Veelgestelde vragen over SSO

Configureer en verplicht Single Sign-On voor je Cliqer-team.

Met SSO logt je team in via je eigen identiteitsprovider. Het maakt deel uit van het Enterprise-abonnement, of van de Enterprise-add-on bij Presenter, Studio HD, Studio 4K en Studio 8K, en je team configureert het via Dashboard → Team → Beveiliging (/dash/team/security). Je hebt het teamrecht Beveiliging beheren nodig (de eigenaar en beheerders hebben dit standaard).

Welke providers worden ondersteund?

Self-service SSO gebruikt OpenID Connect (OIDC). Elke OIDC-provider werkt: Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 en andere bieden allemaal een OIDC-endpoint.

SAML is beschikbaar, maar wordt beheerd: neem contact op met Cliqer en wij richten het in voor je team. Met het self-serviceformulier maak je alleen OIDC-providers aan.

Hoe voeg ik een provider toe?

Provider toevoegen

Ga naar Team → Beveiliging → Single sign-on en klik op Provider toevoegen.

Vul het formulier in

Weergavenaam: het label op de inlogknop.
Issuer-URL: de OIDC-issuer van je provider. Cliqer haalt de discovery automatisch op via <issuer>/.well-known/openid-configuration.
Client-ID en Clientgeheim: uit de applicatie die je in je IdP hebt aangemaakt.
Identificatieclaim: welke claim aan het Cliqer-account wordt gekoppeld (email, sub of preferred_username). Standaard email.
Toegestane e-maildomeinen (optioneel): beperk het inloggen tot specifieke e-maildomeinen.
Accounts automatisch aanmaken: maak bij de eerste keer inloggen een Cliqer-account aan.

Opslaan

Sla op. De provider verschijnt nu op de inlogpagina.

Als je een provider bewerkt, kun je het veld voor het clientgeheim leeg laten om het opgeslagen geheim te behouden: het wordt nooit opnieuw aan je getoond.

Welke redirect-URI configureer ik in mijn IdP?

https://<your-cliqer-host>/sso/<slug>/callback

De slug wordt gegenereerd wanneer je de provider aanmaakt. De inlogflow begint bij /api/auth/sso/<slug>/start en keert terug naar de bovenstaande callback.

Kan ik meer dan één provider gebruiken?

Ja. Je kunt meerdere providers toevoegen; elke provider krijgt een eigen knop op de inlogpagina. Gebruik de lijst met toegestane e-maildomeinen om te bepalen wie elke provider accepteert.

Wat doet 'SSO verplichten'?

Wanneer je SSO verplichten inschakelt, wordt inloggen met wachtwoord en passkey aan de serverkant geweigerd voor de leden van je team: zij moeten een van je SSO-providers gebruiken.

De handhaving vindt plaats bij de inlogendpoints (/api/auth/login en de stap voor passkeyverificatie), niet door een formulier te verbergen, dus wie de API rechtstreeks aanroept, kan haar niet omzeilen.
De teameigenaar is uitgezonderd (break-glass): de eigenaar kan altijd inloggen met een wachtwoord, zodat een organisatie zichzelf nooit kan buitensluiten.

Voeg minstens één werkende provider toe en test die voordat je de handhaving inschakelt.

Wat gebeurt er met bestaande accounts?

Leden worden aan hun SSO-identiteit gekoppeld via de identificatieclaim (standaard het e-mailadres). Bestaande accounts behouden hun gegevens en instellingen. Met Automatisch aanmaken ingeschakeld krijgt een nieuwe SSO-gebruiker zonder overeenkomend account er automatisch een.

Hoe schakel ik de handhaving uit?

Zet SSO verplichten uit op dezelfde pagina. Inloggen met wachtwoord en passkey is meteen weer beschikbaar. Je providers blijven geconfigureerd.

Gerelateerd

Oplossingsblauwdruk

Architectuuroverzicht van Cliqer voor IT en inkoop: componenten, implementatiemodel, identiteit, tenancy en netwerkvereisten.

Algemene voorwaarden

Algemene voorwaarden voor het gebruik van de software en diensten van Cliqer.