Registreer eAdm bij een SAML-identiteitsprovider

Overzicht

Registreer de metadata van de eAdm-serviceprovider bij de identiteitsprovider en geef vervolgens de in eAdm toegewezen claim en precies één NameID af.

Download die metagegevens via Single Sign-On bij de klant, zoals beschreven op de bovenliggende pagina. Elke klant heeft zijn eigen metagegevens van de serviceprovider. Een gedeelde identiteitsprovider heeft één registratie nodig voor elke eAdm-klant.

Voorbeeld: Gemeente Fableton, org NO999000001. De inlogknop is Fableton AD FS. De UPN van de testgebruiker in beide mappen is teacher@fableton.example.

Voordat je begint

Je hebt nodig:

• De metadata van de eAdm-dienstverlener voor deze klant, afkomstig van Single Sign-On.

• Een beheerder van de identiteitsprovider.

• De claim-URI die in eAdm aan de provider is gekoppeld. Op de bovenliggende pagina worden de UPN, het e-mailadres en het nationale identiteitsnummer beschreven.

1. De metagegevens van de identiteitsprovider exporteren

Exporteer de openbare SAML-metadata. Deze moeten de entiteits-ID, de inlog-URL, de uitlog-URL en de openbare ondertekeningscertificaten bevatten. Geef dat bestand, of een openbare HTTPS-URL, op in de wizard op de bovenliggende pagina. Stuur geen privésleutel of PFX-bestand mee.

AD FS

De URL van de metagegevens is:

https://<your-adfs-host>/FederationMetadata/2007-06/FederationMetadata.xml

Open het bestand en sla de XML op. Een interne AD FS-host, of een host die via een privéadres bereikbaar is, blijft een bestandsupload.

2. Registreer je bij eAdm

Importeer de metadata van de eAdm-dienstverlener. Hierdoor wordt het volgende geregistreerd:

• Het entiteits-ID van deze klant.

• De URL van de assertieconsument (HTTP POST).

• De URL voor het eenmalig uitloggen (HTTP POST en HTTP-Redirect).

• Het openbare certificaat dat eAdm gebruikt om verzoeken te ondertekenen.

Configureer dat certificaat niet voor versleuteling. eAdm ontsleutelt geen beweringen. Onderteken beweringen met SHA-256.

Als de eAdm-host verandert, moet u de metagegevens opnieuw downloaden via Single Sign-On en de vertrouwensrelatie bijwerken. De URL van de consument en de uitlog-URL moeten overeenkomen met het bestand.

AD FS

1. Open AD FS-beheer.

2. Ga naar ‘Vertrouwen van vertrouwende partijen’.

3. Kies ‘Vertrouwen in vertrouwende partij toevoegen’.

4. Kies ‘Claims aware’.

5. Importeer het metadatabestand van de eAdm-dienstverlener.

6. Voer een weergavenaam in, bijvoorbeeld eAdm — Fableton.

7. Kies een toegangsbeheerbeleid dat alleen de gebruikers of groepen toestaat die zich bij eAdm mogen aanmelden.

8. Voltooi de wizard.

Controleer in de eigenschappen van de vertrouwende partij het volgende:

Twee eAdm-klanten binnen dezelfde AD FS-farm vormen twee vertrouwensrelaties tussen vertrouwende partijen. AD FS staat één vertrouwensrelatie per entiteits-ID toe.

3. Geef de toegewezen claim en één NameID af

Maak de in eAdm gekoppelde vordering vrij.

Voor ‘Single Logout’ is bovendien precies één NameID in de bewering nodig, plus een sessie-index. De NameID hoeft niet dezelfde te zijn als de claim die eAdm gebruikt om de gebruiker te vinden. Als er meer dan één NameID wordt gebruikt, kan de bewering mislukken of kan het uitloggen mislukken.

Meld je opnieuw aan nadat je de NameID-regel hebt toegevoegd of gewijzigd. Bestaande sessies krijgen daarna geen NameID toegewezen. De beheerderstest voor Single Sign-On meldt een fout totdat het uitloggen is voltooid, zelfs als de gebruiker is gevonden.

AD FS

Open de vertrouwende partij en selecteer ‘Beleid voor het uitgeven van claims bewerken’.

Er zijn twee regels nodig, in deze volgorde:

1. Een LDAP-regel die de aanmeldings-ID uit Active Directory ophaalt.

2. Een transformatieregel die één SAML NameID genereert.

AD FS verzendt alleen de claims die door deze regels worden gegenereerd.

UPN. Voeg ‘LDAP-attributen als claims verzenden’ toe:

• Naam van de regel: UPN uit Active Directory genereren

• Attribuutopslag: Active Directory

• LDAP-attribuut: User-Principal-Name

• Type uitgaande claim: UPN

Koppel in eAdm de UPN-claim-URI aan de UPN.

