> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-nl/beveiligen-en-beheren/identity-providers/active-directory.md).

# Active Directory

Gebruik Active Directory als uw identiteitsprovider, zodat gebruikers zich bij Dispel aanmelden met hun Active Directory-gegevens via LDAPS.

## Een Active Directory-integratie configureren <a href="#configuring-an-active-directory-integration" id="configuring-an-active-directory-integration"></a>

Verbind Dispel met de **Active Directory (AD)** van uw organisatie, zodat uw team kan inloggen met hun bestaande bedrijfsgegevens, waarbij toegang automatisch wordt verleend op basis van de AD-groepen waarvan gebruikers al deel uitmaken.

***

### Voordat u begint <a href="#before-you-begin" id="before-you-begin"></a>

Deze resources zijn nodig om gebruikers via uw Active Directory te laten inloggen op Dispel.

* **Een AD-servicerekening met alleen-lezenrechten**: Dispel gebruikt dit om gebruikers en groepen op te zoeken. Dit moet minimaal geprivilegieerd zijn en heeft geen schrijfrechten nodig.
* **De hostnamen van uw domeincontrollers** (bijvoorbeeld `dc01.corp.example.com`), bereikbaar vanuit Dispel via **LDAPS (poort 636)**.
* **Het CA-certificaat** dat de TLS-certificaten van uw domeincontrollers heeft uitgegeven.
* **De organizationele eenheden (OU's)** waar uw gebruikers en groepen zich bevinden.

***

### 1. Open de Active Directory-instellingen <a href="#id-1.-open-the-active-directory-settings" id="id-1.-open-the-active-directory-settings"></a>

Navigeer naar **Instellingen → Authenticatie → Active Directory** in het Dispel-dashboard.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-a5e4e108ec026492bf2c642249fba1dc49494502%2FScreenshot%202026-07-29%20at%204.43.53%E2%80%AFPM.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### 2. Geef de integratie een naam en stel de aanmeldingsidentifier in <a href="#id-2.-name-the-integration-and-set-the-sign-in-identifier" id="id-2.-name-the-integration-and-set-the-sign-in-identifier"></a>

Vul de **Verbinding** sectie.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-d98e1227d88d12bc8afc75b02bedd57c4afb9a15%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Veld                         | Wat het is                                                                                                                                     | Waar u het kunt vinden                                                                           |
| ---------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ |
| **Naam**                     | Een vriendelijke naam voor deze integratie, alleen zichtbaar binnen Dispel.                                                                    | Uw keuze - bijv. "Corporate AD" of "Plant Directory".                                            |
| **Aanmeldingsidentificatie** | Het korte, unieke trefwoord dat uw gebruikers invoeren wanneer ze zich via deze directory aanmelden. Gebruik letters, cijfers en koppeltekens. | Uw keuze - bijv. `plant-directory`. Moet uniek zijn binnen al uw integraties.                    |
| **Active Directory-domein**  | De DNS-domeinnaam van uw AD.                                                                                                                   | Uw AD/DNS-domein, bijv. `corp.example.com`. Vraag het uw AD-beheerder als u het niet zeker weet. |

***

### 3. Voeg uw domeincontrollers toe <a href="#id-3.-add-your-domain-controllers" id="id-3.-add-your-domain-controllers"></a>

Maak een lijst van de domeincontrollers waarmee Dispel verbinding moet maken. Voeg er één per regel toe; u kunt er meerdere toevoegen voor redundantie.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6a0922c8b797f53a8d7deb15cda58dc015734cc5%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Veld           | Wat het is                                                                       | Waar u het kunt vinden                                                                                       |
| -------------- | -------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------ |
| **Controller** | De hostnaam (of IP) van een domeincontroller, bereikbaar via LDAPS op poort 636. | bijv. `dc01.corp.example.com`. Van uw AD-beheerder of DNS. Zorg ervoor dat deze bereikbaar is vanuit Dispel. |

> **Tip:** Nadat u hebt opgeslagen en getest, toont elke controller een gezondheidsstatus - **Gezond**, **Niet bereikbaar**, **TLS mislukt**, of **Koppeling mislukt** - zodat u verbindingsproblemen in één oogopslag kunt zien.

