Single Sign-on instellen

Met single sign-on (SSO) loggen uw gebruikers in Legalsense in met hun bestaande Microsoft Azure AD-account, in plaats van met een aparte gebruikersnaam en wachtwoord voor Legalsense. Dit artikel legt uit hoe u als beheerder SSO instelt, en hoe u daarna gebruikers koppelt en beheert.

Legalsense ondersteunt op dit moment Microsoft Azure AD als SSO-provider. Andere providers volgen in de toekomst.

Instellen

Om SSO in te stellen, doorloopt u de volgende stappen:

1. Neem contact op met Legalsense Support om SSO voor uw omgeving in te schakelen; alleen Legalsense kan dit aanzetten.
2. Voeg een provider toe. Ga naar Instellingen → Beveiliging → Single Sign-on en klik op Nieuwe Single Sign-on provider.

Vul de volgende gegevens in voor de nieuwe provider:

Het formulier “Nieuwe Single Sign-on provider” in Legalsense, met de velden “Tenant ID”, “Client ID” en “Client secret”.

• Tenant ID: te vinden in uw Microsoft Azure Account, op de overzichtspagina onder de naam van uw organisatie.
• Client ID: maak eerst een nieuwe app-registratie aan in Microsoft Azure: ga naar App registrations en klik op New registration. Kies Single tenant en Web als type voor de redirect-URL, en vul https://yourfirmname.legalsense.nl/single_signon/microsoft_azure/callback/ in als redirect-URL.

Kopieer na het aanmaken van de registratie de Application (client) ID naar dit veld.

• Client secret: ga in Microsoft Azure naar Client credentials en klik op New client secret. Kopieer de gegenereerde waarde (niet de Secret ID) naar dit veld. Belangrijk: Microsoft Azure toont de waarde van het client secret maar één keer, direct nadat u het hebt gegenereerd. Bewaar het op een veilige plek voordat u dit scherm verlaat. U moet voor dit secret ook een vervaldatum instellen. Zorg dat u een nieuw secret aanmaakt voordat het oude verloopt, want zodra het secret is verlopen kunt u niet meer inloggen met SSO.

Klik nu op Opslaan om naar de volgende pagina te gaan.

• Groep: begin met typen van de naam van de Microsoft Azure-groep waarvan de leden mogen inloggen met SSO en selecteer de groep. Legalsense importeert alleen de Microsoft-accounts van leden van deze groep.
• Login afdwingen: selecteer deze checkbox om te voorkomen dat gebruikers die aan een Microsoft-account zijn gekoppeld, inloggen met een Legalsense-gebruikersnaam en wachtwoord. Gebruikers die niet zijn gekoppeld, kunnen nog steeds inloggen met hun gebruikersnaam en wachtwoord. Laat deze checkbox uitgeschakeld om beide manieren van inloggen toe te staan.

3. Stel de toegang voor de cliënt in Microsoft Azure in. Ga naar API permissions, klik op New permission, vervolgens op Microsoft Graph, daarna op Application permissions, en selecteer GroupMember.Read.All en User.Read.All. Verwijder de bestaande permissie User.Read.

Belangrijk: Selecteer bij het toevoegen van de permissie Application permissions, niet Delegated permissions. 4. Geef beheerderstoestemming. Klik op de knop Grant admin permission for.... In de applicatie-instellingen van de nieuw aangemaakte applicatie moet u mogelijk ook beheerderstoestemming geven onder Beveiliging → Rechten. Geef ten slotte in Legalsense aan of inloggen via Microsoft Azure moet worden afgedwongen voor alle gekoppelde gebruikers. Dit doet u bij de allerlaatste instelling in Legalsense:

Belangrijk: Alleen een Admin-gebruiker kan deze stap uitvoeren.

Alle actieve gebruikers die nog niet zijn gekoppeld, kunnen gewoon inloggen met een gebruikersnaam en wachtwoord.

Klik na het doorlopen van de bovenstaande stappen en het invoeren van de juiste gegevens voor de provider op Opslaan om het configureren van SSO af te ronden.

SSO gebruiken

Gebruikers synchroniseren

De Microsoft Azure AD SSO-integratie kan Legalsense-gebruikers synchroniseren met hun Microsoft-accounts. Daarvoor heeft Legalsense eerst een actuele lijst nodig van de beschikbare Microsoft-accounts. Deze synchronisatie draait automatisch op de achtergrond, maar u kunt hem ook handmatig starten.

Ga naar de ingestelde provider en klik op Synchroniseer nu.

