Single sign-on voor AV- en eventteams

AV- en eventteams hebben een bezettingspatroon waar de meeste software niet op is ontworpen: een vaste kernploeg, een wisselende groep freelancers voor de grote shows en een klantenlijst die elk kwartaal verandert. Al die mensen moeten inloggen op je tools, en elk van die accounts is een wachtwoord dat iemand moet onthouden, resetten of uiteindelijk intrekken. SSO voor AV- en eventteams bestaat om dat hele probleem van je bord te halen.

Heb je ooit een freelancer drie shows na zijn laatste klus moeten achternazitten om een gedeeld wachtwoord te laten wijzigen? Dan is dit artikel voor jou.

Het wachtwoordprobleem is in de eventbranche erger dan in de meeste sectoren

De meeste SaaS-tools gaan uit van een stabiel personeelsbestand: je neemt iemand aan, maakt een account aan, diegene blijft jaren en je trekt de toegang in bij vertrek. Event- en AV-teams werken zo niet. Eén festivalseizoen kan een dozijn freelance operators voor een week opleveren, die allemaal toegang tot de showtools nodig hebben en die geen van allen in oktober nog toegang mogen hebben.

Met toegang op basis van wachtwoorden wordt het duur om dat verloop veilig te beheren. Elk account moet worden aangemaakt, elk vertrek moet worden opgemerkt en ingetrokken, en elk verzoek om een wachtwoordreset is een supportticket waar midden in een event niemand tijd voor heeft. Vermenigvuldig dat met de tools die een moderne eventstack echt gebruikt (planning, communicatie, showcontrol, ticketing) en de beheerlast groeit sneller dan de crewlijst.

Wat SSO echt verandert

Single sign-on haalt de authenticatie uit de app en legt die bij je identity provider, of dat nu Okta, Microsoft Entra ID, Google Workspace of een andere OpenID Connect-provider is. In plaats van een apart wachtwoord voor elke tool logt je team in met dezelfde identiteit die het al gebruikt voor e-mail en al het andere.

Voor een AV- of eventteam heeft dat drie concrete gevolgen:

• Een freelancer onboarden is één groepswijziging in je IdP, geen nieuwe accountaanvraag per tool.
• Offboarden gebeurt direct en centraal. Verwijder iemand uit de identity provider en de toegang tot elke gekoppelde tool verdwijnt mee, nog dezelfde dag.
• Er is één wachtwoord om te beschermen, en dat is het wachtwoord dat je IT-team al goed beveiligt, met het MFA-beleid dat ze al afdwingen.

Zo werkt SSO in Cliqer

De selfservice-SSO van Cliqer gebruikt OpenID Connect en werkt dus met elke OIDC-compatibele provider, waaronder Okta, Microsoft Entra ID en Google Workspace. Je configureert alles vanuit Dashboard → Team → Security, zonder supportticket:

1. Ga naar Team → Security → Single sign-on en klik op Add provider.
2. Voer een weergavenaam in, de issuer-URL van je provider en de client-ID en het secret van de applicatie die je in je IdP aanmaakt. Cliqer haalt de rest van de configuratie automatisch op via het discovery-endpoint van de provider.
3. Beperk inloggen eventueel tot specifieke e-maildomeinen en kies of nieuwe accounts automatisch worden aangemaakt bij de eerste keer inloggen.
4. Sla op. De provider verschijnt nu als inlogknop op de inlogpagina van je team.

Je kunt meer dan één provider toevoegen, handig als je bureau voor een specifieke opdracht naast je eigen IdP met de IdP van een klant werkt. Alle details over de configuratie, inclusief de callback-URL die je IdP nodig heeft, vind je in de SSO-FAQ.

SSO verplicht stellen zonder jezelf buiten te sluiten

Zodra minstens één provider getest is en werkt, kun je Require SSO inschakelen. Dat weigert inloggen met wachtwoord en passkey voor het hele team, aan de serverkant, en niet alleen door het te verbergen op het inlogformulier. Zo sluit je het gat waarbij iemand een oud wachtwoord kon blijven gebruiken nadat de IdP-toegang was ingetrokken.

De enige bewuste uitzondering is de teameigenaar, die altijd inloggen met wachtwoord behoudt als noodaccount, zodat een verkeerd geconfigureerde provider nooit een hele organisatie uit haar eigen tools kan buitensluiten.

SSO combineren met teamrollen

Identiteit is maar de helft van het toegangsverhaal. Zodra iemand is ingelogd, bepalen teamrollen wat diegene echt kan doen: andere leden uitnodigen, branding beheren, beveiligingsinstellingen of API-sleutels aanpassen. Door SSO te combineren met strak afgebakende aangepaste rollen geef je een freelance operator precies de toegang die één show vereist, niet meer.

Voor teams die ook accounts automatisch willen aanmaken en verwijderen, rechtstreeks gekoppeld aan hr- of crewmanagementsystemen, gaat SCIM-provisioning een stap verder dan SSO alleen: het synchroniseert de ledenlijst zelf in plaats van alleen de inlogstap. Wil je een van beide functies bij je eigen leiding onderbouwen? Onze bredere gids over AV-software goedgekeurd krijgen door IT laat zien hoe je dat gesprek aanpakt, en de beveiligingschecklist voor presentatiesoftware behandelt de bredere beoordeling waar het meestal deel van uitmaakt.

SSO versus de alternatieven

Gebruikt je team nog geen formele identity provider, dan zijn passkeys een sterke tussenstap: phishingbestendig en wachtwoordloos, zonder dat je een Enterprise-abonnement of IdP-configuratie nodig hebt. Identiteit is bovendien maar één onderdeel van een groter toegangsplaatje: combineer het met vertrouwelijke content veilig presenteren als je team met gevoelig materiaal werkt, en met waarom bedrijfsfirewalls presentatietools blokkeren als je crew vanaf klantlocaties met dichtgetimmerde netwerken werkt.

Veelgestelde vragen

Aan de slag

Kost de wildgroei aan wachtwoorden binnen een wisselende crew je elke show tijd? Bekijk hoe Enterprise SSO, SCIM en aangepaste rollen samen biedt, of lees het volledige beveiligingsoverzicht voor alles wat je zelf regelt op de pagina Team → Security.