***

### 4. Kies certificaatvertrouwen <a href="#id-4.-choose-certificate-trust" id="id-4.-choose-certificate-trust"></a>

Onder **Certificaatvertrouwen**, kies hoe Dispel het TLS-certificaat van uw domeincontrollers valideert. **Volledige validatie wordt sterk aanbevolen.**

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-bd1dd84fed3f3497cd68da90f5d5c4efdc7f0b10%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Optie                                          | Wat het betekent                                                                           | Wanneer te gebruiken                                                                                 |
| ---------------------------------------------- | ------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------- |
| **Keten en hostnaam valideren** *(aanbevolen)* | Dispel verifieert de certificaatketen **en** en dat de hostnaam overeenkomt. Het veiligst. | Bijna altijd. Upload hieronder uw CA-certificaat.                                                    |
| **Hostnaamcontrole overslaan**                 | De keten wordt nog steeds geverifieerd; alleen de hostnaamovereenkomst wordt overgeslagen. | Alleen als de hostnaam van uw certificaat niet overeenkomt met het adres waarmee u verbinding maakt. |
| **Validatie uitschakelen**                     | De verbinding is **niet** geauthenticeerd en kan worden onderschept.                       | Niet aanbevolen. Vereist een expliciete bevestiging.                                                 |

| Veld               | Wat het is                                                                                                                                          | Waar u het kunt vinden                                                    |
| ------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------- |
| **CA-certificaat** | Het openbare certificaat van de autoriteit die de certificaten van uw domeincontrollers heeft ondertekend. Plak de PEM-tekst of upload een bestand. | Van uw PKI- of AD-beheerder. Geaccepteerde formaten: **PEM, CRT of CER**. |

***

### 5. Voeg de gegevens van het serviceaccount toe <a href="#id-5.-add-the-service-account-credentials" id="id-5.-add-the-service-account-credentials"></a>

Onder **Serviceaccount**, geef het alleen-lezenaccount op waarmee Dispel uw directory opvraagt.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6ef23b59a1eac4c022eb0e39b658dd157de489fb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Veld               | Wat het is                                            | Waar u het kunt vinden                                                                                                                                                                             |
| ------------------ | ----------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Bind DN of UPN** | Het serviceaccount waarmee Dispel zich authenticeert. | De UPN van het account (bijv. `svc-dispel@corp.example.com`) of de distinguished name (bijv. `CN=svc-dispel,OU=Service Accounts,DC=corp,DC=example,DC=com`). Gebruik een **alleen-lezen** account. |
| **Bindwachtwoord** | Het wachtwoord van het serviceaccount.                | Ingesteld door degene die het serviceaccount heeft aangemaakt. (Eens opgeslagen, wordt het verborgen — voer alleen een nieuwe waarde in om deze te vervangen.)                                     |

***

### 6. Stel de identiteitskoppeling in <a href="#id-6.-set-the-identity-mapping" id="id-6.-set-the-identity-mapping"></a>

Onder **Identiteit**, vertel Dispel waar gebruikers en groepen te vinden zijn, en welke attributen moeten worden gelezen.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-9f6db0d32b9d7b0b837eebf35e7326fb99288cd3%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Veld                          | Wat het is                                                                      | Waar u het kunt vinden                                                                                  |
| ----------------------------- | ------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------- |
| **Zoekbasis voor gebruikers** | De OU (distinguished name) waaronder Dispel zoekt naar gebruikers.              | bijv. `OU=Users,DC=corp,DC=example,DC=com`. Van uw AD-structuur (Active Directory Users and Computers). |
| **Zoekbasis voor groepen**    | De OU waaronder Dispel zoekt naar groepen.                                      | bijv. `OU=Groups,DC=corp,DC=example,DC=com`. Van uw AD-structuur.                                       |
| **Aanmeldattribuut**          | Het AD-kenmerk dat gebruikers invoeren als hun gebruikersnaam bij het inloggen. | Kies uit de gevonden kenmerken - meestal `sAMAccountName` of `userPrincipalName`.                       |

**Geavanceerd** (optioneel - uitvouwen om aan te passen):

| Veld             | Wat het is                                                             | Waar u het kunt vinden                 |
| ---------------- | ---------------------------------------------------------------------- | -------------------------------------- |
| **Weergavenaam** | Het kenmerk dat wordt gebruikt voor de weergavenaam van een gebruiker. | Meestal `displayName` of `cn`.         |
| **E-mail**       | Het kenmerk dat wordt gebruikt voor het e-mailadres van een gebruiker. | Meestal `mail` of `userPrincipalName`. |

