Thema: Single Sign-on (SSO)

Single sign-on (afgekort SSO) stelt eindgebruikers in staat om eenmalig in te loggen waarna automatisch toegang wordt verschaft tot meerdere applicaties en informatiebronnen in het netwerk van de organisatie.

Bijvoorbeeld: een gebruiker logt in op zijn / haar PC waarna achter de schermen met behulp van communicatie-protocollen ook automatisch ingelogd kan worden op bijvoorbeeld netwerkvoorzieningen. De eindgebruiker hoeft hierdoor niet iedere keer opnieuw in te loggen, en het inlogscherm wordt niet langer getoond.

De voordelen van single sign-on zijn:

• Eenvoud voor de gebruiker: één authenticatiemethode voor talloze applicaties
• De gebruiker is productiever: minder tijd kwijt aan procedures, opzoeken etc.
• Biedt de mogelijkheid om de enige overgebleven aanmeldprocedure te verscherpen en het digitale netwerk veiliger te maken.

SSO methodes

Er zijn verschillende SSO-technieken voor handen. Op dit moment bieden wij met Comm’ant 2 mogelijkheden:

• Authenticatie op basis van de lokale / on-prem Active Directory van uw Windows serveromgeving
  Deze methode veronderstelt dat de server waar de Comm’ant applicatie op draait, in het lokale netwerk van de organisatie is opgenomen. Comm’ant staat in dit geval alleen gebruikers toe die ook daadwerkelijk op het lokale netwerk zijn aangemeld. Op basis van de Windows netwerk SID (unieke identificatie van de gebruiker) wordt gematched met de Comm’ant gebruikersbestand.
• Authenticatie op basis van de Microsoft Azure Active Directory (Azure AD tenant)
  Deze methode authenticeert de gebruiker tegen de Microsoft Azure Active Directory van uw organisatie. Omdat deze methode niet is gebonden aan het lokale netwerk kan hij perfect samenwerken met onze cloud-oplossing. Het Comm’ant managementsysteem kan binnen elke cloud-omgeving (die van Comm’ant, maar ook bijvoorbeeld van Azure) gehost worden, maar toch alleen beschikbaar zijn voor gebruikers die met uw Active Directory worden gematched.
  Deze methode heeft nog een ander voordeel: u kunt eenvoudiger externe gebruikers (tijdelijk) toegang bieden tot het managementsysteem, zonder dat toegang tot uw interne netwerk noodzakelijk is. Verderop hier meer over.

SSO en gebruikerssynchronisatie

Een Single Sign-on oplossing biedt nog een ander bijzonder praktisch voordeel: het kan het gebruikersbeheer een stuk vereenvoudigen.

Het Comm’ant systeem werkt met gebruikers op naam. Door gebruikers zich te laten identificeren, hebben zij toegang tot informatie die op hun functie is toegesneden. Deze gebruikers moeten uiteraard in het Comm’ant systeem opgevoerd worden.

Maar als u gebruik maakt van een van de hierboven genoemde SSO-oplossingen, wordt er een proces ingericht dat ervoor zorgt dat er elke nacht (of vaker als u dat wenst) een synchronisatie plaatsvindt tussen de gebruikers in uw Active Directory (on-prem of in de Azure cloud) en die in Comm’ant. Nieuwe gebruikers worden automatisch aan Comm’ant toegevoegd. Gebruikers die niet meer in de Active Directory voorkomen, zijn ook niet meer in Comm’ant zichtbaar (en hebben uiteraard ook geen toegang meer).

Veelal worden er specifiek voor Comm’ant 1 of meerdere Security Groups binnen uw Active Directory ingericht. Bijvoorbeeld 1 groep voor “Alle medewerkers” en 1 groep voor “Gasten / Externen”. Hiermee heeft u het Comm’ant gebruikersbeheer eenvoudig bij uw IT-organisatie belegd.

