Single Sign-On (SSO)

SSO instellen en gebruiken

---

Gevaar

Deze gids is bedoeld voor systeembeheerders. Als u niet over de nodige technische expertise beschikt, neem dan contact op met uw IT-afdeling voor hulp.

Het Prevu3D Cloud Platform ondersteunt veilige Single Sign-On (SSO) via standaardprotocollen uit de sector:

• SAML 2.0 – voor verificatie en gebruikersaanmelding.

• SCIM 2.0 – voor automatische provisioning van gebruikers en groepen.

Ondersteunde identity providers

Elke identity provider die de protocollen SAML 2.0 en/of SCIM 2.0 volledig ondersteunt, zou compatibel moeten zijn met Prevu3D, waaronder Okta, Google Workspace, OneLogin, Ping Identity en andere. De implementatie van Prevu3D volgt de officiële SAML 2.0- en SCIM 2.0-specificaties, wat brede compatibiliteit met moderne identiteitssystemen garandeert.

We hebben de integratie grondig getest met:

• Microsoft Entra ID (voorheen Azure Active Directory)

• JumpCloud (Engels)

Opmerking

• Elke Prevu3D-organisatie ondersteunt slechts één verbinding met één identity provider tegelijk.

• De SSO-functie is inbegrepen in het Enterprise-abonnement. Neem contact op met sales@prevu3d.com om deze voor uw organisatie in te schakelen.

SAML 2.0 – Verificatie-installatie

Vereisten

Om op SAML gebaseerde SSO met Prevu3D te configureren, hebt u nodig:

• Beheertoegang tot uw Prevu3D-organisatie.

• Toegang tot uw IdP met toestemming om applicaties te configureren.

Stappen

1. Meld u aan bij uw Prevu3D-account (met uw e-mailadres en wachtwoord)

2. Ga naar het tabblad Instellingen

3. Selecteer het tabblad SSO in het menu links

Kunt u het tabblad “SSO” niet openen?

1. Als het ontbreekt, bent u geen organisatiebeheerder.

2. Als het grijs is, heeft uw organisatie geen abonnement op de SSO-functie.

4. Kopieer de volgende waarden uit het SSO-tabblad en plak ze in uw IdP-configuratie:

   • Service Provider Endpoint – de URL waarnaar uw IdP de SAML-assertie verstuurt. Uw IdP noemt dit mogelijk de ACS URL, Reply URL of Assertion Consumer Service URL.

   • Service Provider Entity ID – de unieke identificatie van Prevu3D in de SAML-uitwisseling. Uw IdP noemt dit mogelijk de Audience, Identifier of SP Entity ID.

Opgepast

Voer de Entity ID in uw IdP exact zo in als weergegeven op het SSO-tabblad, inclusief het volledige achtervoegsel (bijvoorbeeld xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx-production-############-Prevu3DCloudPlatform). Kopieer en plak de waarde in plaats van deze opnieuw te typen.

Als uw IdP een verkorte of beschrijvende audience-waarde verzendt (bijvoorbeeld Prevu3D), wordt de verificatie geweigerd wegens een audience-mismatch, ook al is de rest van uw configuratie correct. Dit is de meest voorkomende configuratiefout — zie Probleemoplossing.

5. Haal het volgende op uit uw IdP en voer het in op het SSO-tabblad:

   • SAML-certificaat (PEM-formaat)

   • SAML-endpoint-URL

6. Als SCIM niet is ingeschakeld, definieer dan de SAML-attribuuttoewijzingen – zie SAML-attribuuttoewijzingen hieronder.

   

Opgepast

Deze attributen zijn optioneel wanneer SCIM-provisioning is ingeschakeld en geconfigureerd. SCIM beheert automatisch gebruikersgegevens.

7. Klik op Opslaan onderaan de pagina.

8. Verifieer de configuratie voordat u deze uitrolt – zie Uw configuratie valideren hieronder.

SAML-attribuuttoewijzingen

Elk veld vertelt Prevu3D welk attribuut (claim) het moet lezen uit de SAML-assertie die door uw identity provider wordt verzonden. De waarde die u invoert, moet exact overeenkomen met de attribuutnaam die in uw IdP is geconfigureerd, inclusief hoofdlettergebruik.