E-mail. Voeg ‘LDAP-attributen als claims verzenden’ toe:

• Naam van de regel: E-mailadres en UPN ophalen uit Active Directory

• Attribuutopslag: Active Directory

• LDAP-attribuut: E-mailadressen → type uitgaande claim: E-mailadres

• LDAP-attribuut: User-Principal-Name → type uitgaande claim: UPN

Wijs in eAdm de URI van de e-mailclaim toe aan e-mail. De UPN wordt nog steeds toegekend, dus deze kan als NameID dienen.

Nationaal identiteitsnummer. Alleen wanneer de waarde is opgeslagen in Active Directory en de klant toestemming geeft voor het vrijgeven ervan.

• Naam van de regel: Nationale ID en UPN uit Active Directory genereren

• Attribuutopslag: Active Directory

• LDAP-attribuut: het attribuut dat het nationale identificatienummer bevat → de URI van je aangepaste claim

• LDAP-attribuut: User-Principal-Name → type uitgaande claim: UPN

Koppel in eAdm die aangepaste URI aan het nationale identiteitsnummer.

NameID. Voeg na de LDAP-regel de optie ‘Een inkomende claim transformeren’ toe:

• Naam van de regel: UPN omzetten naar NameID

• Type inkomende claim: UPN

• Type uitgaande claim: Naam-ID

• Formaat van de naam-ID van de afzender: Niet gespecificeerd

• Alle claimwaarden doorlopen

Als UPN niet stabiel is, pas dan dezelfde regel toe op het type inkomende claim ‘E-mailadres’.

Gebruik het nationale identiteitsnummer niet in NameID. Gebruik het alleen als toegewezen identificatiecode, en alleen wanneer dat nodig is.

4. Aantonen dat men zich heeft aangemeld en afgemeld

Voer de test voor Single Sign-On uit en meld je vervolgens aan via de eAdm-aanmeldpagina, zoals beschreven op de bovenliggende pagina. Begin daar. Een aanmelding die wordt gestart op de eigen aanmeldpagina van de identiteitsprovider wordt geweigerd.

AD FS

Het AD FS-formulier accepteert de UPN van de gebruiker of DOMAIN\username. Het kenmerk ‘mail’ fungeert alleen als aanmeldingsnaam als die waarde overeenkomt met de aanmeldingsnaam van de gebruiker.

Voor het uitloggen dat in AD FS is gestart, moet de door de IdP geïnitieerde aanmeldingspagina beschikbaar zijn:

1. Meld je aan bij eAdm via AD FS.

2. Open in dezelfde browser https://<your-adfs-host>/adfs/ls/idpinitiatedsignon.aspx.

3. Kies ‘Afmelden bij alle websites die je hebt bezocht’.

Een AD FS-beheerder kan die pagina inschakelen met:

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

/adfs/ls/?wa=wsignout1.0 Dit is een WS-Federation-uitlogging. Hiermee wordt de AD FS-sessie beëindigd en wordt er geen SAML-uitlogverzoek naar eAdm verzonden.

Problemen oplossen

eAdm-symptomen, zoals een afgewezen metadata-URL, een ontbrekende gebruiker of een versleutelde bewering, staan op de bovenliggende pagina.

Wijzigingen in het certificaat

Wanneer eAdm bij Single Sign-On aangeeft dat het certificaat voor het ondertekenen van verzoeken moet worden vernieuwd, moet u de huidige metagegevens downloaden en de identiteitsprovider bijwerken voordat eAdm met het nieuwe certificaat gaat ondertekenen. Op de bovenliggende pagina staat beschreven hoe eAdm de certificaten van de identiteitsprovider vernieuwt.

AD FS

In de AD FS-metadata kunnen tijdens een rollover meerdere openbare certificaten voor het ondertekenen van tokens worden vermeld. Met een bestand:

1. Download de nieuwe AD FS-metadata voordat het oude certificaat voor het ondertekenen van tokens verloopt.

2. Upload het naar dezelfde aanbieder in eAdm.

3. Meld je één keer aan en meld je één keer af.

Vervang bij de vertrouwende partij het eAdm-handtekeningscertificaat wanneer eAdm zijn eigen sleutel vernieuwt. Laat het veld ‘Versleuteling ’ leeg.

Checklist voor de livegang

• De metagegevens van de serviceprovider van deze klant worden geïmporteerd als een afzonderlijke vertrouwensrelatie

• Er wordt vastgesteld dat de consumer een HTTP POST-verzoek verstuurt en dat het uitlog-eindpunt aanwezig is

• De lijst met versleutelingscertificaten is leeg en het ondertekeningsalgoritme is SHA-256

• De in kaart gebrachte claim is afgegeven

• Er wordt precies één NameID toegekend bij een nieuwe aanmelding

• De toegang bij de identiteitsprovider is beperkt tot de personen die eAdm mogen openen

• De beheerderstest voor Single Sign-On is geslaagd

• Het uitloggen bij de identiteitsprovider is een SAML-uitlogging van de vertrouwende partijen, waarna de eAdm-sessie wordt beëindigd

Gemeente Fableton (org NO999000001) is verzonnen.

Laatst bijgewerkt: 27 oktober 2026