YusralInloggen met Microsoft (SSO)
Je collega's laten inloggen met hun Microsoft-werkaccount in plaats van een apart wachtwoord.
Met SSO loggen je collega's in met hun Microsoft-account van het werk, via Microsoft Entra ID (vroeger Azure AD). Ze onthouden geen extra wachtwoord, en wie bij jullie vertrekt en in Microsoft wordt uitgeschakeld, raakt ook niet meer in Yusral.
Je hebt de rol Eigenaar of Admin nodig in Yusral, iemand die app-registraties mag maken in jullie Microsoft-omgeving, en toegang tot de DNS van jullie e-maildomein.
1. Een app-registratie maken in Microsoft
Doe dit in het Microsoft Entra-beheercentrum, bij App-registraties > Nieuwe registratie.
- Geef de app een naam die je collega's herkennen, bijvoorbeeld de naam van Yusral.
- Kies bij de accounttypes: alleen accounts in deze organisatie.
- Voeg bij Omleidings-URI een Web-adres toe. Welk adres dat is, zie je in Yusral bij Azure redirect-URI (stap 2). Kopieer het precies.
- Maak onder Certificaten en geheimen een nieuw clientgeheim aan. Noteer de waarde meteen: Microsoft toont ze maar één keer.
Op de overzichtspagina van de app vind je de Directory-id (tenant) en de Toepassings-id (client).
2. SSO instellen
Ga naar Instellingen > Organisatie, naar het blok Toegang en beveiliging. Klik bij Inloggen met Microsoft (SSO) op Instellen. Het paneel SSO-configuratie opent aan de zijkant. Bovenaan staat de Azure redirect-URI die je in stap 1 nodig had, met een knop om hem te kopiëren.
| Veld | Wat je invult |
|---|---|
| E-maildomein | Het domein van jullie werkadressen, zoals voorbeeld.be |
| Tenant ID | De Directory-id (tenant) uit Microsoft |
| Client ID | De Toepassings-id (client) uit Microsoft |
| Client secret | De waarde van het clientgeheim |
Klik op SSO configureren. Je ziet dan Domein nog niet geverifieerd. Tot je de volgende stap gedaan hebt, kan niemand met SSO inloggen.
3. Je domein verifiëren
Zo bewijs je dat het e-maildomein van jullie is. In het paneel staat een TXT-record met een Naam en een Waarde, elk met een knop om te kopiëren.
- Voeg dat TXT-record toe in de DNS van je domein, bij je domeinbeheerder of hostingpartij. De naam begint met
_sso-verification., gevolgd door je domein. - Klik daarna in Yusral op Domein verifiëren.
Lukt het, dan zie je SSO is actief. In het blok Toegang en beveiliging staat dan Actief voor met je domein. Een DNS-wijziging heeft soms even tijd nodig. Lukt verifiëren niet meteen, probeer het later opnieuw.
Een domein dat een andere organisatie al geverifieerd heeft, kun je niet gebruiken.
4. Collega's uitnodigen
SSO maakt geen accounts aan voor iedereen in jullie Microsoft-omgeving. Nodig collega's eerst uit zoals altijd, zie Leden en rollen. Zo bepaal je zelf wie toegang krijgt, ook al heeft iedereen een Microsoft-account.
Op de inlogpagina herkent Yusral jullie domein zodra iemand zijn e-mailadres typt. Onder het veld staat dan Je organisatie logt in met Microsoft. en de hoofdknop wordt Doorgaan met Microsoft. Met Inloggen met een wachtwoord kiest iemand toch voor zijn wachtwoord. Is SSO verplicht, dan lukt dat niet, zie hieronder.
SSO verplichten
Zodra je domein geverifieerd is, verschijnt in het blok Toegang en beveiliging de schakelaar SSO verplichten. Zet je die aan, dan logt iedereen met een adres op jullie domein alleen nog in met Microsoft. Inloggen, een account maken, een wachtwoord instellen bij een uitnodiging en een wachtwoord opnieuw instellen lukt dan niet meer met een wachtwoord.
Eigenaars vallen er niet onder: zij houden hun wachtwoord, voor als Microsoft niet werkt.
Verwijder je SSO, dan staat SSO verplichten ook weer uit.
Goed om te weten
- Tweestapsverificatie: wie met Microsoft inlogt, valt niet onder Tweefactorauthenticatie verplichten. De extra controle regel je bij Microsoft.
- Geheim verlopen: een clientgeheim is maar een tijd geldig, bijvoorbeeld 6 of 24 maanden. Maak voor het verloopt een nieuw aan in Microsoft. Open het paneel met Beheren, vul de velden opnieuw in en klik op Configuratie vervangen. Gebruik je hetzelfde domein, dan blijft het geverifieerd. Doe je niets, dan kan niemand nog inloggen met Microsoft.
- SSO uitzetten: met SSO verwijderen in het paneel stop je het inloggen met Microsoft. Bevestig met Verwijderen. Collega's zonder wachtwoord vragen er dan een aan met Wachtwoord vergeten? op de inlogpagina.