Na elke synchronisatie wordt er, ter bevestiging / controle een specifiek synchronisatieverslag verzonden naar de aangewezen beheerder.

Met de SSO Azure oplossing in combinatie met Self-service Group management bent u nog flexibeler. Lees hieronder meer over Self-service Group management.

Single Sign-on met gastgebruikers

Werkt u met Single Sign-on en wilt u naast de eigen medewerkers ook gastgebruikers toegang geven tot uw Comm’ant omgeving? Dan is SSO via Azure AD met meerdere Security Groups een effectieve oplossing.

• laat gasten via SSO inloggen met hun eigen Microsoft account  (of geef uw gasten tijdelijk een Windows account van uw bedrijf).
• houdt goed zicht op wie de betreffende gastgebruikers zijn.
• leg het beheer bij de direct verantwoordelijke (functioneel of applicatiebeheerder).

De SSO configuratie wordt in eerste aanleg ingeregeld voor uw eigen medewerkers, zij die een Microsoft account met inlognaam hebben in uw Active Directory.

In de Active Directory wordt een security group aangewezen, waar de geselecteerde gebruikers in zijn opgenomen en deze security group wordt aan de Comm’ant omgeving gekoppeld.

Wanneer u externe of gast-gebruikers toegang wilt verlenen tot uw Comm’ant systeem kunt u binnen uw Azure AD daar één of meerdere extra Security Groups voor aanmaken en deze via Self-service Group management beheren. Als een functioneel of applicatiebeheerder de juiste rechten binnen de Azure beheeromgeving krijgt toegewezen kan hij of zij eenvoudig via een web-interface externe gebruikers aan deze groepen toevoegen en weer verwijderen.

Hoe werkt Self-service Group management?

Als u als functioneel of applicatiebeheerder de juiste rechten heeft toegewezen gekregen door uw IT-organisatie of Azure AD beheerder, kunt u via de MyApps-beheeromgeving van Microsoft Azure de gebruikers beheren.

• Ga naar https://myapps.microsoft.com/

• En ga via menu “Mijn apps” naar “Mijn groepen”

Als het goed is heeft uw IT-organisatie al een speciale groep aangemaakt die u kunt beheren. In dit voorbeeld wordt deze “Comm’ant X externe gebruikers” genoemd.

• Selecteer deze groep

• Via het plus-teken aan de rechterzijde kunt u gebruikers toevoegen.

• U kunt een gebruiker toevoegen door het betreffende e-mailadres op te geven en op “Toevoegen” te klikken.
• Voorwaarde is dat aan het opgegeven e-mailadres een Microsoft account is gekoppeld. Als dit niet het geval is, zal de gebruiker ook niet worden geaccepteerd.
• Als de externe gebruiker niet over een Microsoft account beschikt kan hij / zij deze eenvoudig hier aanmaken: https://account.microsoft.com/

Als de nieuwe gebruiker is geaccepteerd verschijnt een bevestigend scherm:

• Klik op “OK” om verder te gaan.
• De gebruiker in kwestie ontvangt per e-mail een uitnodiging die hij / zij zal moeten accepteren om vervolgens toegang te krijgen tot de Comm’ant applicatie.

Het e-mailbericht ziet er ongeveer zo uit:

Belangrijk: afhankelijk van de instellingen en het moment van toevoegen van de gebruiker aan de Securiy Group, kan het nog tot 24 uur duren voordat de gebruiker daadwerkelijk toegang heeft tot uw Comm’ant managementsysteem, nadat hij / zij de uitnodiging heeft geaccepteerd. Het synchronisatieproces moet immers nog plaatsvinden. Dat gebeurt meestal ’s-nachts.

De eerstvolgende keer dat de nieuwe gebruiker naar het adres van uw Comm’ant managementsysteem gaat zal hij / zij worden geconfronteerd met het Microsoft inlogscherm van uw organisatie. Lees hier meer over inloggen met SSO.