Veld	Wat u invoert	Voorbeeldwaarden
First Name SAML Attribute Key	De naam van het IdP-attribuut met de voornaam van de gebruiker	givenName, firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
Last Name SAML Attribute Key	De naam van het IdP-attribuut met de achternaam van de gebruiker	familyName, surname, lastName

Weet u niet zeker welke attribuutnamen uw IdP verzendt? Leg een SAML-trace vast met een browserextensie zoals SAML-tracer en controleer de namen in de AttributeStatement, of raadpleeg de applicatieconfiguratie van uw IdP.

Rollen toewijzen via SSO

Deze sectie bevatte eerder een veld Role SAML Attribute Key en een keuzelijst Default Organization Role, die op basis van een SAML-attribuut één rol voor de hele organisatie toewezen. Beide zijn verwijderd: één rol voor de hele organisatie is niet fijnmazig genoeg, en de rollen die ze aanboden kwamen niet meer overeen met de aanpasbare rollen van uw organisatie.

Wijs rollen in plaats daarvan toe via Groepstoewijzing — koppel de groepen van uw IdP aan Prevu3D-groepen en geef elke groep de toegang die nodig is. Als SCIM is ingeschakeld, regelt u de roltoewijzing via SCIM.

SSO uitrollen naar uw gebruikers

Zodra de configuratie is opgeslagen en gevalideerd, bepalen twee zaken of uw gebruikers daadwerkelijk kunnen inloggen.

Domeinconfiguratie en nieuwe gebruikers

Uw e-maildomein moet aan uw Prevu3D-organisatie zijn gekoppeld. Domeinconfiguratie maakt het volgende mogelijk:

• Doorverwijzing vanaf de loginpagina – gebruikers die op Inloggen met SSO klikken en een e-mailadres op uw domein invoeren, worden doorgestuurd naar uw IdP.

• Just-in-time-accountaanmaak – wanneer een gebruiker op uw domein die Prevu3D nog nooit heeft gebruikt zich met succes via uw IdP verifieert, wordt er automatisch een Prevu3D-account aangemaakt, waarbij de namen worden gevuld op basis van uw SAML-attribuuttoewijzingen. Er is geen uitnodiging of handmatige accountaanmaak nodig. Het nieuwe account heeft geen projecttoegang totdat u die verleent — via Groepstoewijzing of door de gebruiker rechtstreeks aan projecten toe te voegen.

Opmerking

De domeinconfiguratie wordt door Prevu3D uitgevoerd als onderdeel van uw Enterprise SSO-onboarding. Neem contact op met support@prevu3d.com om uw e-maildomein(en) te claimen.

Zolang het domein nog niet is geconfigureerd, worden gebruikers op uw domein niet doorgestuurd naar uw IdP en kunnen zij bij het verifiëren een invalid_user_email_domain-melding ontvangen.

Opgepast

Gebruikers die via SSO worden aangemaakt, beginnen zonder projecttoegang. Verleen projecttoegang via groepen (met groepstoewijzing) of door gebruikers rechtstreeks aan projecten toe te voegen.

Gebruikers op een domein dat voor SSO is geconfigureerd, kunnen het beste inloggen met SSO in plaats van via een e-mailuitnodigingslink een account met wachtwoord aan te maken.

Bestaande gebruikers en accountkoppeling

Accounts die zijn aangemaakt voordat SSO werd ingeschakeld, moeten eenmalig aan uw identity provider worden gekoppeld voordat ze met SSO kunnen worden gebruikt. Gebruikers worden hier de eerste keer dat ze met SSO inloggen doorheen geleid, en hun projecten en gegevens blijven behouden. De stappen die zij zien, staan beschreven in Aanmelden & inloggen.

Opgepast

Voor het koppelen is het bestaande Prevu3D-wachtwoord van elke gebruiker nodig; wie dit niet meer weet, moet het eerst opnieuw instellen voordat koppelen mogelijk is.

