Active Directory instellen

Met Active Directory (AD) zorgt u ervoor dat gebruikers van uw Microsoft Entra-omgeving veilig in kunnen loggen op SecuDoc. Active Directory zorgt ervoor dat het inlogscherm van SecuDoc wordt vervangen met een Microsoft AD inlogscherm (SSO), of de gebruiker direct wordt ingelogd op SecuDoc wanneer deze al ingelogd is op Microsoft AD.

Onze AD-koppeling biedt de volgende voordelen/heeft de volgende eigenschappen:

• Bij ieder inlogmoment wordt gecontroleerd of de gebruiker toegang heeft tot SecuDoc, en met welke rechten (gebruiker of beheerder).
• Wanneer een reeds lopende SecuDoc-omgeving aan Active Directory wordt gekoppeld, worden alle bestaande accounts na een eerste inlog omgezet naar een Managed gebruiker.
• Gebruikers die nog geen account op SecuDoc hebben maar volgens Active Directory wel toegang moeten hebben, worden on-the-fly als Managed gebruiker aangemaakt in SecuDoc.

Active Directory is alleen beschikbaar in SecuDoc Plus abonnementen. Uw SecuDoc-omgeving dient eerst gekoppeld te zijn met uw (hoofd)domeinnaam.

1 Voorbereiding

1. Zorg er eerst voor dat uw domeinnaam is gekoppeld (zie Koppelen van uw eigen domeinnaam) en verifieer dat dit de hoofddomeinnaam is van de betreffende AD-account/tennant.
2. Inventariseer wie binnen de organisatie beheerder moet worden en wie gebruiker (bijvoorbeeld een geselecteerde groep of iedereen in de organisatie), en controleer of het aantal gebruikers het aantal seats van uw SecuDoc-abonnement niet overstijgt (met mogelijk als gevolg dat gebruikers niet kunnen inloggen).

2 Rechtengroepen aanmaken

Let op: Zorg ervoor dat het account dat als beheerder wordt gebruikt, is toegevoegd aan de AD-beheerdersgroep om uzelf na het activeren van de koppeling niet buiten te sluiten van beheerinstellingen.

Stap 1: Rechtengroep aanmaken voor gebruikers. Indien u ervoor kiest om alle gebruikers van uw Entra toegang te geven tot SecuDoc (bijv. alle medewerkers van de organisatie), dan slaat u deze stap over. Wilt u kiezen welke gebruikers toegang hebben tot SecuDoc, dan maakt u een nieuwe (rechten)groep aan in AD en voegt u iedereen toe die toegang tot SecuDoc moet krijgen. De stappen om deze groep aan te maken zijn:

1. Log in op Entra met een beheerdersaccount (https://entra.microsoft.com).
2. Klik aan de linkerkant op Groepen > Alle groepen.
3. Controleer of er niet al een SecuDoc gebruikersgroep is.
4. Kies in het venster vervolgens op Nieuwe groep.
5. Kies voor Groepstype voor Beveiliging en vul een herkenbare Groepsnaam in (bijv. "SecuDoc Users".
6. "Microsoft Entra-rollen kunnen worden toegewezen aan de groep" blijft uit staan.
7. Type lidmaatschap moet blijven staan op "Toegewezen".
8. Kies eventueel Eigenaren (optioneel).
9. Bij Leden kiest u nu de gebruikers die toegang krijgen tot SecuDoc. Let op; selecteer hier geen groepen, alleen gebruikers.
10. Klik op Maken om de groep aan te maken.

Stap 2: Rechtengroep aanmaken voor beheerders. Indien u ervoor kiest om een bestaande admingroep te hergebruiken, dan slaat u deze stap over. Wilt u voor SecuDoc kiezen wie de beheerders zijn, dan maakt u een rechtengroep aan voor SecuDoc-beheerders.

De stappen om deze groep aan te maken zijn:

1. Log in op Entra met een beheerdersaccount (https://entra.microsoft.com).
2. Klik aan de linkerkant op Groepen > Alle groepen.
3. Controleer of er niet al een SecuDoc admingroep is.
4. Kies in het venster vervolgens op Nieuwe groep.
5. Kies voor Groepstype voor Beveiliging en vul een herkenbare Groepsnaam in (bijv. "SecuDoc Admins".
6. "Microsoft Entra-rollen kunnen worden toegewezen aan de groep" blijft uit staan.
7. Type lidmaatschap moet blijven staan op "Toegewezen".
8. Kies eventueel Eigenaren (optioneel).
9. Bij Leden kiest u nu de beheerders die toegang krijgen tot SecuDoc. Let op; selecteer hier geen groepen, alleen gebruikers.
10. Klik op Maken om de groep aan te maken.

Laat het Entra venster open omdat we deze in de volgende stap opnieuw nodig hebben.

