> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-nl/beveiligen-en-beheren/identity-providers.md).
# Identiteitsproviders (SSO)
Laat uw gebruikers zich aanmelden bij Dispel met uw bestaande identiteitsprovider. Verbind Microsoft Entra ID, Okta of PingIdentity via OAuth (OIDC) of SAML voor single sign-on.
## Overzicht
Door een identiteitsprovider (IdP) te koppelen kunnen uw gebruikers zich bij Dispel aanmelden met dezelfde bedrijfsgegevens die ze al overal elders gebruiken — single sign-on (SSO). In plaats van een apart Dispel-wachtwoord te beheren, handelt uw IdP de authenticatie af en laat Dispel weten wie de gebruiker is.
Dispel ondersteunt vier identiteitsproviders. Active Directory maakt verbinding via LDAP(S); Microsoft Entra ID, Okta en Ping Identity maken elk verbinding via OAuth (OIDC) of SAML:
* [**Active Directory**](/documentation/documentation-nl/beveiligen-en-beheren/identity-providers/active-directory.md) — Microsofts lokale directoryservice.
* [**Microsoft Entra ID**](/documentation/documentation-nl/beveiligen-en-beheren/identity-providers/microsoft-entra-id.md) — Microsofts cloudidentiteitsplatform (voorheen Azure AD).
* [**Okta**](/documentation/documentation-nl/beveiligen-en-beheren/identity-providers/okta.md) — Okta's bedrijfsidentiteitsplatform.
* [**PingIdentity**](/documentation/documentation-nl/beveiligen-en-beheren/identity-providers/ping-identity.md) — Ping's gefedereerde identiteitsplatform.
{% hint style="info" %}
**Waar u het kunt vinden.** Meld u aan als beheerder van de organisatie en open **Instellingen → Integraties** (of de aparte **Instellingen → Authenticatie** pagina). De providers verschijnen in de sectie **Identiteit & Authenticatie (IdP / SSO)** . Klik op **Verbinden** bij een provider om te beginnen.
{% endhint %}
{% hint style="warning" %}
**Eén identiteitsprovider per organisatie.** Een organisatie kan op elk moment slechts één actieve IdP hebben, met één protocol. Om van provider te wisselen — of een bestaande provider te wisselen tussen OAuth en SAML — moet u eerst de huidige verbreken.
{% endhint %}
## Een protocol kiezen
Het protocol dat u gebruikt, wordt bepaald door de provider waarmee u verbinding maakt:
* Active Directory maakt alleen verbinding via LDAP(S).
* Microsoft Entra ID, Okta en Ping Identity ondersteunen elk zowel OAuth (OIDC) als SAML. Wanneer u een van deze configureert, kunt u kiezen tussen deze twee protocollen. Per provider kan er op elk moment slechts één actief zijn.
Kies voor die drie cloudproviders tussen OIDC en SAML op basis van hoe uw IdP-toepassing is ingesteld:
| Protocol | Wat het is | Kies dit wanneer |
| ---------------- | -------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------- |
| **OAuth** (OIDC) | Een open standaard voor delegatie van toegang, vaak gebruikt voor authenticatie op basis van tokens. | Uw IdP-app is ingesteld als een OIDC-/OAuth-toepassing. |
| **SAML** | Een op XML gebaseerd framework voor het uitwisselen van authenticatie- en autorisatiegegevens tussen partijen. | Uw IdP-app is ingesteld als een SAML-toepassing, of uw organisatie standaardiseert op SAML. |
> Active Directory gebruikt LDAP(S) — een protocol voor het opvragen van en authenticeren bij een directoryserver, beveiligd met TLS. Omdat AD alleen LDAP(S) ondersteunt, is er voor AD geen stap voor het kiezen van een protocol.
## Wat u opgeeft en wat Dispel levert
SSO instellen is een tweerichtingsuitwisseling. U geeft Dispel details over uw IdP, en — voor SAML — plakt u de serviceprovidergegevens van Dispel terug in uw IdP.
#### OAuth (OIDC)
U voert het volgende in bij Dispel in:
| Veld | Wat in te voeren |
| ----------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Client-URL** | De URL waar OAuth-tokens naartoe worden verzonden — te vinden in uw IdP-instellingen. |
| **Client-ID** | De unieke identificatie van uw IdP (vaak een URL of URN), uit uw IdP-instellingen. |
| **Clientgeheim** | Het clientgeheim dat door uw IdP is uitgegeven. |
| **Organisatie-identificatie** | Een unieke identificatie *die u* kiest. Uw gebruikers typen deze in op het aanmeldscherm van Dispel. Alleen letters, cijfers, streepjes en underscores. |
Registreer aan de IdP-zijde Dispel als een toepassing en stel de **omleidings-URI** in op uw Dispel-adres, gevolgd door `/oauth/login-callback` (bijvoorbeeld, `https://app.dispel.com/oauth/login-callback`). Als u het exacte adres voor uw omgeving niet weet, bevestig het dan met uw Dispel-contactpersoon.