***

### 7. Test de verbinding <a href="#id-7.-test-the-connection" id="id-7.-test-the-connection"></a>

Klik op **Verbinding testen**. Dispel maakt een koppeling met het serviceaccount en controleert elke domeincontroller.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-c5b37669559382afc58b977bc800e61b296c6206%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

* Een **geslaagd** test ontgrendelt de groepskoppeling en laat u de integratie inschakelen.
* Als een controller **TLS mislukt**, **Koppeling mislukt**, of **Niet bereikbaar**toont, zie [Probleemoplossing](#troubleshooting) hieronder.

> **Opmerking:** Als u later instellingen van de verbinding wijzigt, wordt het vorige testresultaat **Verouderd** - test opnieuw vóór het inschakelen.

***

### 8. Koppel AD-groepen aan Dispel-groepen <a href="#id-8.-map-a-d-groups-to-dispel-groups" id="id-8.-map-a-d-groups-to-dispel-groups"></a>

Onder **Groepstoegang**, koppel elke Active Directory-groep aan de Dispel-groep waarvan deze toegang moet verlenen. **Gebruikers die niet in een gekoppelde groep vallen, kunnen niet inloggen**, dus koppel er ten minste één.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6faf89ae9eeaf03c1c10a4dec3387878abb60bcb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Kolom                | Wat het is                                                                 | Waar u het kunt vinden                                   |
| -------------------- | -------------------------------------------------------------------------- | -------------------------------------------------------- |
| **AD-groep**         | De Active Directory-groep waarvan het lidmaatschap moet worden uitgelezen. | Begin met typen om de groepen in uw directory te zoeken. |
| **Organisatiegroep** | De Dispel-groep waarvan deze leden toegang krijgen.                        | Kies uit uw bestaande Dispel-groepen.                    |

Gebruik **Koppeling toevoegen** om meer rijen toe te voegen. Leden worden automatisch gesynchroniseerd: gebruikers die aan een gekoppelde AD-groep worden toegevoegd krijgen toegang, en gebruikers die worden verwijderd verliezen toegang.

***

### 9. (Optioneel) Test een gebruikersaanmelding <a href="#id-9.-optional-test-a-user-sign-in" id="id-9.-optional-test-a-user-sign-in"></a>

Voordat u inschakelt, kunt u een echte gebruikersaanmelding droogtesten onder **Gebruikersaanmelding testen** om te bevestigen dat ze zouden mogen inloggen en in de juiste groepen terechtkomen.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-3811d6a9b2386fe71ed7178b0634ab8eff5880a2%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Veld               | Wat het is                                          | Waar u het kunt vinden                                                                                        |
| ------------------ | --------------------------------------------------- | ------------------------------------------------------------------------------------------------------------- |
| **Gebruikersnaam** | Een echte directorygebruikersnaam om mee te testen. | De inlogwaarde van een willekeurige AD-gebruiker (die overeenkomt met het door u gekozen aanmeldingskenmerk). |
| **Wachtwoord**     | Het wachtwoord van die gebruiker.                   | Het eigen wachtwoord van de gebruiker. Alleen gebruikt voor de test en nooit opgeslagen.                      |

Klik op **Test uitvoeren** om te zien of toegang zou worden **verleend** of **geweigerd**en welke groepen worden opgelost.

***

### 10. Schakel de integratie in <a href="#id-10.-enable-the-integration" id="id-10.-enable-the-integration"></a>

Wanneer de verbindingstest slaagt en ten minste één groep is gekoppeld, klik op **Inschakelen**. Uw gebruikers kunnen nu inloggen met hun Active Directory-gegevens met behulp van de aanmeldingsidentifier uit Stap 2.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-104bfb7e54151452d54d9142b51006dff58d2b66%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### Hoe gebruikers zich aanmelden <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Zodra de integratie is ingeschakeld, loggen gebruikers in met hun Active Directory-gegevens in plaats van met een Dispel-wachtwoord:

1. Op het aanmeldscherm van Dispel voert de gebruiker uw **aanmeldingsidentifier**, vervolgens hun **AD-gebruikersnaam en wachtwoord**.
2. Dispel authenticeert de inloggegevens rechtstreeks tegen uw directory — er is geen doorverwijzing naar een externe identiteitsprovider.
3. Bij succes zijn ze aangemeld.