3 Een app aanmaken in de Microsoft beheeromgeving (Entra)

1. Log in op SecuDoc met een beheerdersaccount.
2. Ga naar Instellingen > Active Directory.
3. Klik op Download bij SecuDoc metagegevens en sla het metadata.xml-bestand in de Downloadfolder op.
4. Laat het SecuDoc-venster open en open in een ander venster Entra met een beheeraccount.
5. Ga in het linker menu naar Toepassingen > Bedrijfstoepassingen en kies in het venster voor Nieuwe Toepassing.
6. Klik op Uw eigen toepassing maken, voer een naam van de app in (bijv. SecuDoc) en kies voor "Een willekeurige andere toepassing integreren die niet aanwezig is in de galerie (niet-galerie)" en bevestig met Maken.
7. Klik in het nieuwe venster op Eenmalige aanmelding en kies hier voor SAML.
8. Klik op Metagegevensbestand uploaden en selecteer het metadata.xml bestand in de Downloadfolder en klik op Toevoegen en vervolgens op Opslaan
9. Klik bij 2. Gebruikerskenmerken en claims op Bewerken.
10. Klik op Een groepsclaim toevoegen.
11. Selecteer hier "Groepen die zijn toegewezen aan de toepassing", en laat Bronkenmerk staan op "Groeps-id". Klik op Opslaan.
12. Ga terug naar de bedrijfstoepassing SecuDoc en klik op Eenmalige aanmelding.
13. Kopieer 3. SAML-certificaten de link "App-URL voor federatieve metagegevens".
14. Plak in SecuDoc de link voor federatieve metagegevens.
15. Ga terug naar Entra (Toepassingen > Bedrijfstoepassingen) en open de bedrijfstoepassing SecuDoc .
16. Klik op 1. Gebruikers en groepen toewijzen.
17. Klik op Gebruiker/groep toevoegen.
18. Klik op Niets geselecteerd en selecteer hier alle te gebruiken gebruikers- en admingroepen (selecteer de groep Alle gebruikers indien u geen separate gebruikersgroep voor SecuDoc heeft gemaakt als u wilt dat iedereen in uw Entra SecuDoc kan gebruiken). Druk op Selecteren en Toewijzen.
19. Ga in Entra naar Groepen > Alle groepen en kopiëer de Object ID's van de te gebruiken gebruikersgroep en beheerdersgroep naar respectievelijk de Gebruikers en Beheerders velden in SecuDoc (bij 3. Configureer uw rechtengroepen). Het is mogelijk om komma-gescheiden meerdere Object ID's per veld in te voeren.
    Let op: Indien u SecuDoc voor alle gebruikers toegankelijk maakt, dient u hier de Object ID van de Alle gebruikers groep te gebruiken.
20. Klik in SecuDoc op Opslaan om AD te activeren voor uw domeinnaam.
21. U krijgt nog de vraag om te authentiseren, klik op de knop Authentiseren met Active Directory.
22. Er verschijnt een successcherm. Vanaf nu is het mogelijk om met Active Directory in te loggen via de URL van je SecuDoc-omgeving.

Optioneel: Indien u de functie "Tweestapsverificatie bij terugkeer" per SMS wilt ondersteunen, dient u AD te configureren om ook mobiele telefoonnummers mee te sturen. Volg daarbij de volgende stappen:

1. Open de bedrijfstoepassing SecuDoc en klik op Eenmalige aanmelding.
2. Klik op Metagegevensbestand uploaden en selecteer het metadata.xml bestand in de Downloadfolder en klik op Toevoegen en vervolgens op Opslaan
3. Klik bij 2. Gebruikerskenmerken en claims op Bewerken.
4. Klik op Een nieuwe claim toevoegen.
5. Geef de claim de naam "Phone", naamruimte mag leeg blijven, Bron is "Kenmerk" en bij Bronkenmerk selecteert u het telefoonveld van de gebruiker (user.mobilephone), en vervolgens drukt u op Opslaan.

4 Een gebruikerstest uitvoeren

1. Ga naar het door u geconfigureerde SecuDoc-subdomein om in te loggen (bijv. secudoc.uworganisatie.nl).
2. Het scherm verwijst nu door naar een Microsoft inlogscherm. Log in met uw AD inloggegevens.
3. U komt eenmalig in een scherm waar u uw oude wachtwoord in moet voeren om uw account te converteren naar een managed (AD) account.
4. Controleer of uw account juist is geconverteerd door te controleren of uw gebruikshistorie (vorige overdrachten) nog inzichtelijk zijn.

Wanneer de gebruikerstest succesvol is, kunt u uw collega's nu op de hoogte stellen dat zij vanaf heden in kunnen loggen op uw organisatie's SecuDoc-subdomein met hun AD-inloggegevens.

Mochten er problemen ontstaan tijdens of na het instellen van Active Directory voor SecuDoc, neemt u dan contact met ons op.