#### SAML
Dispel toont bovenaan het SAML-formulier twee alleen-lezen waarden — plak deze in de SAML-toepassing van uw IdP:
| Dispel levert | Plak in uw IdP als |
| ----------------------------------------- | -------------------------------------------- |
| **Entiteits-ID van serviceprovider (SP)** | De entiteits-ID / audience van de SP. |
| **URL van Assertion Consumer Service** | De ACS-URL / reply-URL / single sign-on-URL. |
Gebruik de **ID kopiëren** en **URL kopiëren** knoppen ernaast. Voer vervolgens het volgende in Dispel in:
| Veld | Wat in te voeren |
| ---------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------- |
| **SSO-URL** | De URL waar de SAML-assertie naartoe wordt verzonden — te vinden in uw IdP-instellingen. |
| **Entiteits-ID van identiteitsprovider** | De unieke identificatie van uw IdP (vaak een URL of URN). |
| **Base64-ondertekeningscertificaat** | Het certificaat dat uw IdP gebruikt om SAML-asserties te ondertekenen. Plak het, of gebruik **Certificaat uploaden** (max. 1 MB). |
| **Organisatie-identificatie** | Een unieke identificatie *die u* kiest. Uw gebruikers typen deze in op het aanmeldscherm van Dispel. |
#### LDAP(S)
In tegenstelling tot de SSO-stromen is LDAP geen op omleidingen gebaseerde handdruk — Dispel maakt rechtstreeks verbinding met uw directory en authenticeert gebruikers daartegen. Er hoeft niets terug naar een ander systeem te worden geplakt; alle configuratie bevindt zich in Dispel. De onderstaande waarden komen van uw Active Directory-beheerder.
U voert het volgende in bij Dispel in:
| Veld | Wat in te voeren |
| ------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Aanmeldings-id** | Een unieke identificatie *die u* kiest. Uw gebruikers typen deze in op het aanmeldscherm van Dispel. |
| **Active Directory-domein** | Uw AD-DNS-domein — bijv. `corp.example.com`. |
| **Domeincontrollers** | De hostnaam/hostnamen van de domeincontroller(s) waarmee Dispel via LDAPS (poort 636) verbinding maakt — bijv. `dc01.corp.example.com`. |
| **Vertrouwen voor certificaat + CA-certificaat** | Hoe Dispel de TLS-verbinding valideert, en (aanbevolen) het CA-certificaat dat de certificaten van uw domeincontrollers heeft uitgegeven. Van uw PKI- of AD-beheerder; PEM, CRT of CER. |
| **Bind-DN of UPN** | Het alleen-lezen serviceaccount waarmee Dispel zich authenticeert — bijv. `svc-dispel@corp.example.com`. |
| **Bind-wachtwoord** | Het wachtwoord van het serviceaccount. |
| **Zoekbasis voor gebruikers** | De directorylocatie (OU) waarin naar gebruikers wordt gezocht — bijv. `OU=Users,DC=corp,DC=example,DC=com`. |
| **Zoekbasis voor groepen** | De directorylocatie (OU) waarin naar groepen wordt gezocht. |
| **Inlogattribuut** | Het attribuut dat gebruikers invoeren als hun gebruikersnaam — meestal `sAMAccountName`. |
## Een provider instellen
De exacte stappen aan de IdP-zijde verschillen per provider — zie de pagina van elke provider voor details. De algemene flow is hetzelfde:
1. Ga naar **Instellingen → Integraties** en klik op **Verbinden** op de kaart van de provider.
2. **Selecteer authenticatieprotocol** — OAuth of SAML.
3. *(alleen SAML)* Kopieer Dispel's **SP-entiteits-ID** en **ACS-URL** naar de SAML-app van uw IdP.
4. Vul de verbindingsvelden in met de waarden van uw IdP en kies een **Organisatie-identificatie**.
5. Klik op **Instellingen opslaan**.
6. *(alleen SAML)* Klik op **Verbinding testen**. Dispel stuurt u door naar uw IdP om in te loggen en toont daarna de gebruikersattributen die het heeft ontvangen (e-mail, voornaam, achternaam). Als de test mislukt, controleer dan of de gegevens overeenkomen met de SAML-app van uw IdP en of de testgebruiker bestaat in uw IdP en is uitgenodigd voor deze organisatie.
