Hoe werkt de Single Sign-On (SSO) koppeling van Microsoft Azure van BinnenBeter?In plaats van direct te koppelen met de omgeving van de gemeente, hebben we ervoor gekozen om een aparte tenant specifiek voor BinnenBeter aan te maken. Dit houdt in dat BinnenBeter zijn eigen aparte identiteitsomgeving heeft, gescheiden van de gemeentelijke omgeving. Om gebruikers van de gemeente toegang te geven tot BinnenBeter middels SSO, worden ze als gastgebruiker toegevoegd aan de tenant van BinnenBeter. Hierbij worden geen persoonlijke gegevens aan de tenant toegevoegd, aangezien de gebruiker alleen als gast wordt toegevoegd. Er is gekozen voor deze aanpak omdat deze de flexibiliteit biedt om ook aannemers uit te nodigen voor het gebruiken van SSO.Beheer van gebruikersHet beheer van gebruikers blijft binnen BinnenBeter, waardoor de gemeente kan bepalen welke gebruikers toegang hebben. Een gebruiker moet eerst in BinnenBeter zijn toegevoegd, waar wordt bepaald welke gebruikersrol en welke toestemmingen deze gebruiker heeft. Vanuit hier kan de gemeente ook de SSO opties beheren: ze kunnen een gebruiker vanuit de applicatie direct uitnodigen voor SSO en afdwingen dat een gebruiker enkel met SSO kan inloggen.Wanneer een gebruiker enkel met SSO kan inloggen en als gebruikers verwijderd wordt vanuit de eigen Azure omgeving, dan heeft deze ook geen toegang meer tot BinnenBeter, ondanks dat het gebruikersaccount in BinnenBeter nog kan bestaan.Daarnaast kan een gebruiker ook uit BinnenBeter verwijderd worden. Dan kan deze gebruiker ook niet meer met SSO inloggen, ook niet als deze nog als gastgebruiker in de Microsoft Azure tenant van BinnenBeter geregistreerd staat. Toepassing van gemeentelijke access policiesBinnen de SSO-koppeling blijven de access policies van de gemeente van kracht voor de gebruikers. Dit betekent dat de rechten en beperkingen die de gemeente heeft ingesteld voor hun gebruikers, ook gelden wanneer ze toegang krijgen tot BinnenBeter.Naast de bestaande access policies van de gemeente kunnen we extra beveiligingsmaatregelen instellen op de tenant van BinnenBeter. Hierdoor kunnen we specifieke vereisten of restricties toevoegen die alleen gelden voor toegang tot BinnenBeter, zonder de rest van de gemeentelijke omgeving te beïnvloeden.Authenticatie met Microsoft-accountDe genodigde gebruiker ontvangt een uitnodigingsmail van BinnenBeter met een link naar de inlogpagina. Daar loggen ze in met hun eigen Microsoft-account, waardoor de authenticatie via Azure AD verloopt.Na het selecteren van hun Microsoft-account, worden gebruikers gevraagd om hun identiteit te verifiëren. Dit kan worden gedaan via verschillende methoden, waaronder het gebruik van de Microsoft Authenticator-app. Gebruikers openen de app, verifiëren hun identiteit met een verificatiecode of biometrische gegevens en geven toestemming voor de inlogpoging.Zodra de identiteit van de gebruiker is geverifieerd, genereert Azure AD een uniek token voor die sessie. Dit token wordt gebruikt om de gebruiker naadloos in te loggen op BinnenBeter, waarbij het SSO-mechanisme ervoor zorgt dat de gebruiker niet opnieuw hoeft in te loggen bij andere gekoppelde applicaties binnen het BinnenBeter-ecosysteem.Lees ook de gebruikershandleiding de procedure van het aanmelden van Single Sign-On (SSO)

