SSO-integratie | Gfacility

Integraties · Authenticatie · 1.4

Met single sign-on (SSO) loggen medewerkers in Gfacility in via de identity provider van jullie eigen organisatie, zoals Microsoft Entra ID (voorheen Azure AD) of OneLogin. Jullie IT bepaalt wie mag inloggen en onder welke voorwaarden. Gfacility ondersteunt OpenID Connect en SAML 2.0.

SSO of Aanmelden met Microsoft?

Beide laten medewerkers inloggen met hun zakelijke Microsoft-account, maar via een andere app in jullie Entra-omgeving. Kies er één.

	Aanmelden met Microsoft	Single sign-on (SSO)
Welke app	De app van Gfacility	Een app die jullie IT zelf aanmaakt
Inrichten	Een beheerder keurt één keer goed via een link	IT maakt een app-registratie, de Gfacility-beheerder vult de gegevens in
Wie beheert de app	Gfacility	Jullie eigen IT (wie mag inloggen, hoe lang een secret geldig is)
Geschikt voor	Snel starten, weinig IT-werk	Organisaties die zelf de controle willen houden

Kies je voor Aanmelden met Microsoft? Zie dan Aanmelden met Microsoft. Dit artikel gaat over SSO.

In dit artikel staan steeds de URL’s voor productie (app.gfacility.com) en UAT/test (uat.gfacility.com). Gebruik de URL van de omgeving die je inricht.

1. Configuratie via OpenID Connect (aanbevolen)

OpenID Connect is het snelst in te richten. Het werk is verdeeld over twee mensen: de IT-beheerder van jullie organisatie (stap A) en de Gfacility-beheerder (stap B).

A. In Microsoft Entra ID (IT-beheerder)

Stap	Wat te doen
1	Ga naar entra.microsoft.com → App-registraties → Nieuwe registratie. Geef een naam (bijv. Gfacility SSO) en kies Alleen accounts in deze organisatiemap.
2	Kies bij Redirect URI het platform Web en vul in: PROD: `https://app.gfacility.com/login/sso` UAT: `https://uat.gfacility.com/login/sso` Klik op Registreren.
3	Noteer op het Overzicht de Application (client) ID en de Directory (tenant) ID.
4	Klik op Eindpunten en kopieer het OAuth 2.0-autorisatie-eindpunt (v2). Dat eindigt op `/oauth2/v2.0/authorize`.
5	Ga naar Verificatie en vink ID-tokens aan. Klik op Opslaan.
6	Ga naar Certificaten en geheimen → Nieuw clientgeheim. Kopieer direct de Waarde (niet de Geheim-ID); die is maar één keer zichtbaar. Noteer de vervaldatum.
7	Ga naar API-machtigingen. Controleer dat onder Microsoft Graph (gedelegeerd) `openid`, `profile` en `User.Read` staan. Klik op Beheerderstoestemming verlenen voor [organisatie] en bevestig.
8	Ga naar Ondernemingstoepassingen → [naam van de app] → Gebruikers en groepen en voeg de medewerkers of groepen toe die mogen inloggen.

B. In Gfacility (Gfacility-beheerder)

Ga naar Integraties & Aanmelden → Single sign-on (SSO) → Identity provider toevoegen en kies Microsoft Entra ID (OpenID). Vul in:

Veld in Gfacility	Wat vul je in
Authority-URL	Het autorisatie-eindpunt uit stap 4, eindigend op `/oauth2/v2.0/authorize`
Redirect-URL	Precies dezelfde URL als in stap 2
Redirect-URL na uitloggen	Optioneel, bijv. `https://app.gfacility.com/login`
Scope	Leeg laten (Gfacility gebruikt dan `openid profile`)
Tenant-ID	De Directory (tenant) ID uit stap 3
Client ID	De Application (client) ID uit stap 3
Client secret	De Waarde uit stap 6

Klik op Verbinding testen. Zet single sign-on pas aan voor iedereen nadat je met één gebruiker hebt getest (zie hieronder).