Om dit volledig te voorkomen, neemt u contact op met support@prevu3d.com om alle accounts op uw e-maildomein in één handeling te koppelen. Gebruikers krijgen het koppelproces dan nooit te zien.

Uw configuratie valideren

Test SSO met een kleine groep gebruikers voordat u het breed uitrolt, en bevestig het volgende:

• Inloggen slaagt zowel vanaf de Prevu3D-loginpagina (Inloggen met SSO) als vanaf uw IdP-dashboard.

• Voor- en achternaam worden correct ingevuld op nieuwe accounts.

• Geen enkele gebruiker krijgt ruimere rechten dan verwacht.

• Groepslidmaatschappen worden zoals bedoeld toegepast, als u groepstoewijzing gebruikt.

Opmerking

Een SAML-trace die is vastgelegd met een browserextensie zoals SAML-tracer is de snelste manier om precies te controleren welke attributen en welke audience-waarde uw IdP verzendt.

Groepstoewijzing (optioneel)

Het is ook mogelijk om groepen uit uw IdP-systeem toe te wijzen aan Prevu3D-groepen om het toegangsbeheer voor mensen in uw organisatie te vereenvoudigen. De volgende stappen leiden u door het toewijzen van uw groepen.

• Configureer uw IdP om groepslidmaatschappen via een SAML-attribuut door te geven.

• Voer dit attribuut in op het tabblad Prevu3D SSO.

• Klik in de sectie “Groepen” van Prevu3D op “Groep bewerken” en geef de SAML-groepswaarde op die door uw IdP wordt verwacht.

• Deze toewijzing wordt op gebruikers toegepast wanneer ze zich aanmelden bij Prevu3D Cloud. Als de gebruiker al is aangemeld, moet hij zich afmelden en opnieuw aanmelden om de toegangswijzigingen door te voeren.

Opmerking

• Groepstoewijzing wordt toegepast bij aanmelding. Gebruikers moeten zich afmelden en opnieuw aanmelden om de bijgewerkte toegang toe te passen.

• Zorg ervoor dat de groep enige toegang krijgt; voor meer informatie, zie de sectie groepen.

Opgepast

• Als SCIM is ingeschakeld, moeten het aanmaken van groepen en het toewijzen van lidmaatschap in plaats daarvan via SCIM worden afgehandeld.

SCIM 2.0 – Provisioning-installatie

Prevu3D ondersteunt provisioning van gebruikers en groepen via het SCIM 2.0-protocol (System for Cross-Domain Identity Management).

Vereisten

• Uw organisatie moet op het Enterprise-abonnement zitten.

• Uw IdP moet SCIM ondersteunen (bijv. Azure AD/Entra, Okta, JumpCloud).

Wat SCIM mogelijk maakt

• Gebruikersprovisioning – nieuwe gebruikers worden automatisch aangemaakt in Prevu3D

• Gebruikersdeprovisioning – gebruikers worden uitgeschakeld of verwijderd wanneer ze in uw IdP worden uitgeschakeld

• Groepstoewijzing – groepen en rollen kunnen centraal worden beheerd vanuit uw IdP

Installatiegids

1. Meld u aan bij uw Prevu3D-account als organisatiebeheerder.

2. Ga naar het tabblad Instellingen

3. Selecteer het tabblad SSO in het menu links

4. Scrol naar de sectie SCIM-provisioning en schakel deze in.

   

5. U vindt:

   • SCIM-basis-URL (Entra ID-gebruikers, zie de waarschuwing hieronder)

   • Bearer-token

Opmerking

U kunt het bearer-token ook rouleren wanneer dit nodig is voor beveiliging of het rouleren van referenties.

Opgepast

Bij het configureren van SCIM met Entra ID (Azure AD) moet u ?aadOptscim062020 toevoegen aan het einde van de SCIM-basis-URL die door Prevu3D wordt verstrekt.

6. In uw identity provider (bijv. Microsoft Entra ID):

   • Open de Prevu3D enterprise-applicatie.

   • Schakel SCIM-provisioning in.

   • Voer de SCIM-basis-URL en het Bearer-token in die u via het SSO-tabblad hebt verkregen.

