Inleiding

Zivver ondersteunt Single Sign-On (SSO) via Microsoft AD FS, zodat gebruikers met de inloggegevens van hun werkplek in Zivver kunnen inloggen. Deze handleiding legt uit hoe je als beheerder SSO instelt.

SSO werkt op basis van Security Assertion Markup Language (SAML). Hierbij is AD FS de Identity Provider (IdP) en Zivver de Service Provider (SP).

Om SSO in Zivver te kunnen activeren, heb je de volgende zaken nodig:

• Je bent beheerder.
• Je hebt toegang tot de AD FS management console op de AD FS server.

SSO instellen in AD FS

1. Open de AD FS Management Console.
2. Klik aan de rechterkant op Add Relying Party Trust.
3. Kies voor Claims aware wanneer je een keuze hebt tussen Claims aware en Non-claims aware.
4. Klik op Start.
5. Selecteer Import data about the relying party published online or on a local network.
6. Plak onder Federation metadata address (host name or URL) de URL https://app.zivver.com/api/sso/saml/meta.
7. Klik op Next.
   
   Zie je de foutmelding “An error occurred during an attempt to read the federation metadata. Verify that the specified URL or host name is a valid federation metadata endpoint. Verify your proxy server setting. For more information […]”?
   Voeg de volgende registersleutel toe aan de AD FS server en start de server vervolgens opnieuw op.
   Location: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
   DWORD name: SchUseStrongCrypto
   Value: 1
   Achtergrondinformatie
8. Geef Zivver op als naam voor de integratie.
9. Klik op Next.
10. Kies een Access Control Policy of kies anders voor Permit everyone.
    Met een Access Control Policy stel je in dat alleen gebruikers van een specifieke gebruikersgroep toegang hebben tot Zivver.
11. Klik op Next.
    Je ziet een samenvatting van de ingestelde AD FS-koppeling.
12. Controleer of alles goed staat ingesteld.
13. Klik op Next.
14. Laat bij Open the Edit Claim Rules dialog het vinkje staan.
15. Klik op Close.

Claim Rules instellen

Zivver moet informatie over de gebruiker uit de AD FS ophalen. Hiervoor moet je in de AD FS Management Console de Claim Rules instellen. Deze regels vertalen attributen uit AD FS naar waarden die Zivver kan lezen en gebruiken.
Als je net een AD FS-koppeling hebt aangemaakt, kom je vanzelf in het Edit Claim Issuance Policy scherm. Anders ga je naar Relying Party Trusts > Zivver > Edit Claim Issuance Policy in de AD FS Management Console om de Claim Rules handmatig te openen.

1. Klik op Add Rule.
2. Zorg dat Send LDAP Attributes as Claims is geselecteerd.
3. Klik op Next.
4. Vul bij Claim rule name een naam in, bijvoorbeeld AD Attributen.
5. Kies onder Attribute Store voor Active Directory.
6. In de eerste rij, selecteer als LDAP Attribute de waarde E-Mail-Addresses.
7. In de eerste rij, selecteer als Outgoing Claim Type de waarde E-Mail Address.
8. In de tweede rij, typ objectGUID in de kolom onder LDAP Attribute.
9. Druk op TAB op de toetsenbord.
10. Klik op objectGUID en selecteer objectGUID uit de lijst.
    Het selecteren van objectGUID uit de lijst is nodig omdat objectGUID niet standaard beschikbaar is in de lijst. De bovenstaande stappen zijn foutgevoelig dus controleer ze goed.
11. In de tweede rij, selecteer als Outgoing Claim Type de waarde https://zivver.com/SAML/Attributes/ZivverAccountKey.
    Zivver gebruikt ZivverAccountKey in het encryptieproces. Het is daarom belangrijk dat het nummer lang, uniek en willekeurig is. Bij voorkeur is dit nummer zelf gegenereerd en wordt het niet gebruikt in andere koppelingen of systemen. Als het niet mogelijk is om dit nummer zelf te genereren, dan is objectGUID een alternatief. Dit nummer wordt echter vaak gebruikt in andere koppelingen en vormt daarmee een veiligheidsrisico. Het gebruik van ObjectSID of andere AD-attributen wordt sterk afgeraden, omdat deze waarden makkelijk te raden zijn.
12. Klik op Finish om de claim rules op te slaan.
13. Klik op Add Rule om een tweede claim rule toe te voegen.
14. Kies voor de template Transform an Incoming Claim.
15. Klik op Next.
16. Vul bij Claim rule name een naam in, bijvoorbeeld E-mail transform.
17. Zet Incoming claim type op E-Mail Address.
18. Zet Outgoing claim type op Name ID.
19. Zet Outgoing name ID format op Email.
    Dit zorgt ervoor dat het e-mailadres van de gebruiker als primaire waarde doorgegeven wordt.
20. Klik op Finish.
    Je hebt nu de koppeling tussen Zivver en AD FS succesvol gerealiseerd.

