SAML 2.0 SSO

Met cside kunt u elke SAML 2.0-identityprovider (IdP) koppelen en gebruiken om gebruikers te authenticeren in uw cside-organisatie. Een generieke configuratie dekt elke SAML-compatibele provider, dus de stappen zijn hetzelfde of u nu Okta, Microsoft Entra ID, OneLogin, JumpCloud, Ping, Keycloak of een eigen IdP gebruikt.

Wanneer u SAML SSO inschakelt, wordt iedereen met uw bedrijfs-e-maildomein doorgestuurd om te authenticeren met uw IdP. Dit betekent dat u uw IdP kunt gebruiken om te bepalen wie toegang heeft tot cside, en wanneer u iemand toestaat, wordt deze automatisch zonder rechten aan uw cside-organisatie toegevoegd.

Vereisten:

• cside Enterprise-plan
• Organisatiebeheerder-rol in cside
• SAML 2.0 SSO door cside ingeschakeld voor uw organisatie
• Een reeds ingestelde cside-organisatie - de eerste beheerder (u) wordt de eerste gebruiker en wordt bij migratie omgezet naar SSO
• Beheerderstoegang tot een SAML 2.0-identityprovider die assertions kan ondertekenen en zijn metadata kan publiceren

Als u liever OIDC gebruikt, raadpleeg dan de handleidingen voor Okta, Duo of Microsoft Entra ID. Een organisatie kan tegelijk een OIDC- en een SAML-configuratie hebben, zolang elk e-maildomein door slechts een van beide wordt geclaimd.

Navigeren naar SSO-instellingen

U kunt uw organisatie-instellingen direct openen, of er handmatig naartoe navigeren:

1. Klik op uw account linksonder in het dashboard
2. Selecteer View organization

3. Selecteer Settings

4. Navigeer naar het tabblad SSO
5. Klik op Select Provider (of Change Provider als u al SSO hebt geconfigureerd) en selecteer SAML 2.0

cside toevoegen aan uw identityprovider

Bovenaan de sectie SAML 2.0 staan de twee waarden die uw IdP nodig heeft. Kopieer ze vanuit het dashboard naar de SAML-applicatie die u in uw IdP aanmaakt:

Waarde in cside	Waar deze in uw IdP hoort	Huidige waarde
Assertion Consumer Service (ACS) URL	ACS URL, Reply URL of Single sign-on URL	https://gql.cside.com/v1/auth/saml/acs
Service provider entity ID (Audience)	Entity ID, Audience URI of Identifier	https://cside.dev/saml/sp

Als uw IdP liever een metadatadocument van de serviceprovider importeert, verwijs dan naar https://gql.cside.com/v1/auth/saml/metadata.

Configureer de applicatie vervolgens als volgt. De exacte veldnamen verschillen per IdP, maar elke SAML 2.0-provider biedt deze instellingen:

1. Name ID: Stel het formaat in op emailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) en koppel het aan het primaire e-mailadres van de gebruiker. cside gebruikt deze waarde om de gebruiker te identificeren.
2. Attributen (optioneel): Voeg een attribuut voor de weergavenaam toe. cside herkent displayName, name, urn:oid:2.16.840.1.113730.3.1.241, urn:oid:2.5.4.3 en de claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name. Zonder dit attribuut wordt het e-mailadres van de gebruiker als naam gebruikt.
3. Ondertekening: Onderteken de assertion. Ook de volledige response ondertekenen is prima, maar een niet-ondertekende assertion in een ondertekende response wordt geweigerd. Gebruik SHA-256.
4. Versleuteling: Laat assertion-versleuteling uit. cside publiceert geen versleutelingscertificaat, dus versleutelde assertions kunnen niet worden gelezen.
5. Ondertekende verzoeken: Vereis geen ondertekende authenticatieverzoeken. cside verstuurt niet-ondertekende SAML-verzoeken.
6. Binding: Het single sign-on-endpoint van uw IdP moet de HTTP-Redirect-binding ondersteunen. cside stuurt de gebruiker daarheen en ontvangt de response op de ACS URL via HTTP-POST.
7. Toewijzingen: Wijs de gebruikers of groepen toe die toegang tot cside moeten krijgen. Denk hier goed over na: iedereen die uw IdP doorlaat, wordt aan uw organisatie toegevoegd.

Als de Name ID in uw IdP geen e-mailadres kan zijn, valt cside terug op een e-mailattribuut met de naam email, mail, emailAddress, urn:oid:0.9.2342.19200300.100.1.3 of de claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress.

Vereiste gegevens verkrijgen

U hebt de SAML-metadata van uw IdP nodig. Elke IdP biedt deze in een van twee vormen aan:

1. Metadata URL: Een openbare https://-link naar de metadata-XML (aanbevolen)
2. Metadata XML: Een downloadbaar metadatadocument

cside leest drie dingen uit de metadata: de entity ID van de IdP, de HTTP-Redirect single sign-on-URL en de ondertekeningscertificaten. Die voert u niet handmatig in.

SSO configureren in cside

1. Ga naar het cside-dashboard en open de sectie SAML 2.0 zoals beschreven in Navigeren naar SSO-instellingen.
2. Vul de vereiste velden in:
   • Email domain: Het e-maildomein van uw bedrijf (bijv. example.com). Scheid meerdere domeinen met komma’s. Een domein kan slechts door een SSO-configuratie worden geclaimd, over alle cside-organisaties heen.
   • Metadata URL of Paste metadata XML: Kies de bron die overeenkomt met wat uw IdP u gaf, en plak de URL in Identity provider metadata URL of het document in Identity provider metadata XML.
3. Klik op Save SAML configuration.

cside haalt de metadata op of verwerkt deze, controleert ze en slaat de configuratie op. De metadata-URL moet https:// gebruiken, openbaar bereikbaar zijn, het document direct zonder redirects teruggeven en kleiner zijn dan 512 KB.

