SSO instellen met OpenID Connect

De andere standaard om een identiteitsprovider te koppelen. Hetzelfde doel als SAML, en dezelfde twee dingen gaan mis.

De andere standaard om een identiteitsprovider te koppelen. Hetzelfde doel als SAML, en dezelfde twee dingen gaan mis.

Inrichten

1. Registreer Zendesk als toepassing bij je provider, met de callback-URL https://jouwsubdomein.zendesk.com/access/oidc/callback.
2. Klik in het Beheercentrum in de zijbalk op Account, kies Beveiliging > Enkelvoudige aanmelding en maak een OIDC-configuratie.
3. Vul Configuration name, Client ID, Client secret als je provider die vraagt, Issuer URL, UserInfo URL, JWKs URL, Authorization URL en Access URL in.
4. Zet Scopes op minstens openid email, gescheiden door spaties en niet door komma's.
5. Kies de Authentication Mode: PKCE of de authorization code flow.
6. Test met één account in een privévenster.

Je kunt daarnaast IP-bereiken instellen en hoe de aanmeldknop wordt getoond. Alleen beheerders kunnen dit inrichten.

SAML of OpenID Connect

Beide doen hetzelfde werk. Gebruik wat je identiteitsprovider het beste ondersteunt, en ondersteunt hij allebei, gebruik dan wat je organisatie elders al gebruikt.

Ze allebei tegelijk draaien is een inrichting waarvan niemand de redenen meer weet.

Scopes bepalen wat er aankomt

Het minimum is openid en email. Zonder de e-mailscope krijgt Zendesk geen adres en kan het de persoon niet herkennen, en dat is de meest voorkomende inrichtingsfout, die binnenkomt als een verwarrende foutmelding.

Het scheidingsteken telt ook: spaties, geen komma's. profile, address en phone kunnen ook, net als elke eigen scope van je provider, maar vraag wat je gebruikt en niet alles wat er is.

De callback-URL moet exact kloppen

Hij luidt https://jouwsubdomein.zendesk.com/access/oidc/callback, met je eigen subdomein. Providers weigeren alles wat afwijkt van wat er is geregistreerd, tot en met de afsluitende schuine streep, dus kopieer hem in plaats van hem over te tikken.

Het ondertekeningsalgoritme moet kloppen

Zendesk decodeert tokens standaard met RSA256. Ondertekent je provider met iets anders, bijvoorbeeld ES256, geef dat dan op in het discovery-endpoint van die provider; anders komt het token binnen en wordt het niet geaccepteerd.

Dit is het nakijken waard vóór je gaat testen, want het verschijnsel is een aanmelding die mislukt zonder te zeggen waarom.

Test met een sessie nog open

Privévenster, je gewone adminsessie onaangeroerd. Gaat het mis, dan kun je nog steeds bij de instellingen.

Sluit daarna de oude route

Zet Zendesk-wachtwoorden uit voor teamleden zodra het werkt. Anders is het account nog steeds bereikbaar langs een weg die je provider niet beheerst, en is het voordeel bij uitdiensttreding theoretisch.

Let op de inloggegevens

Clientgeheimen kunnen verlopen of worden vernieuwd. Gebeurt dat, dan stopt het aanmelden voor iedereen, dus noteer de datum daar waar je team zulke dingen bijhoudt.

Zie ook

• SAML voor enkelvoudige aanmelding inschakelen
• Je SSO-configuraties beheren
• Mijn agent kan zich niet aanmelden: wat je nagaat