Testen

Open een nieuw privévenster en ga naar https://app.gfacility.com/login/sso?email=naam@jouwbedrijf.nl (of uat. voor de testomgeving). Log in met dat account. Kom je in Gfacility uit, dan werkt het.

Je ziet	Oorzaak en oplossing
"Need admin approval"	De beheerderstoestemming uit stap 7 ontbreekt. Staat er de naam van de Gfacility-app in plaats van jullie eigen app, dan gaat de inlog via Aanmelden met Microsoft: gebruik de link met `/login/sso`.
Fout over de reply URL of redirect URI	De Redirect-URL in Gfacility en in Entra is niet exact gelijk. Let op `https`, `app` of `uat` en een `/` aan het eind.
"not assigned to a role" of vergelijkbaar	De gebruiker is niet toegevoegd in stap 8.
Terug bij Gfacility, maar niet ingelogd	Het e-mailadres van de gebruiker in Gfacility moet gelijk zijn aan zijn Microsoft-inlognaam.

2. Configuratie via SAML 2.0

SAML vraagt een eenmalige inrichting door Gfacility. Stem daarom eerst met ons af welke bedrijfsnaam je in de URL’s gebruikt. Daarna volg je in Microsoft Entra ID deze stappen:

Stap	Wat te doen
1	Ga naar Toepassingen → Bedrijfstoepassingen → Overzicht.
2	Open de Azure AD SAML Toolkit. Niet aanwezig? Klik + Nieuwe toepassing.
3	In linkermenu: Eenmalige aanmelding (Single sign-on).
4	Klik Bewerken bij de standaard SAML-configuratie en vul de URL's in (zie hieronder).
5	Stuur ons de gegevens uit stap 3 (SAML-certificaten) en stap 4 (Toolkit).

URL’s voor stap 4

Vervang {bedrijfsnaam} door de naam die je met Gfacility hebt afgesproken.

Productie

Entiteits-ID: https://app.gfacility.com/api/sso/{bedrijfsnaam}/metadata
Antwoord-URL (ACS): https://app.gfacility.com/api/sso/{bedrijfsnaam}/acs
Aanmeldings-URL: https://app.gfacility.com/login/sso

UAT / Test

Entiteits-ID: https://uat.gfacility.com/api/sso/{bedrijfsnaam}/metadata
Antwoord-URL (ACS): https://uat.gfacility.com/api/sso/{bedrijfsnaam}/acs
Aanmeldings-URL: https://uat.gfacility.com/login/sso

Wat geef je door aan Gfacility?

Stap 3 (SAML certificaten): App-URL voor federatieve metagegevens.
Stap 4 (SAML Toolkit): Aanmeldings-URL, Microsoft Entra-id en URL voor afmelden.

Zodra Gfacility de koppeling heeft ingericht, voeg je in Gfacility bij Integraties & Aanmelden → Single sign-on (SSO) een identity provider toe van het type Microsoft Entra ID (SAML). Vul daar als Redirect-URL de aanmeldings-URL van Entra in.

Zie ook het Microsoft-artikel over SAML configureren in Entra voor uitgebreide context.

Inloggen met SSO

Eindgebruikers kiezen op het inlogscherm voor “Inloggen met SSO”. Met een directe URL kun je dat extra makkelijk maken:

Auto-detectie

De gebruiker vult één keer zijn e-mailadres in. De browser onthoudt het bij volgende bezoeken. Handig om op het intranet te zetten.

PROD: https://app.gfacility.com/login/sso?email=auto

UAT: https://uat.gfacility.com/login/sso?email=auto

Specifieke URL

E-mail meegeven in de URL (bijv. via intranet). De gebruiker hoeft niets in te vullen.

PROD: app.gfacility.com/login/sso?email=mail@gebruiker.com

UAT: uat.gfacility.com/login/sso?email=mail@gebruiker.com

← Vorige: Aanmelden met Microsoft Volgende: E-mailverzending instellen→