De pagina van de ingestelde provider in Legalsense, met de knop “Synchroniseer nu” gemarkeerd.

Gebruikers koppelen

U koppelt Legalsense-gebruikers aan hun Microsoft-account via Gebruikers → Gebruikers.

1. Klik op de gebruiker die u wilt koppelen.
2. Klik op Bewerken naast Microsoft Azure Account.

De profielpagina van een gebruiker in Legalsense, met de knop “Bewerken” naast het veld “Microsoft Azure Account”.

3. Selecteer het Microsoft-account waarmee de gebruiker moet inloggen, en klik op Opslaan.

Wilt u de koppeling van een gebruiker verbreken? Doorloop dan dezelfde stappen, maar kies de lege optie in plaats van een Microsoft-account.

U kunt gebruikers ook in bulk koppelen. Ga naar Instellingen → Beveiliging → Single Sign-on, open de ingestelde Microsoft Azure-provider en klik rechtsboven op Bulk link.

De pagina van de Single Sign-on provider in Legalsense, met de knop “Bulk link” in de rechterbovenhoek.

Deze knop opent een scherm met alle Microsoft-accounts die nog niet aan een Legalsense-gebruiker zijn gekoppeld. Legalsense stelt op basis van het e-mailadres een passende gebruiker voor. Controleer of vul de gebruiker bij elk account aan, en klik op Opslaan.

Het overzicht Gebruikers → Gebruikers heeft een kolom SSO die per gebruiker aangeeft of die gekoppeld is.

De overzichtspagina Gebruikers in Legalsense, met de kolom SSO die aangeeft welke gebruikers aan een Microsoft-account zijn gekoppeld.

Inloggen via SSO

Om via SSO in te loggen, klikt u op het inlogscherm op Inloggen met Microsoft.

Het inlogscherm van Legalsense, met de knop “Inloggen met Microsoft”.

De eerste keer dat een gebruiker dit doet, toont Microsoft een pop-up waarin om toestemming wordt gevraagd.

Klik op Accept. De gebruiker is dan ingelogd via Microsoft Azure AD.

Let op: Gebruikers die inloggen met Inloggen met Microsoft krijgen geen vraag om een beveiligingscode voor twee-factor authenticatie van Legalsense. Voor hen gelden de beveiligingsinstellingen van hun Microsoft-account.

Problemen oplossen

Een gebruiker kan niet inloggen met Inloggen met Microsoft

• De gebruiker ziet Geen account: de melding Uw Microsoft account is niet aan een account gekoppeld. Neem contact op met uw beheerder. betekent dat het Microsoft-account niet aan een Legalsense-gebruiker is gekoppeld. Controleer of de gebruiker met het juiste Microsoft-account heeft ingelogd, en koppel het zoals beschreven onder Gebruikers koppelen.
• De gebruiker is uit de Microsoft Azure-groep verwijderd: Legalsense synchroniseert de groep elke 20 minuten en verwijdert accounts die er niet meer in zitten, inclusief hun koppeling. Voeg de gebruiker opnieuw toe aan de groep, klik op Synchroniseer nu en koppel de gebruiker opnieuw.
• De gebruiker komt zonder melding terug op de inlogpagina: de Legalsense-gebruiker is gearchiveerd of zijn of haar einddatum is verstreken. Controleer de status van de gebruiker onder Gebruikers → Gebruikers.

Een gekoppelde gebruiker kan niet inloggen met een wachtwoord

Als Login afdwingen is geselecteerd, ziet een gekoppelde gebruiker die met een gebruikersnaam en wachtwoord inlogt de melding Uw account is geconfigureerd om in te loggen met uw Microsoft account. Gebruik de 'Inloggen met Microsoft' knop om in te loggen in Legalsense. Dat is de bedoeling. Wilt u één gebruiker met een wachtwoord laten inloggen? Verbreek dan de koppeling met diens Microsoft-account. De gebruiker kan daarna op de inlogpagina Wachtwoord vergeten? gebruiken om een wachtwoord in te stellen.

Niemand kan inloggen met SSO

Krijgt elke gebruiker een foutmelding na het inloggen met Microsoft? Dan is het client secret waarschijnlijk verlopen. Maak een nieuw client secret aan in Microsoft Azure en vul het in bij de provider in Legalsense.

Belangrijk: Als al uw beheerders aan een Microsoft-account zijn gekoppeld en Login afdwingen is geselecteerd, kan mogelijk niemand meer inloggen om de provider aan te passen. Neem in dat geval contact op met Legalsense Support.