7. Configureer attribuuttoewijzingen voor:

   • userName, givenName, familyName, email

   • Optioneel: groups, roles, active

8. Sla uw configuratie op

   Uw IdP synchroniseert nu automatisch gebruikers en groepen met Prevu3D op basis van het provisioningschema.

Probleemoplossing

Symptoom	Waarschijnlijke oorzaak	Wat te doen
De aanmelding wordt niet voltooid nadat de IdP terugstuurt naar Prevu3D	De audience-waarde in de SAML-assertie komt niet exact overeen met de Service Provider Entity ID. Uw IdP verzendt mogelijk een verkorte of beschrijvende waarde.	Stel in uw IdP het veld Audience / Identifier / Entity ID in op exact de waarde die op het SSO-tabblad wordt weergegeven, inclusief het volledige achtervoegsel.
De gebruiker voert e-mailadres en wachtwoord in op de loginpagina en wordt nooit naar de IdP gestuurd	Het gewone inlogformulier is uitsluitend bedoeld voor accounts met een wachtwoord.	Laat de gebruiker op Inloggen met SSO onder de knop Inloggen klikken en vervolgens het zakelijke e-mailadres invoeren.
Geen doorverwijzing na het invoeren van een zakelijk e-mailadres op het scherm Inloggen met SSO	Het e-maildomein is niet aan uw Prevu3D-organisatie gekoppeld.	Neem contact op met support@prevu3d.com om uw e-maildomein te laten configureren.
{"statusCode":401,"message":"invalid_user_email_domain"} na verificatie bij de IdP	Dezelfde oorzaak: het e-maildomein van de gebruiker is niet aan uw organisatie gekoppeld.	Neem contact op met support@prevu3d.com om uw e-maildomein te laten configureren.
De gebruiker ziet “sessie verlopen” en wordt gevraagd het e-mailadres opnieuw in te voeren	Normaal onderdeel van de eenmalige accountkoppeling voor accounts die zijn aangemaakt voordat SSO werd ingeschakeld.	Laat de gebruiker doorgaan; dit is geen foutmelding. Zie Bestaande gebruikers en accountkoppeling.
Een bestaande gebruiker kan de accountkoppeling niet voltooien	Voor het koppelen is het bestaande Prevu3D-wachtwoord van de gebruiker nodig, dat hij mogelijk niet meer weet.	Laat het opnieuw instellen via Wachtwoord vergeten?, of vraag een bulkkoppeling voor uw domein aan bij support@prevu3d.com.
Namen zijn leeg of onjuist op nieuwe accounts	De SAML Attribute Keys die op het SSO-tabblad zijn ingevoerd, komen niet overeen met de attribuutnamen die uw IdP verzendt. Deze waarden zijn hoofdlettergevoelig.	Leg een SAML-trace vast, controleer de attribuutnamen in de AttributeStatement en pas de toewijzingen aan zodat ze exact overeenkomen.
Wijzigingen in groepstoegang worden niet doorgevoerd	Groepstoewijzing wordt alleen bij aanmelding toegepast.	Laat de gebruiker zich afmelden en opnieuw aanmelden.
Het rechtstreeks openen van de Service Provider Endpoint-URL in een browser geeft {"statusCode":500,"message":"Internal server error"}	Dit is verwacht gedrag. Dit endpoint accepteert uitsluitend SAML POST-verzoeken en kan niet rechtstreeks in een browser worden geopend.	Dit duidt niet op een configuratieprobleem. Test in plaats daarvan door in te loggen vanaf de loginpagina of vanuit uw IdP.

Opmerking

Komt u er nog steeds niet uit? Leg dan een SAML-trace vast van een aanmeldpoging die niet is voltooid, verwijder gevoelige waarden en stuur de trace naar support@prevu3d.com. Vermeld daarbij de audience-waarde en de attribuutnamen uit de assertie — daarmee kan ons team de meeste situaties in één keer analyseren.

Probleemoplossing voor aanmeldfouten

Als iemand niet kan inloggen via SSO vanwege een configuratieprobleem, toont Prevu3D een foutpagina met een korte foutcode. Zoek als beheerder de bijbehorende code hieronder op en volg de oplossing — elke fout wordt opgelost in de SAML-toepassing van uw IdP of op het SSO-tabblad in Prevu3D.

