JSON Web Token voor enkelvoudige aanmelding inschakelen

Aanmelden dat door je eigen applicatie wordt gestuurd. Vooral voor klanten, waar je product al weet wie ze zijn.

Aanmelden dat door je eigen applicatie wordt gestuurd. Vooral voor klanten, waar je product al weet wie ze zijn.

Waar het voor is

Een klant die in je product is aangemeld klikt op Help en komt al aangemeld in het helpcenter binnen. Geen tweede account, geen tweede wachtwoord, geen afhakers.

Dat is het geval waar JWT goed in is, en het gaat meestal over klanten en niet over collega's.

Inrichten

1. Klik in het Beheercentrum in de zijbalk op Account, kies Beveiliging > Enkelvoudige aanmelding, klik op Create SSO configuration en kies JSON Web Token.
2. Vul een Configuration name in en de Remote Login URL: het adres waar mensen naartoe gaan als ze je Zendesk proberen te bereiken. Zendesk plakt daar een parameter brand_id achter.
3. Stel desgewenst een Remote logout URL en IP-bereiken in, en bepaal of de knop bij het aanmelden wordt getoond.
4. Neem het gedeelde geheim over en geef het aan wie het eindpunt bouwt.
5. Bouw in je applicatie het eindpunt dat het token ondertekent.
6. Test met één account en zet het daarna aan voor eindgebruikers.

De vier claims die het token moet bevatten

Alle vier zijn verplicht. jti is degene die mensen weglaten of hergebruiken, en hergebruiken is precies waar die controle voor bestaat.

Het is ontwikkelwerk

Je applicatie moet tokens correct genereren en ondertekenen. Dit is geen instelling, en het vraagt om wie die applicatie beheert.

Het gedeelde geheim is een inloggegeven

Iedereen die het heeft kan beweren wie een gebruiker is. Zendesk zegt het onomwonden: raakt het gedeelde geheim gecompromitteerd, dan loopt alle data in je Support-account risico. Het hoort daar waar je applicatie haar geheimen bewaart, nooit in code aan de clientkant en nooit in een repository, en je kunt via het optiemenu een nieuw geheim genereren als het die plek ooit verlaat.

Het e-mailadres bepaalt de identiteit

Dezelfde regel als overal. Stuurt je applicatie een ander adres dan op de tickethistorie staat, dan komt de klant binnen als nieuwe gebruiker zonder één van zijn tickets.

Bedenk wat er buiten je product gebeurt

Wie via een zoekmachine in het helpcenter belandt is niet in je applicatie aangemeld. Bepaal of hij zich op een andere manier kan aanmelden of eerst naar je product wordt gestuurd.

Gebruik voor collega's liever SAML

JWT werkt, en SAML sluit aan op de identiteitsprovider die in- en uitdiensttreding al regelt. Voor agents is dat de betere opzet.

Zie ook

• Aanmeldmogelijkheden voor eindgebruikers
• SAML voor enkelvoudige aanmelding inschakelen
• Je SSO-configuraties beheren