Eenmalige aanmelding (SSO) — Instellingen

"Settings" → "Administration" → "Single sign-on (SSO)" verbindt je organisatie met Microsoft Entra ID, zodat leden kunnen aanmelden met hun zakelijke Microsoft-account. Microsoft Entra ID is de enige provider op dit scherm. Het bevat ook de schakelaar die Microsoft-aanmelding verplicht maakt.

Wie kan het wijzigen

Alleen een beheerder kan dit scherm openen en er iets op wijzigen.

Voordat je begint

Je hebt een app-registratie nodig in je Microsoft Entra-directory. Drie dingen zijn daar van belang:

Plak de "Redirect URI" die dit scherm toont in de app-registratie, als omleiding van het platform Web. Het is hetzelfde adres voor elke Flowtly-organisatie.
Schakel de optionele claim email in op de app-registratie. Zonder die claim mislukt de eerste aanmelding vaak op een verwarrende manier.
Maak een clientgeheim aan en bewaar de waarde ervan, die in Entra maar één keer wordt getoond.

De bedieningselementen op dit scherm

Het scherm opent in instelmodus zolang er niets is ingevoerd. Nadat een configuratie is opgeslagen, toont het in plaats daarvan een overzicht, en "Edit configuration" brengt het instelformulier terug.

"Microsoft Entra ID": de kop van de koppeling. Eronder zegt het scherm ofwel dat leden kunnen aanmelden met hun zakelijke Microsoft-account (vóór de installatie) ofwel het woord "Directory:" gevolgd door je directory-ID.

Het statuslabel rechtsboven toont hoe het met de koppeling staat:

Status	Betekenis
"Not configured"	Er is nog niets ingevoerd.
"Pending first sign-in"	Een configuratie is opgeslagen, maar niemand heeft er nog mee aangemeld via Microsoft.
"Active"	Een aanmelding via Microsoft is geslaagd. Het scherm toont dan Last verified met de datum.
"Connection error"	De koppeling is als mislukt gemarkeerd. Het scherm toont de fouttekst, of "The last sign-in attempt failed." als er geen is.

"Redirect URI": het adres om in je Entra-app-registratie te plakken. Alleen-lezen. De kopieerknop ernaast ("Copy redirect URI") zet het op het klembord en toont kort "Copied!".

De formuliervelden:

"Directory (tenant) ID": je Entra-directory-ID. Verplicht.
"Application (client) ID": de ID van de app-registratie. Verplicht.
"Client secret": de geheime waarde die in Entra is gegenereerd. Het veld toont nooit een opgeslagen geheim. Zodra er een is opgeslagen, laat je het veld leeg om het te behouden, of voer je een nieuwe waarde in om het te vervangen.
"Verified domains": de e-maildomeinen waarvan leden met Microsoft mogen aanmelden, gescheiden door komma's, bijvoorbeeld acme.com, acme.eu. Vermeldingen worden in kleine letters omgezet en dubbele worden weggelaten.
"Add existing users to this organization": een schakelaar, standaard uit. Zie hieronder.
"Save configuration": slaat de configuratie op. Blijft niet beschikbaar tot beide ID's zijn ingevuld. Een "Success"-melding bevestigt dat.
"Cancel": verlaat het formulier zonder op te slaan. Verschijnt pas zodra er een configuratie bestaat.

In het overzicht zie je de "Application (client) ID" en, zodra de koppeling "Active" is, de "Verified domains" als chips. "Edit configuration" opent het formulier opnieuw.

"Test sign-in" verschijnt zolang de status in afwachting is, en "Retry test sign-in" verschijnt wanneer de status een verbindingsfout toont. Het opent een Microsoft-aanmeldvenster voor je eigen account, met je zakelijke e-mailadres. Wanneer het venster sluit, laadt de pagina de status opnieuw van de server. Als je e-mailadres niet op een geverifieerd domein staat, of de configuratie niet is opgeslagen, meldt een bericht dat de test niet kon worden uitgevoerd. Als de browser het venster blokkeert, vraagt een bericht om pop-ups toe te staan.

"Require SSO for this organization": een schakelaar, standaard uit. Blijft niet beschikbaar tot de status "Active" is. Het aanzetten opent een bevestiging, Require Microsoft sign-in for de naam van je organisatie, met "Cancel" en "Require Microsoft sign-in". Het uitzetten gaat direct in en vereist geen bevestiging.

"Help & Docs": een zijpaneel met drie hints ("Follow the setup order", "Review security impact", "Get help if stuck"). "Contact support" opent een e-mail aan Flowtly-support. Het paneel wisselt tussen "Compact" en "Expand".

Hoe aanmelden werkt

Iemand meldt alleen aan als zijn of haar e-mailadres op een van de "Verified domains" staat.
Iemand met een Flowtly-account die al lid is van de organisatie, meldt aan zoals gebruikelijk.
Iemand met een Flowtly-account die nog geen lid is, wordt alleen aan de organisatie toegevoegd wanneer "Add existing users to this organization" aan staat. Mensen zonder Flowtly-account kunnen op deze manier niet aanmelden: nodig ze eerst uit. Iemand die je al hebt uitgenodigd, wordt toegelaten, of de schakelaar nu aan of uit staat.
Het wijzigen van de tenant-ID, de client-ID of het clientgeheim bij een opgeslagen configuratie zet de status terug naar "Pending first sign-in", tot de volgende geslaagde aanmelding. Alleen de geverifieerde domeinen of de schakelaar bewerken doet dat niet.

Wat SSO verplicht stellen doet

Zodra "Require SSO for this organization" aan staat, wordt aanmelden met een wachtwoord geweigerd voor leden van wie het e-mailadres op een geverifieerd domein staat, en moeten ze verder met Microsoft. Een lid van wie het e-mailadres op een ander domein staat, behoudt zijn gebruikelijke aanmelding. Iemand die tot meerdere organisaties behoort, krijgt alleen een wachtwoord geweigerd vanwege een organisatie die SSO verplicht en waarvan de geverifieerde domeinen zijn of haar e-mailadres omvatten.

Een lid dat nog nooit via Microsoft heeft aangemeld, is buitengesloten van aanmelden met een wachtwoord zodra je bevestigt. Controleer dat iedereen via Microsoft kan aanmelden voordat je het aanzet, en gebruik eerst "Test sign-in". De schakelaar uitzetten kan altijd en herstelt aanmelden met een wachtwoord.

Voorbeelden van gebruik

Een beheerder verbindt de Microsoft-directory van het bedrijf, meldt één keer aan via "Test sign-in" en de status wordt "Active".
Een beheerder voegt na een fusie een tweede domein toe aan "Verified domains".
Een beheerder zet "Add existing users to this organization" aan, zodat collega's die al een Flowtly-account hebben zonder individuele uitnodiging toetreden.
Een beheerder plakt een nieuwe waarde in "Client secret" voordat de oude in Entra verloopt, en test de aanmelding daarna opnieuw.
Nadat is bevestigd dat iedereen via Microsoft kan aanmelden, zet een beheerder "Require SSO for this organization" aan.