeer naar Applications.
3. Klik opnieuw op Applications.
4. Open de Application Catalog.
5. Zoek naar Zivver.
   Zivver zou in de lijst met resultaten moeten verschijnen. Als dat niet het geval is, neem dan contact op met Tools4Ever via hun supportpagina.
6. Selecteer Add om de Zivver-app aan de catalogus toe te voegen.
7. Klik op Next.
8. Wijzig op het tabblad Single Sign-On de waarde van Issuer naar de naam van het portaal van je organisatie.
9. Selecteer in het dropdownmenu X509 Certificate het certificaat dat je eerder hebt geïmporteerd of gegenereerd, of kies een bestaand certificaat.
10. Klik op Next.
11. Kies op het tabblad Self Service of je automatisch een Self Service-product wilt aanmaken.
    Dit maakt de applicatie beschikbaar voor gebruikers op aanvraag.
12. Klik op Next.
13. Klik op het tabblad Finish op Save om de applicatie toe te voegen aan HelloID.
    De applicatie is nu geconfigureerd in HelloID.

Applicatiemetadata

Metadata is vereist voor de verbinding tussen HelloID en Zivver. Volg deze stappen om deze op te halen:

1. Selecteer de Zivver-applicatie in de HelloID-catalogus.
2. Klik in het toepassingsoverzicht op Edit om de eigenschappen te bekijken.
3. Klik rechtsboven op Download metadata.
4. Kies de optie om de URL te kopiëren.
5. Bewaar deze URL.
   Die heb je later nog nodig.

Attributen configureren

1. Selecteer de Zivver-applicatie in de HelloID-catalogus.
2. Klik in het toepassingsoverzicht op Edit om de eigenschappen te openen.
3. Klik op het tabblad Configuration op Configure Mapping Set.
4. Klik op Proceed.
5. Klik naast SAML User op Change mappings.
6. Kies één van de volgende opties:
   • Mapping met HelloID ZivverAccountKey: voor organisaties die geen Microsoft Active Directory gebruiken als bron voor gebruikersdata in HelloID.
   • Mapping met Active Directory ZivverAccountKey: voor organisaties die Microsoft Active Directory gebruiken als bron voor gebruikersdata in HelloID.

Mapping met HelloID

Je hoeft de mapping niet aan te passen. Standaard wordt het e-mailadres in HelloID gebruikt, en de HelloID UserGUID dient als ZivverAccountKey.

Mapping met Active Directory

Als je Zivver-accounts worden aangemaakt op basis van gegevens uit Microsoft Active Directory, moet HelloID dezelfde informatie (dus gebruikersnaam en ZivverAccountKey) gebruiken bij het aanmaken en inloggen van accounts. Als deze configuratie niet correct is, kan HelloID de postvakken van gebruikers niet ontsleutelen en worden gebruikers gevraagd een wachtwoord in te voeren.

1. Controleer of een Active Directory-configuratie is ingesteld voor je HelloID-organisatie.
   Maak of beheer een Active Directory-configuratie
2. Zorg ervoor dat het “objectGUID”-attribuut van Active Directory is gekoppeld aan een HelloID-attribuut.
   Bewerk een mapping set
3. Vul deze informatie in onder Mapping for SAML User (referentieschermvoorbeeld):

4. Klik op het f(x)-icoon naast {{user.attributes.ADObjectGUID}}.
5. Selecteer Encode to Base64.
6. Sla de wijzigingen op.
7. Sluit het configuratievenster.

Opmerking

Het e-mailadres dat vanuit AD naar HelloID wordt gestuurd, is standaard gekoppeld aan {{user.contactEmail}}. Als dit in je organisatie anders is, vervang dan {{user.contactEmail}} door het attribuut dat het e-mailadres van de gebruiker bevat uit AD.

SSO configureren in Zivver

In deze sectie lees je hoe je de HelloID-metadata importeert in Zivver. De metadata-URL heb je eerder opgehaald in Applicatiemetadata.

1. Log in op de Zivver WebApp.
2. Klik op Organisatie-instellingen.
3. Vouw Gebruikersbeheer uit.
4. Klik op Single Sign-on.
5. Selecteer Automatisch Aanbevolen.
6. Plak de URL die je in de vorige stap hebt gekopieerd.
7. Klik op Opslaan.
8. Klik op Single sign-on inschakelen in de rechterbovenhoek.
   Zivver is nu geconfigureerd voor Single Sign-On.

Uitzondering op 2FA in Zivver (optioneel)

Standaard zijn Zivver-accounts beveiligd met tweestapsverificatie (2FA). 2FA is ook vereist bij inloggen via SSO. Je kunt echter 2FA in Zivver uitschakelen voor gebruikers die via SSO via HelloID inloggen. Hiervoor moet je weten welke Authentication Method vanuit HelloID naar Zivver wordt doorgestuurd om deze uitzondering te configureren. In SAML heet dit de Authentication Context.

HelloID retourneert altijd de volgende Authentication Context in de SAML-response:

• urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport

Waarschuwing

Het uitsluiten van de bovenstaande Authentication Method zorgt ervoor dat gebruikers nooit om 2FA worden gevraagd bij het inloggen in Zivver. Dit kan een beveiligingsrisico vormen omdat gebruikers dan zonder 2FA kunnen inloggen. Zivver raadt sterk aan om 2FA binnen HelloID af te dwingen als je deze optie gebruikt. Zie 2FA Management in de HelloID-documentatie.

Volg deze stappen om de 2FA-uitzondering voor HelloID in Zivver te configureren:

1. Log in op de Zivver WebApp.
2. Klik op Organisatie-instellingen.
3. Vouw Gebruikersbeheer uit.
4. Klik op Single Sign-on.
5. Scroll naar de kaart Zivver 2FA uitzonderingen.
6. Vul in het veld Authenticatiecontexten die uitgezonderd worden de volgende waarde in:
   • urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
7. Klik op Opslaan.
   Je hebt nu met succes een 2FA-uitzondering ingesteld voor HelloID. Wanneer gebruikers via SSO inloggen, zal Zivver niet opnieuw om 2FA vragen.

Inloggen in de WebApp met SSO

1. Ga naar de Zivver WebApp.
2. Voer je e-mailadres in.
3. Afhankelijk van je rol in Zivver:
   • Gebruikers worden direct doorgestuurd naar het inlogscherm van hun organisatie.
   • Beheerders kunnen kiezen tussen inloggen met hun Zivver-wachtwoord of hun werkaccount.
4. Log in met je werkaccount.
   Afhankelijk van of er een 2FA-uitzondering geldt, kan je gevraagd worden om een extra inlogmethode. Als er een 2FA-uitzondering is ingesteld, wordt deze stap overgeslagen.
5. Voer je extra inlogfactor in.
   Je bent nu ingelogd in de Zivver WebApp.

Inloggen in Outlook met SSO

In de Zivver Office Plugin voor Outlook kun je via SSO inloggen met de volgende stappen:

1. Klik op het tabblad Zivver.
2. Klik op Accounts beheren.
3. Klik op de link add_circle Voeg een account toe.
4. Voer het e-mailadres in waarmee je wilt inloggen.
5. Klik op Volgende.
   Je wordt doorgestuurd naar het inlogscherm van je organisatie.
6. Log in met je werkaccount.
   Afhankelijk van of er een 2FA-uitzondering geldt, kan je gevraagd worden om een extra inlogmethode. Als er een 2FA-uitzondering is ingesteld, wordt deze stap overgeslagen.
7. Voer je extra inlogfactor in.
   Je bent nu ingelogd in Outlook.