Om gebruik te maken van de Single Sign-On (SSO) functionaliteit zullen bij veel gemeenten de gebruikers gebruik moeten maken van de Microsoft Authenticator app om via de Single Sign-On (SSO) functie in te loggen. In dit document staat een korte uitleg hoe deze app de eerste keer ingesteld kan worden, en hoe er vervolgens ingelogd kan worden met SSO.Let op! Dit geldt niet voor alle gemeenten. Het kan ook zijn dat een gemeente voor een andere authenticatie methode heeft gekozen.Uitnodiging Single Sign-On accepterenWanneer je als gebruiker bent uitgenodigd voor Single Sign-On, dan ontvang je hierover een mailtje. Deze e-mail wordt verstuurd vanuit “Progesity”, en ziet er als volgt uit:Accepteer de uitnodiging door op “Uitnodiging accepteren” te klikken. Je wordt dan doorverwezen naar een pagina waarop je de Microsoft Authenticator app kan instellenDe Microsoft Authenticator app instellen1. De eerste stap is om de app te downloaden, als je deze nog niet op je telefoon staat.Lees voor meer instructie over het downloaden van de app de volgende link: https://support.microsoft.com/nl-nl/account-billing/de-microsoft-authenticator-app-downloaden-en-installeren-351498fc-850a-45da-b7b6-27e523b8702a2. Blijf op de pagina Uw account instellen terwijl u de Microsoft Authenticator-app instelt op uw mobiele apparaat. 3. Open de Microsoft Authenticator-app, selecteer om meldingen toe te staan (indien gevraagd), selecteer Account toevoegen in het pictogram Aanpassen en beheren in de rechterbovenhoek en selecteer vervolgens Werk- of schoolaccount.Opmerking: De eerste keer dat u de Microsoft Authenticator-app instelt, wordt u mogelijk gevraagd of u de app toegang wilt geven tot uw camera (iOS) of dat de app foto's kan maken en video's kan opnemen (Android). U moet Toestaan selecteren zodat de verificator-app toegang heeft tot uw camera om in de volgende stap een foto van de QR-code te maken. Als u de camera niet toestaat, kunt u de authenticator-app nog steeds instellen, maar moet u de codegegevens handmatig toevoegen. Zie Handmatig een account toevoegen aan de app voor informatie over het handmatig toevoegen van de code.4. Ga terug naar de pagina Uw account instellen op uw computer en selecteer vervolgens Volgende. De pagina De QR-code scannen wordt weergegeven.5. Scan de opgegeven code met de QR-codelezer van de Microsoft Authenticator-app, die op uw mobiele apparaat werd weergegeven nadat u uw werk- of schoolaccount in stap 6 hebt gemaakt.6. De authenticator-app moet uw werk- of schoolaccount toevoegen zonder dat u aanvullende informatie nodig hebt. Als de QR-codelezer de code echter niet kan lezen, kunt u De QR-code niet scannen selecteren en de code en URL handmatig invoeren in de Microsoft Authenticator-app. Zie https://support.microsoft.com/nl-nl/account-billing/handmatig-een-account-toevoegen-aan-de-microsoft-authenticator-app-3bcc3672-6241-48ab-926c-6a6139e5f670 voor meer informatie over het handmatig toevoegen van een code.7. Selecteer Volgende op de pagina De QR-code scannen op uw computer. Er wordt een melding verzonden naar de Microsoft Authenticator-app op uw mobiele apparaat om uw account te testen.8. Keur de melding goed in de Microsoft Authenticator-app en selecteer vervolgens Volgende. Uw beveiligingsgegevens worden bijgewerkt om de Microsoft Authenticator-app standaard te gebruiken om uw identiteit te verifiëren wanneer u verificatie in twee stappen gebruikt of het wachtwoord opnieuw instelt.Inloggen met SSO in BinnenBeterAls je de Authenticator app hebt ingesteld, kom je automatisch op login pagina van BinnenBeter terecht. Je kunt hier nu inloggen door simpelweg op de knop “Inloggen met SSO” te klikken. Je hoeft niet meer je gebruikersnaam en/of wachtwoord in te vullen.Dit geld zowel voor BinnenBeter als BinnenBeter mobiel