Je kunt gebruikers in Kontainer via SSO instellen voor een veilige en soepele ervaring voor je interne gebruikers.

Wij hebben een standaardopzet voor Microsoft Entra ID, ADFS en Google. Neem contact met ons op voor andere opzetten.

Wij leggen een "trust" (vertrouwensrelatie) tussen je Active Directory-groepen (beheerd door je IT-afdeling) en Kontainer. Dit betekent dat de gebruiker automatisch wordt aangemaakt en aan vooraf bepaalde groepen wordt toegewezen wanneer hij of zij voor het eerst inlogt.

Net als bij andere groepen in Kontainer kun je de toegangsinstellingen altijd aanpassen en beheren.

Je kunt ook aan individuele gebruikers extra rechten toekennen, bovenop de basisrechten die zij via hun groepslidmaatschap erven.

Om je gebruikerslijst overzichtelijk te houden, kun je regels instellen waarmee gebruikers die gedurende een bepaalde periode niet zijn ingelogd – bijvoorbeeld 2, 4 of 6 maanden – worden gedeactiveerd of verwijderd. Als een gebruiker na een automatische verwijdering opnieuw inlogt, wordt het account eenvoudigweg opnieuw geactiveerd.

Naast SSO-gebruikers kun je handmatig andere gebruikers en groepen toevoegen.

Op de integratiepagina van Kontainer leest je meer over toepassingen, voordelen en meer. De SSO-oplossing omvat onder andere Azure/Entra ID, Okta SSO en Google SSO.

Hieronder lopen we stap voor stap door hoe je een SSO-verbinding met Microsoft Entra ID naar Kontainer opzet.

App-registratie in Azure/Entra ID

Stap 1: Een resource aanmaken

Klik op de startpagina van de Entra ID-services op "Entra ID Active Directory".

Entra ID Active Directory op de startpagina

Stap 2: De app registreren

Klik in het menu op "App registrations".

App registrations in het menu

Nieuwe registratie

Klik bovenaan op "New registration".

De knop New registration

De gegevens invullen

Naam en Redirect URI invullen

Stap 3: Authenticatie

Klik op "Authentication" en "Redirect URI configuration" en vul het volgende in:

Klik op "Save".

Klik op "Authentication" en "Settings" en vul het volgende in:

Vink het volgende vakje aan:

  • "ID tokens"

Klik op "Save".

Redirect URI configuration onder Authentication

Logout URL en ID tokens onder Settings

Stap 4: Certificaat en geheim

Klik op "Certificates and secrets" en vervolgens op "New client secret".

Vul het volgende in:

  • Description: Kontainer

Stel "Expires" in op "720 days".

LET OP: Noteer het geheim (secret).

Een nieuwe client secret aanmaken

Stap 5: Tokenconfiguratie

Klik op "Token configuration" en vervolgens op "Add optional claim".

Selecteer "ID" en vink aan:

  • "email"
  • "upn"

Klik op "Add".

Optional claims toevoegen

Stap 6: De groepsclaim bewerken

Klik op "Add groups claim" en vink aan:

  • "Security groups"
  • "ID"

Vink daarna aan:

  • "Group ID"

Instellingen voor de groups claim

Stap 7: API-machtigingen

Ga naar "API permissions" en klik op "Add a permission".

Kies "Microsoft Graph" en klik op "Delegated permissions".

Microsoft Graph en Delegated permissions

OpenID-machtigingen

Scrol omlaag naar OpenID permissions en vink "email" en "profile" aan.

De OpenID-machtigingen email en profile

Applicatiemachtigingen

Scrol omlaag naar "Application" en vink "Application.Read.All" aan.

De machtiging Application.Read.All

GroupMember

Scrol omlaag naar "GroupMember" en vink aan:

  • "GroupMember.Read.All"

De machtiging GroupMember.Read.All

Stap 8: De machtigingen controleren

De machtigingen zouden er nu uit moeten zien zoals hieronder.

Mogelijk heeft je een beheerder nodig om de machtigingen goed te keuren.

Overzicht van de API-machtigingen

Stap 9: De gegevens naar Kontainer Support sturen

Ga naar "Overview", waar je onderstaande gegevens vindt, en stuur ze naar je contactpersoon bij Kontainer of naar support@kontainer.com:

  • "Application (client) ID"
  • "Directory (tenant) ID"

LET OP: Stuur het opgeslagen geheim op een veilige manier mee.

Het client secret beheren in Kontainer

Zodra je SSO-verbinding werkt, kunnen beheerders het client secret vernieuwen en de beheerdersgroep rechtstreeks in Kontainer kiezen – zonder contact op te nemen met support.

Ga naar Instellingen → Configuratie → SSO (https://xxx.kontainer.com/settings/sso, vervang xxx door je klant-ID in Kontainer).

De SSO-pagina in Kontainer met de Entra ID-provider, het veld Beheerdersgroep, de vervaldatum van het huidige secret en velden voor een nieuw client secret en de vervaldatum ervan.

Het client secret vernieuwen

Het client secret dat je in Stap 4 in Entra ID hebt aangemaakt, verloopt (na 720 dagen als je deze handleiding hebt gevolgd). Op de SSO-pagina zie je wanneer het huidige secret verloopt, zodat je het op tijd kunt vernieuwen voordat je gebruikers niet meer kunnen inloggen.

  1. Ga in Entra ID naar "Certificates and secrets" en maak een "New client secret" aan, net als in Stap 4. Kopieer de waarde.
  2. Plak de waarde in Kontainer in "Nieuw client secret".
  3. Kies bij "Nieuw secret verloopt op" de vervaldatum die je in Entra ID hebt gekozen. De datum is verplicht zodra je een nieuw secret invult en moet in de toekomst liggen.
  4. Klik op "Opslaan".

Het nieuwe secret vervangt het oude zodra je opslaat. Laat je "Nieuw client secret" leeg, dan blijft het huidige secret behouden.

LET OP: Verwijder het oude secret in Entra ID pas nadat je het nieuwe in Kontainer hebt opgeslagen. Zo kunnen je gebruikers zonder onderbreking blijven inloggen.

De beheerdersgroep kiezen

Leden van de groep die is geselecteerd bij "Beheerdersgroep" worden beheerder in Kontainer wanneer ze via SSO inloggen.

Alleen SSO-groepen – groepen die gekoppeld zijn aan een groep in Entra ID – kunnen worden gekozen. Heeft de huidige beheerdersgroep geen SSO-groepsnaam, dan wordt niemand beheerder via SSO, en een melding onder het veld wijst je daarop. Kies een SSO-groep en klik op "Opslaan" om dit op te lossen.

LET OP: Staat er op de SSO-pagina "Neem contact op met Kontainer support om deze provider te wijzigen.", dan wordt je SSO-provider door Kontainer beheerd. Stuur je wijzigingen naar je contactpersoon bij Kontainer of naar support@kontainer.com.