SSO Instellen

Het instellen van SSO is een uitwisseling van SAML-metadata tussen uw organisatie en Deque. Geen van beide partijen heeft toegang nodig tot de systemen van de ander.

Vereisten

Voordat u begint, zorg ervoor dat u het volgende hebt:

• Beheerdersrechten tot uw identiteitsprovider
• De lijst van Deque-producten binnen de scope
• Elke e-maildomein waarmee uw gebruikers inloggen, inclusief subdomeinen
• Een testgebruiker die al bestaat in uw identiteitsprovider
• Technische contacten die SAML kunnen configureren en de verbinding kunnen testen

Het Installatieproces

Het instellen verloopt in drie fases. Voor IdP-geïnitieerde login herhaalt het proces zich voor elk Deque-product.

SSO Aanvragen

Neem contact op met helpdesk@deque.com of uw Deque-vertegenwoordiger met de volgende informatie:

• De naam van uw organisatie
• Elke e-maildomein binnen de scope
• De Deque-producten binnen de scope
• Uw identiteitsprovider
• Of u SP-geïnitieerde of IdP-geïnitieerde login wilt
• Uw technische contacten

Deque stuurt u vervolgens een Serviceprovider Entity ID en SP-metadata (XML) voor elk product. Voor IdP-geïnitieerde installaties ontvangt u één Entity ID per product.

Uw Inlogstroom Kiezen

Deque ondersteunt twee SSO-inlogstromen. Kies op basis van de mogelijkheden van de identiteitsprovider van uw organisatie:

Beide stromen zijn veilig en SAML 2.0-compatibel. Ga verder naar het gedeelte dat overeenkomt met uw keuze hieronder.

SP-geïnitieerde Flow Configuratie

Voor SP-geïnitieerde login beheert Deque de configuratie van de Service Provider. Jouw rol is om Deque's metadata in jouw identiteitsprovider te importeren.

SAML-instellingen voor SP-geïnitieerde Login

Slechts één SAML-instelling is uniek voor jouw organisatie:

Metadata Importeren

Importeer de SP-metadata (XML-bestand of URL) die Deque heeft geleverd:

• Als jouw identiteitsprovider een optie "metadata importeren" of "metadata URL" heeft, gebruik dan direct de metadata-URL van Deque.
• Anders download je het XML-bestand en upload je het naar jouw identiteitsprovider.
• Jouw IdP vult de meeste instellingen automatisch in; er is geen extra SAML-configuratie vereist.

Na het importeren van Deque's metadata, ga verder naar Testen hieronder.

IdP-geïnitieerde Flow Configuratie

Voor IdP-geïnitieerde login configureer je handmatig een SAML-applicatie in jouw identiteitsprovider met behulp van Deque's metadata.

Het Selecteren van de Entity ID-waarde

De Entity ID is het entityID attribuut van het md:EntityDescriptor element in het metadata-bestand dat Deque heeft geleverd. De waarde eindigt met /clients/<client name>. Bijvoorbeeld:

https://auth.deque.com/.../axe.<your-domain>/endpoint/clients/axe-login-idp

Deze enkele waarde wordt op twee plaatsen gebruikt: de Entity ID en de Reply URL (of ACS URL). Voer dezelfde waarde in voor beide velden.

SAML-instellingen voor IdP-geïnitieerde Login

Deze instellingen zijn van toepassing op elke identiteitsprovider voor IdP-geïnitieerde login:

Attribuutmapping

Stuur de volgende attributen zodat voornaam en achternaam bij de eerste aanmelding worden geïmporteerd:

Het attribuutnaamformaat verschilt per provider. Okta en Microsoft Entra ID gebruiken Unspecified; PingFederate gebruikt urn:oasis:names:tc:SAML:2.0:attrname-format:uri. Als het formaat onjuist is ingesteld, worden namen niet geïmporteerd en moeten gebruikers deze invoeren bij de eerste aanmelding.

Gebruikers Toewijzen

Wijs de gebruikers en groepen toe die toegang moeten hebben. De meeste identiteitsproviders blokkeren de aanmelding voor gebruikers die niet zijn toegewezen. Toewijzing bepaalt wie kan authenticeren; het geeft geen toegang tot Deque-producten.

Specifieke Configuratie per Provider

Volg de handleiding voor jouw identiteitsprovider:

• Okta
• Microsoft Entra ID
• PingFederate

Elke andere SAML 2.0-conforme provider wordt ondersteund. Gebruik de bovenstaande SAML-instellingen en raadpleeg de documentatie van jouw provider voor de locatie van elk veld.

Jouw Metadata naar Deque Sturen

Nadat u uw identiteitsprovider heeft geconfigureerd, stuurt u uw metadata naar Deque. Stuur ofwel een metadata-URL of een geëxporteerd XML-bestand; beide bevatten de waarden die Deque nodig heeft:

Alleen voor IdP-Gestarte Login: IdP-Gestarte Start-URL

Stuur naast uw metadata ook uw IdP-gestarte start-URL naar Deque. Deze waarde is niet opgenomen in uw metadata en moet afzonderlijk worden verzonden:

Deque importeert vervolgens uw SSO-URL en certificaat, stelt handtekeningvalidatie in en bevestigt wanneer de verbinding klaar is voor testen. De verbinding blijft uitgeschakeld totdat u live gaat, zodat deze uw bestaande gebruikersinlog niet kan beïnvloeden.

Testen

Bevestig het volgende:

1. De gebruiker bereikt uw inlogpagina en authenticeert, inclusief multi-factor authenticatie.
2. De gebruiker keert terug naar Deque en komt in het product.
3. De naam en het e-mailadres van de gebruiker zijn correct in hun Deque-profiel.
4. Een gebruiker zonder een bestaand Deque-account wordt correct aangemaakt.
5. Een gebruiker met een bestaand Deque-account voltooit de accountkoppeling succesvol.

Accountkoppeling

Gebruikers die al een Deque-login hebben, moeten de koppeling tussen hun Deque-account en uw identiteitsprovider bevestigen bij hun eerste SSO-aanmelding. Deque stuurt een bevestigingsmail, en de gebruiker selecteert de link om het proces te voltooien. Dit gebeurt één keer per gebruiker.

Livegang

Zodra de tests geslaagd zijn en uw gebruikers op de hoogte zijn gebracht, geef aan Deque door wanneer u de verbinding permanent moet inschakelen. Vanaf dat moment logt elke gebruiker op het geactiveerde domein in via uw identiteitsprovider.

Basis-URL's

Gebruik de basis-URL voor uw regio of toegewezen instantie.