Ons SSO: configuratie

OpenID Connect

Om gebruik te kunnen maken van Ons SSO moet de SSO-provider gebruik maken van de OpenID Connect standaard. De meeste grote aanbieders doen dit.

2-Factor Authenticatie

Voor het inloggen in Ons is minimaal 2-factor authenticatie nodig. Als dit bij de SSO-provider is ingericht, zal Nedap hier niet om vragen. In andere gevallen zal de extra authenticatie door Nedap worden gedaan.

AMR-Claim

Om automatisch te kunnen herkennen of een aanmeldpoging gebruik heeft gemaakt van MFA, is een AMR-claim vereist. Als die niet wordt meegestuurd zal Ons altijd zelf een MFA vereisen. Bepaalde SSO-providers ondersteunen de AMR-claim niet. Om te voorkomen dat er meerdere malen MFA uitgevoerd moet worden door de gebruiker, moet de zorgorganisatie een contractuitbreiding bij ons aanvragen. Dit is een juridische bijlage waarin de oranisatie contractueel vastlegt dat zij garanderen dat voor elke Ons-sessie een MFA is gedaan (IP-whitelisting is geen valide vorm van MFA).

Bij de SSO-provider

Om de SSO bij je provider toe te voegen, moet bij de portal van de provider een OpenID Connect applicatie toegevoegd worden, met de volgende gegevens:

• Redirect URL: https://any.startmetons.nl/auth/oidc/callback

• Initiate login URL: https://voorbeeldklant.startmetons.nl/auth/oidc/{UUID}

De initiate login URL kan je gebruiken om direct in te loggen vanuit je eigen portaal. Deze URL krijg je beschikbaar nadat de installatie aan de kant van Nedap is voltooid. De Initiate URL is de URL die wordt gebruikt voor de SSO-knop op het aanmeldscherm. Je kunt deze URL kopiëren door met rechtermuisklik op de SSO-knop te klikken en de link te kopiëren. Deze URL kan bijvoorbeeld worden toegepast op een tegel in het portaal van de SSO-provider. Als een gebruiker die tegel gebruikt, slaat de gebruiker het aanmeldscherm van Ons over, en wordt meteen aangemeld.

Bij Nedap

Voor het aanvragen van de koppeling bij Nedap kan een ticket aangemaakt worden in TOPdesk, daarin staat een formulier voor het aanvragen van een SSO koppeling. De volgende gegevens zijn nodig:

• Client ID en Client Secret (worden door de SSO provider gegeven na het toevoegen van een applicatie).

• Issuer: URL waar de OpenID configuratie publiekelijk beschikbaar is.

  • Voorbeeld (Google): https://accounts.google.com/.well-known/openid-configuration

• Provisioning: wil je gebruikers automatisch koppelen met Ons-gebruikers

  • Uit - geen koppeling.

  • Op basis van medewerkernummer.

  • Op basis van e-mail.

• Naam: dit is de naam van de provider, deze wordt in tekst aan de gebruiker getoond.

• Tekst op de knop: dit is de naam die op de knop van het inlogscherm komt te staan. Je kunt hierin vrij kiezen, bijvoorbeeld 'Inloggen met Okta' of 'inloggen met 'klantnaam-mailadres'.

• Kleur van de knop: keuze uit: groen, felblauw, donkerblauw, geel, grijs.

• Volgorde: Als u meerdere SSO-Providers gebruikt kunt u de volgorde van de knoppen kiezen.

• Verborgen?: Bepaalt of de knop zichtbaar is op het inlogscherm.

Zodra wij deze gegevens via het ticket hebben ontvangen, zullen wij de configuratie aan onze zijde uitvoeren. Dit kunnen we doorgaans de eerstvolgende dag doen. Hierna komt de Initiate login URL beschikbaar die je bij je SSO-instellingen kunt invullen.

Testomgevingen

Als er meerdere omgevingen zijn die dezelfde database gebruiken, bijvoorbeeld testomgevingen die een backup van productie krijgen, moeten dezelfde SSO-gegevens worden gebruikt voor elk van die omgevingen.

Het nadeel van dezelfde SSO-gegevens is dat bij de portal van de SSO-provider vaak maar één knop gemaakt kan worden om gebruikers door te sturen.

Trainingsomgevingen (of andere losstaande omgevingen)

Omgevingen met een aparte database, bijvoorbeeld een losse omgeving voor trainingen, kunnen gebruik maken van aparte SSO gegevens. Deze omgevingen kunnen dan geen kopie ontvangen van de productie-omgeving.

Automatisch koppelen

Automatisch koppelen is mogelijk op basis van medewerkernummer of e-mail.

• In het geval van medewerkernummers gaat dit door middel van het veld employee_number, dat moet worden meegestuurd in de meta-informatie. Dit veld moet correct doorgestuurd worden naar Ons SSO. De medewerker moet reeds bestaan in het systeem, bijvoorbeeld door een koppeling met een salarispakket.

  Voor meer informatie voor het meesturen van meta-informatie verwijzen we door naar jullie SSO-provider.

• E-mail is altijd een onderdeel van een koppeling, koppelen op basis van e-mail werkt daardoor altijd.

Nieuwe gebruikers

Na het aanmelden via SSO wordt er een nieuwe gebruiker aangemaakt, als er nog geen account bestaat voor die medewerker. Als er al wel één of meerdere accounts bestaan, zullen deze automatisch gekoppeld worden op basis van de gekozen strategie.

Nieuwe gebruikers hebben standaard geen rechten, tenzij je dit zo instelt. Dat kan je doen door een 'Standaardrol' aan te maken die basisrechten aan alle gebruikers geeft. Zie ook Ons Autorisatie: automatische rollen beheren.