Dispel leest het e-mailadres en de weergavenaam van de gebruiker uit de directory, met behulp van de door u geconfigureerde attributen.

{% hint style="info" %}
**Gebruikers moeten eerst worden uitgenodigd**. Authenticatie tegen AD bevestigt wie een gebruiker is, maar verleent op zichzelf geen toegang. Voor Active Directory worden uitnodigingen automatisch aangemaakt wanneer een gebruiker lid is van een gekoppelde AD-groep — de groepssynchronisatie nodigt hen uit (en trekt toegang in wanneer ze uit de groep worden verwijderd). Een gebruiker die niet in een gekoppelde groep zit, kan niet inloggen.
{% endhint %}

***

### Toegang gesynchroniseerd houden <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Zodra de integratie is ingeschakeld, houdt Dispel het lidmaatschap van Dispel-groepen automatisch afgestemd op uw gekoppelde Active Directory-groepen volgens een terugkerend schema - gebruikers die aan een gekoppelde groep worden toegevoegd krijgen toegang, en gebruikers die uit een gekoppelde groep worden verwijderd verliezen toegang zonder handmatige stappen.

Als u zojuist het lidmaatschap in Active Directory hebt gewijzigd en wilt dat dit meteen wordt doorgevoerd, gebruik dan **Nu synchroniseren**.

<figure><img src="https://904415399-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-849ef03373977b675bfde69590b540f5f0fd8eee%2Fimage.png?alt=media" alt="" width="375"><figcaption></figcaption></figure>

* **Nu synchroniseren** verschijnt rechtsboven in de kop van de Active Directory-pagina, en alleen nadat de integratie is **ingeschakeld**.
* Klik erop om onmiddellijk een synchronisatie uit te voeren. Terwijl het bezig is, toont de knop\
  **Bezig met synchroniseren…**, en de **Laatst gesynchroniseerd** tijdstempel wordt bijgewerkt wanneer het klaar is.
* U hoeft dit niet routinematig te doen - automatische synchronisaties houden alles vanzelf actueel. Gebruik het wanneer u wilt dat een wijziging wordt toegepast zonder te wachten op de volgende geplande synchronisatie.

***

### De integratie beheren <a href="#managing-the-integration" id="managing-the-integration"></a>

* **Wijzigingen toepassen**: bewaar bewerkingen aan een bestaande integratie. Het wijzigen van verbindingsinstellingen markeert het testresultaat als verouderd; test opnieuw voordat u erop vertrouwt.
* **Uitschakelen**: stop het inloggen via de directory zonder de configuratie te verwijderen. Lokaal inloggen en break-glass-inloggen blijven beschikbaar; u kunt het op elk moment opnieuw inschakelen.
* **Verwijderen**: verwijder de integratie volledig, inclusief domeincontrollers, certificaatvertrouwen en groepskoppelingen.

***

### Probleemoplossing <a href="#troubleshooting" id="troubleshooting"></a>

| Status / bericht                  | Wat het meestal betekent                       | Wat te controleren                                                                                                     |
| --------------------------------- | ---------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------- |
| **Niet bereikbaar**               | Dispel kan de domeincontroller niet bereiken.  | Hostnaam is correct en bereikbaar vanuit Dispel via poort 636.                                                         |
| **TLS mislukt**                   | Het certificaat kon niet worden gevalideerd.   | Het juiste CA-certificaat is geüpload (Stap 4) en komt overeen met de certificaten van uw controllers.                 |
| **Koppeling mislukt**             | Het serviceaccount kon niet authenticeren.     | De Bind DN/UPN en het wachtwoord zijn correct, de login-/e-mailattributen zijn correct en het account is ingeschakeld. |
| **Een gebruiker wordt geweigerd** | De gebruiker zit niet in een gekoppelde groep. | Bevestig dat deze behoort tot een gekoppelde AD-groep, en dat de groepskoppeling (Stap 8) correct is.                  |


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.dispel.com/documentation/documentation-nl/beveiligen-en-beheren/identity-providers/active-directory.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.