> Active Directory verbinden? AD gebruikt LDAP(S) en volgt een andere flow — Dispel maakt rechtstreeks verbinding met uw directory in plaats van via een SSO-handdruk om te leiden, en er is geen protocol om te kiezen. Zie de [installatiehandleiding voor Active Directory](/documentation/documentation-nl/beveiligen-en-beheren/identity-providers/active-directory.md) voor de volledige uitleg.
{% hint style="info" %}
**Geheimen zijn gemaskeerd.** Na het opslaan worden geheime velden (clientgeheim, certificaat) gemaskeerd. Wanneer u later bewerkt, laat een gemaskeerd veld ongewijzigd om de opgeslagen waarde te behouden.
{% endhint %}
## Hoe gebruikers zich aanmelden
Zodra SSO is geconfigureerd, melden gebruikers zich aan met uw IdP in plaats van met een Dispel-wachtwoord:
1. Op het aanmeldscherm van Dispel voert de gebruiker uw **Organisatie-identificatie**.
2. Dispel stuurt hen door naar uw IdP om zich te authenticeren.
3. Bij succes keren ze terug naar Dispel en worden ze aangemeld.
Dispel leest van de reactie van de IdP de **e-mail**, **voornaam**en **achternaam** van de gebruiker.
{% hint style="info" %}
**Gebruikers moeten eerst worden uitgenodigd.** SSO authenticert een gebruiker, maar geeft niet automatisch toegang. Een gebruiker moet al zijn uitgenodigd voor uw organisatie in Dispel voordat deze zich via SSO kan aanmelden. Zie [Een gebruiker uitnodigen voor Dispel](/documentation/documentation-nl/gebruikers-en-toegang-beheren/users/invite-a-user.md).
{% endhint %}
## Groepstoewijzing
U kunt SSO-gebruikers automatisch in Dispel-groepen plaatsen op basis van de groepen of claims die uw IdP verzendt. Groepslidmaatschap wordt bij elke aanmelding opnieuw geëvalueerd, zodat de toegang in de pas blijft met uw IdP. Zie [OIDC-groepskoppeling](/documentation/documentation-nl/integreren-en-beheren/integrations/oidc-group-mapping.md).
## SSO en multi-factor authenticatie
Wanneer SSO in gebruik is, is uw IdP verantwoordelijk voor authenticatie — inclusief eventuele MFA die u daar afdwingt. Daardoor worden Dispel's e-mail eenmalige codes niet toegepast op gebruikers die zich via SSO aanmelden. Houd hier rekening mee bij het ontwerpen van MFA-vereisten in de [Beleidsbouwer](/documentation/documentation-nl/beveiligen-en-beheren/policy-builder.md).
## Een provider wisselen of ontkoppelen
Om van provider te wisselen, of om een provider te wisselen tussen OAuth en SAML, **Ontkoppel** eerst de huidige integratie en verbind daarna de nieuwe.
{% hint style="warning" %}
**Ontkoppelen dwingt een wachtwoordreset af.** Het verwijderen van een SSO-integratie betekent dat getroffen gebruikers zich niet langer via de IdP kunnen aanmelden — ze moeten hun Dispel-wachtwoorden resetten om opnieuw in te kunnen loggen, en u moet alle velden opnieuw invoeren om opnieuw te koppelen.
{% endhint %}
## Veelgestelde vragen
Kan ik meer dan één identiteitsprovider tegelijk gebruiken?
Nee. Een organisatie heeft op elk moment één actieve IdP. Als u al met één provider verbonden bent, zijn de andere niet beschikbaar totdat u de verbinding verbreekt — u ziet een melding dat u momenteel verbonden bent met een andere provider en deze eerst moet ontkoppelen.
Kan ik zowel OAuth als SAML voor dezelfde provider gebruiken?
Nee. Per identiteitsprovider wordt op elk moment slechts één authenticatieprotocol ondersteund. Om van protocol te wisselen, verbreekt u de verbinding en koppelt u opnieuw aan met het andere protocol.
Wat is de Organisatie-identificatie?
Het is een kort, uniek label dat u kiest (letters, cijfers, streepjes en underscores). Uw gebruikers voeren het in op het aanmeldscherm van Dispel, zodat Dispel weet naar welke IdP ze moeten worden gestuurd.
Krijgt een gebruiker automatisch een account bij de eerste SSO-aanmelding?
Alleen als die al is uitgenodigd voor uw organisatie. SSO bewijst wie een gebruiker is, maar de gebruiker moet een uitnodiging in Dispel hebben om toegang te krijgen.
Wie kan SSO configureren?
Een beheerder van de organisatie. Het configureren of ontkoppelen van een identiteitsprovider vereist organisatiebewerkingsrechten.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-nl/beveiligen-en-beheren/identity-providers.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.