Opmerking

Sommige fouten worden aan de gebruiker getoond vanwege een geschiktheidsprobleem in plaats van een configuratieprobleem — bijvoorbeeld een e-maildomein dat niet aan uw organisatie is gekoppeld, een account dat geen lid is, of een account dat nog gekoppeld moet worden (zie Bestaande gebruikers en accountkoppeling). Deze vereisen geen wijziging aan uw IdP of het SSO-tabblad.

Configuratie niet gevonden

Code: ConfigNotFound

Er bestaat geen SAML-configuratie voor uw organisatie — SSO is nooit geconfigureerd, of de configuratie is verwijderd.

Zo lost u het op: Configureer SSO op het SSO-tabblad (Instellingen → SSO) met de metadata van uw IdP — zie Stappen hierboven — en controleer of de toepassing van uw IdP is gericht op de juiste Prevu3D-organisatie.

Ontbrekende e-mailassertie

Code: MissingEmailAssertion

Het SAML-antwoord van uw IdP bevatte geen e-mailadres (of NameID).

Zo lost u het op: Wijs in de SAML-toepassing van uw IdP het e-mail- (of NameID-)attribuut toe, zodat het in de assertie wordt opgenomen.

Ongeldige responshandtekening

Code: InvalidResponseSignature

De handtekening van het SAML-antwoord kon niet worden gevalideerd. Dit betekent meestal dat het certificaat dat op het SSO-tabblad is opgeslagen niet meer overeenkomt met het huidige ondertekeningscertificaat van uw IdP, of dat het antwoord helemaal niet is ondertekend.

Zo lost u het op: Kopieer het huidige x509-ondertekeningscertificaat van uw IdP naar het SSO-tabblad en zorg ervoor dat uw IdP is geconfigureerd om het SAML-antwoord te ondertekenen.

Certificaatfout

Code: CertificateError

Het certificaat dat op het SSO-tabblad is opgeslagen, is onjuist opgemaakt, verlopen, of kon niet worden verwerkt.

Zo lost u het op: Plak een geldig x509-certificaat in PEM-indeling van uw IdP. Als het huidige certificaat is verlopen, roteert u het.

Audience komt niet overeen

Code: AudienceMismatch

De audience die in uw IdP is geconfigureerd, komt niet overeen met de Service Provider Entity ID die Prevu3D voor uw organisatie verwacht.

Zo lost u het op: Stel in uw IdP het veld Audience / Identifier / Entity ID in op exact de Service Provider Entity ID die op het SSO-tabblad wordt weergegeven, inclusief het volledige achtervoegsel.

Ongeldige roltoewijzing

Code: InvalidRoleMapping

Een rolwaarde die door uw IdP wordt verzonden, komt niet overeen met een geldige Prevu3D-organisatierol.

Zo lost u het op: Roltoewijzing op basis van een SAML-attribuut is verwijderd, dus deze code betreft alleen organisaties die nog een rolattribuut uit een eerdere configuratie hebben staan. Wijs rollen toe via Groepstoewijzing en neem contact op met support@prevu3d.com als de fout aanhoudt.

Definities

• IdP, Identity Provider: verwijst naar het systeem dat alle gebruikers registreert en verbinding met diverse andere services mogelijk maakt. Dit is uw bron van waarheid voor uw organisatie, gebruikers en groepen. Bijv.: Azure AD, JumpCloud…

• SP, Service Provider: verwijst naar de serviceapplicatie die SSO-informatie gebruikt, in dit geval Prevu3D Cloud.

• SSO, Single Sign-On: verwijst naar een mechanisme waarmee gebruikers hun referenties vanuit één portaal kunnen verkrijgen en de configuratie van gebruikersbeheer over meerdere applicaties kunnen verdelen.

• SAML, Security Assertion Markup Language: een sectorbreed protocol dat het gebruik van SSO over meerdere cloudgebaseerde platforms mogelijk maakt.

• SCIM, System for Cross-Domain Identity Management: protocol voor het provisionen van gebruikers en groepen.