SSO instellen in Zivver

1. Open je favoriete browser.
2. Log in op de WebApp.
3. Klik linksonder op de room_preferences Organisatie-instellingen.
4. Ga naar people_outline Gebruikersbeheer.
5. Ga naar Single Sign-on.
6. Selecteer Automatisch.
7. Plak de App-URL voor federatieve metagegevens.
   Gebruik op de AD FS server het PowerShell cmdlet Get-AdfsEndpoint -AddressPath "/FederationMetadata/2007-06/FederationMetadata.xml" om de AD FS metadata URL te achterhalen. De URL zal waarschijnlijk ongeveer in deze vorm opgebouwd zijn: https://<adfs.organisation_domain.tld>/FederationMetadata/2007-06/FederationMetadata.xml
   Maakt jouw organisatie gebruik van AD FS server welke alleen benaderbaar is vanaf een intern netwerk? Dan kan jouw AD FS server de metadata niet aanleveren via een URL aan Zivver, maar alleen via een XML-bestand. Ga naar de handleiding om een AD FS-koppeling in te stellen met Zivver voor een interne AD FS server en volg de stappen daar.
8. Klik op Opslaan.
9. Klik boven aan de pagina op key Single sign-on inschakelen.
   Je kan nu de Zivver 2FA uitschakelen of SSO testen.
   

Zivver 2FA vrijstelling (optioneel)

Een Zivver-account is standaard beveiligd met een extra inlogcode (2FA). Ook bij het inloggen via SSO zal Zivver standaard om een 2FA vragen bij inloggen. De 2FA bij het inloggen via SSO kan echter worden vrijgesteld. AD FS kan de Authentication Method doorgeven aan Zivver, om aan te tonen dat de inlog veilig genoeg is om geen 2FA te vragen. In de SAML-standaard heet dit Authentication Context.

Bij de volgende Authentication Methods vraagt Zivver bij het inloggen niet om een 2FA:

• urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos
• urn:federation:authentication:windows

Volg onderstaande stappen om de 2FA vrijstelling voor AD FS in Zivver in te stellen:

1. Log in op de WebApp.
2. Klik linksonder op de room_preferences Organisatie-instellingen.
3. Ga naar people_outline Gebruikersbeheer.
4. Ga naar Single Sign-on.
5. Scroll naar beneden tot de kaart Zivver 2FA uitzonderingen.
6. Vul in het veld Authenticatiecontexten die uitgezonderd worden de waarde in:
   • urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos
     
   • urn:federation:authentication:windows
7. Klik op Opslaan.
   Je hebt nu succesvol een 2FA vrijstelling ingesteld voor AD FS. Wanneer gebruikers nu inloggen via SSO met deze twee Authenticatie contexten, zal Zivver niet om 2FA vragen.

Inloggen in de WebApp met SSO

1. Ga naar de WebApp.
2. Vul je e-mailadres in.
3. Wat is je rol in Zivver?
   • Gebruiker: je wordt direct omgeleid naar het inlogscherm van jouw organisatie.
   • Beheerder: je kiest tussen je Zivver-wachtwoord en je werkplekinloggegevens om in te loggen.
4. Log in met de werkplekinloggegevens van jouw organisatie.
   Afhankelijk van een 2FA vrijstelling word je gevraagd om een extra inlogmethode. Bij een 2FA vrijstelling sla je de laatste stap over.
5. Vul je extra inlogmethode in.
   Je bent ingelogd in onze WebApp.

