Integratie met identiteitsproviders (SSO/SAML)

Naadloze integratie met uw identiteitsinfrastructuur

Samenwerkingstools voor ondernemingen moeten passen in de bestaande infrastructuur voor identiteits- en toegangsbeheer. Gebruikers vragen om nóg een set inloggegevens te beheren is niet alleen onhandig — het is een beveiligingsrisico. Vergeten wachtwoorden, hergebruik van inloggegevens en niet-bestuurde toegang vergroten allemaal het aanvalsoppervlak.

Mandraki ondersteunt integratie met de identiteitsprovider (IdP) van uw organisatie via standaardprotocollen, waardoor single sign-on, geautomatiseerde gebruikersprovisioning en gecentraliseerd toegangsbeheer mogelijk worden.

Ondersteunde protocollen

SAML 2.0

Mandraki fungeert als SAML Service Provider (SP) en integreert met elke SAML 2.0-conforme Identity Provider. Dit omvat Microsoft Entra ID (voorheen Azure AD), Okta, OneLogin, Ping Identity, Keycloak en ADFS.

Configuratie vereist het uitwisselen van metadata tussen uw IdP en Mandraki. Eenmaal geconfigureerd, authenticeren gebruikers via de aanmeldstroom van uw IdP en worden ze met een ondertekende assertie naar Mandraki doorgestuurd. Mandraki valideert de assertie, maakt of werkt het gebruikersrecord bij en start een sessie.

OpenID Connect (OIDC)

Voor organisaties die OIDC verkiezen, ondersteunt Mandraki de Authorization Code-flow met PKCE. Dit is met name relevant voor organisaties die moderne identiteitsplatforms of op maat gebouwde authenticatiediensten gebruiken die OIDC-endpoints blootstellen.

Geautomatiseerde gebruikersprovisioning

Just-in-Time (JIT) provisioning

Wanneer een gebruiker zich voor het eerst via SSO authenticeert, maakt Mandraki automatisch zijn account aan en wijst hem toe aan de juiste organisatie op basis van de identiteitsattributen in de SAML-assertie of OIDC-claims. Handmatige accountaanmaak is niet nodig.

Attributen die doorgaans vanuit de IdP worden gemapt, zijn:

• E-mailadres (vereist)
• Weergavenaam
• Afdeling of groepslidmaatschap
• Rol (gemapt naar Mandraki-rollen: Owner, Admin of Member)

SCIM-provisioning

Voor organisaties die levenscyclusbeheer nodig hebben — accounts aanmaken vóór de eerste aanmelding, attributen bijwerken en accounts deactiveren wanneer medewerkers vertrekken — ondersteunt Mandraki het SCIM 2.0-protocol. Uw IdP pusht gebruikers- en groepswijzigingen naar het SCIM-endpoint van Mandraki, waardoor de gebruikerslijst automatisch synchroon blijft.

Dit zorgt ervoor dat wanneer een medewerker in uw IdP wordt offboarded, zijn Mandraki-toegang onmiddellijk wordt ingetrokken, zonder te hoeven wachten tot een beheerder eraan denkt om het account handmatig uit te schakelen.

Domeinverificatie en automatische opname

Organisaties kunnen hun e-maildomein in Mandraki claimen en verifiëren. Eenmaal geverifieerd, komen verschillende krachtige bestuursfuncties beschikbaar.

Automatische opname. Nieuwe gebruikers die zich aanmelden met een e-mailadres dat overeenkomt met uw geverifieerde domein, worden automatisch aan uw organisatie toegevoegd, in plaats van een losstaand persoonlijk account aan te maken. Dit voorkomt schaduw-IT — gebruikers die Mandraki buiten het bestuur van uw organisatie aannemen.

Persoonlijke aanmelding blokkeren. U kunt voorkomen dat gebruikers met uw domein überhaupt persoonlijke accounts aanmaken, waardoor al het gebruik van Mandraki door uw medewerkers binnen uw beheerde organisatie plaatsvindt.

DNS-verificatie. Domeineigendom wordt geverifieerd door een TXT-record toe te voegen aan de DNS van uw domein. Dit is een eenmalige instelling die doorlopende bestuurscontrole biedt.

Ondersteuning voor meerdere organisaties

Het identiteitsmodel van Mandraki ondersteunt gebruikers die tot meerdere organisaties behoren. Een consultant die met drie klanten werkt, elk met hun eigen Mandraki-organisatie, kan tussen hen schakelen zonder uit en weer in te loggen. De SSO-integratie respecteert dit model — elke organisatie kan haar eigen IdP-configuratie hebben, en gebruikers authenticeren tegen de juiste IdP voor elke organisatie.

Beveiligingsoverwegingen

Geen wachtwoordopslag voor SSO-gebruikers. Wanneer SSO is ingeschakeld, slaat Mandraki geen wachtwoorden op voor gefedereerde gebruikers. Authenticatie wordt volledig gedelegeerd aan uw IdP, en Mandraki slaat alleen de externe identifier en gemapte attributen op.

Afgedwongen SSO. Organisaties kunnen vereisen dat alle leden via SSO authenticeren, waardoor het gebruik van e-mail/wachtwoord-aanmelding wordt voorkomen. Dit zorgt ervoor dat het authenticatiebeleid van uw IdP — multi-factor authenticatie, conditional access, sessieduur — consistent wordt toegepast.

Sessiebeheer. Mandraki geeft eigen JWT-tokens uit na SSO-authenticatie, met configureerbare vervaltijd. Wanneer de IdP-sessie van een gebruiker wordt ingetrokken, verloopt hun Mandraki-sessie bij de volgende tokenvernieuwing, waardoor tijdige toegangsintrekking wordt gewaarborgd.

Aan de slag

Het configureren van SSO duurt doorgaans minder dan dertig minuten. Uw IT-beheerder voegt Mandraki toe als SAML- of OIDC-applicatie in uw IdP, wisselt metadata uit en schakelt SSO in de organisatie-instellingen van Mandraki in. Gedetailleerde configuratiehandleidingen voor elke grote identiteitsprovider zijn beschikbaar in onze kennisbank.