Na het opslaan toont de sectie de entity ID van de Identity provider, de Sign-on URL en het aantal Active signing certificates, samen met twee extra knoppen:

• Refresh certificates: Leest de metadata-URL opnieuw en vervangt de opgeslagen ondertekeningscertificaten. Alleen zichtbaar bij configuraties op basis van een metadata-URL.
• Remove SAML: Verwijdert de configuratie. Gebruikers op de geconfigureerde domeinen loggen weer in met een wachtwoord.

Uw configuratie testen

Er is geen aparte verificatiepop-up voor SAML: bij het opslaan wordt de configuratie direct actief. Test deze voordat u uw team informeert:

1. Een nieuw incognito-/prive-browservenster te openen
2. Te navigeren naar dash.cside.com
3. Een e-mailadres in te voeren met uw geconfigureerde domein
4. U zou doorgestuurd moeten worden naar uw identityprovider voor authenticatie en ingelogd terug moeten komen in het cside-dashboard

Inloggen starten vanaf de applicatietegel in uw IdP werkt ook. cside accepteert de ongevraagde assertion niet rechtstreeks. Het stuurt de gebruiker via een door cside gestart verzoek terug naar dezelfde IdP, wat meestal wordt afgerond zonder dat de gebruiker het merkt.

Ondertekeningscertificaten roteren

cside accepteert elk ondertekeningscertificaat dat in uw metadata staat, dus u kunt het nieuwe certificaat naast het oude publiceren, uw IdP omschakelen en het oude intrekken zonder onderbreking:

• Metadata URL: Klik na elke wijziging in uw IdP op Refresh certificates in de sectie SAML 2.0.
• Geplakte XML: Download de bijgewerkte metadata, plak deze in Identity provider metadata XML en klik op Save SAML configuration.

Problemen oplossen

Fouten bij het opslaan

Melding	Betekenis
SAML SSO is not enabled for this organization.	cside heeft SAML 2.0 nog niet ingeschakeld voor uw organisatie. Neem contact op met uw cside-vertegenwoordiger.
The email domain ”…” is already used by an OIDC integration.	Het domein is geclaimd door een andere SSO-configuratie, in uw organisatie of een andere. Verwijder het daar eerst. Hetzelfde geldt wanneer de melding een SAML-integratie noemt.
This identity provider is already configured by another organization.	De entity ID in de metadata hoort bij een IdP die een andere cside-organisatie al gebruikt. Controleer of u uw eigen metadata hebt geplakt.
This metadata has no entityID.	Het document is geen volledig IdP-metadatabestand. Kopieer de volledige EntityDescriptor.
This metadata has no HTTP-Redirect single sign-on URL.	Uw IdP adverteert alleen een HTTP-POST-endpoint. Schakel de HTTP-Redirect-binding in voor de applicatie.
This metadata has no signing certificate.	De metadata mist een KeyDescriptor voor ondertekening. Schakel assertion-ondertekening in en download de metadata opnieuw.
The single sign-on URL must use https.	Het inlog-endpoint van uw IdP wordt via onversleuteld HTTP aangeboden.
The metadata URL redirects.	Verwijs het veld naar het uiteindelijke metadatadocument, niet naar een doorverwijzende link.
The metadata URL returned 404.	De link is onjuist of de metadata vereist authenticatie. Elke andere status dan 200 wordt zo gemeld.
Could not reach the metadata URL. / The metadata URL timed out.	De servers van cside kunnen de URL niet binnen 10 seconden bereiken. Controleer of deze openbaar is.
The metadata URL must resolve to a public address.	De hostnaam verwijst naar een prive- of intern IP-adres. Gebruik de optie met geplakte XML voor een interne IdP.
The metadata document is too large.	Het document is groter dan 512 KB. Verwijder niet-relevante descriptors of gebruik de optie met geplakte XML.
This SAML integration was configured with pasted metadata, so there is no URL to refresh from.	Refresh certificates werkt alleen bij configuraties op basis van een URL. Plak in plaats daarvan de bijgewerkte XML.

Fouten bij het inloggen

Melding	Betekenis
Unknown SAML identity provider	De issuer in de SAML-response komt met geen enkele geconfigureerde integratie overeen, of SAML SSO is voor de organisatie uitgeschakeld. Controleer of de IdP-metadata in cside actueel is.
This sign-in request could not be verified.	cside heeft de assertion geweigerd. De exacte reden staat in de logs van cside; controleer de oorzaken hieronder.
Signing in with SAML is not yet available for accounts whose only two-factor method is a security key.	Het account heeft alleen een beveiligingssleutel als MFA-methode. Log in via de cside-inlogpagina of voeg een authenticator-app toe.
This email is not enrolled for cside SAML SSO	Het e-maildomein staat niet in een SAML-configuratie, of SAML SSO is voor de organisatie uitgeschakeld.

Veelvoorkomende oorzaken van This sign-in request could not be verified:

• De assertion is niet ondertekend, of alleen de response-envelop is ondertekend
• De assertion is versleuteld
• De Audience in de assertion is niet https://cside.dev/saml/sp
• De Destination is niet de ACS URL die in cside wordt getoond
• De IdP heeft ondertekend met een certificaat dat niet in de opgeslagen metadata staat (roteer met Refresh certificates of plak de nieuwe XML)
• Het e-mailadres van de gebruiker ontbreekt in zowel de Name ID als de e-mailattributen
• Het e-maildomein van de gebruiker is niet een van de geconfigureerde domeinen
• De klok van de IdP loopt meer dan vijf minuten af
• Dezelfde response is twee keer verstuurd (assertions zijn voor eenmalig gebruik)