Inloggen in Outlook met SSO

In de Zivver Office Plugin in Outlook log je op de volgende manier in met SSO:

1. Klik op het tabblad Zivver.
2. Klik op Accounts beheren account_circle .
3. Klik op de link Voeg een account toe add_circle .
4. Selecteer het e-mailadres waarmee je wilt inloggen.
5. Klik op Ja, ik wil nu inloggen.
   Je wordt omgeleid naar het inlogscherm van je organisatie.
6. Log in met de werkplekinloggegevens van je organisatie.
   Afhankelijk van een 2FA vrijstelling word je gevraagd om een extra inlogmethode. Bij een 2FA vrijstelling sla je de laatste stap over.
7. Vul je extra inlogmethode in.
   Je bent ingelogd in Outlook.

Veld Gebruikersnaam op AD FS inlogpagina aanpassen (optioneel)

Toepasbaar: Windows Server 2012 R2 en Windows Server 2016.

AD FS ondersteunt het aanpassen van de inlogervaring op Windows Server 2012 R2 en Windows Server 2016. Hieronder staan drie mogelijkheden aangegeven om het veld Gebruikersnaam aan te passen op de AD FS inlogpagina.

• E-mailadres als inlognaam instellen
• Aangepaste inlognaam instellen
• Inlognaam standaard leeg laten

E-mailadres als inlognaam instellen

Zivver gebruikt het e-mailadres als inlognaam. Als je inlogt op de WebApp, dan wordt je e-mailadres automatisch doorgegeven aan AD FS. Als een gebruiker inlogt in AD FS met een User Principal Name (UPN) zoals contoso\jdoe, dan kan hij niet inloggen met het vooraf ingevulde e-mailadres. Dit kan verwarrend zijn voor gebruikers. Met de volgende stappen stel je AD FS zo in dat ook het e-mailadres als inlognaam wordt geaccepteerd:

1. Open Powershell op de primaire AD FS server.
2. Gebruik het volgende commando om een AD-attribuut als alternatief inlognaam in te stellen:
   Set-ADFSClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID mail -LookupForests Achtergrondinformatie
   

Met het volgende commando verwijder je het alternatief inlognaam weer:
Set-ADFSClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID $NULL -LookupForests $NULL

Aangepaste inlognaam instellen

Pas de AD FS onload.js aan om een aangepaste inlognaam in te stellen. Zo kan je het veld Gebruikersnaam invullen met een andere waarde dan bijvoorbeeld UPN.

Voeg hiervoor document.forms['loginForm'].UserName.value = 'klantdomein.local\\' toe aan de AD FS onload.js.
Gebruik Example 2 als voorbeeld gebruiken van dit Microsoft artikel.

Inlognaam standaard leeg laten

Pas de AD FS onload.js aan om het veld Gebruikersnaam standaard leeg te laten. Voeg hiervoor document.forms['loginForm'].UserName.value = '' toe aan de AD FS onload.js.
Gebruik Example 2 als voorbeeld gebruiken van dit Microsoft artikel.

Snelkoppeling naar de WebApp aanmaken (optioneel)

Gebruik onderstaande link om een snelkoppeling aan te maken, waarmee de gebruiker direct de WebApp kan openen zonder handmatig in te moeten loggen:

https://adfs.organisatie.nl/adfs/ls/idpinitiatedsignon.aspx?logintorp=https://app.zivver.com/SAML/Zivver

Vervang het deel https://adfs.organisatie.nl door de URL van de AD FS-server.

[[vertrouwde-netwerken-toevoegen-aan-ad-fs-optioneel]]

Vertrouwde netwerken toevoegen aan AD FS (optioneel)

Toepasbaar op Windows Server 2012 R2

Als jouw organisatie gebruik maakt van AD FS voor SSO kan je instellen dat gebruikers alleen kunnen inloggen in Zivver binnen een bepaalde IP-range. Wij raden het gebruik van vertrouwde netwerken in Zivver sterk af als je ook gebruik maakt van SSO. Stel daarom de IP-range in in AD FS.
Lees hier hoe je vertrouwde netwerken instelt in AD FS