Artikelen over: Werkruimteconfiguratie
Dit artikel is ook beschikbaar in:

SAML SSO Microsoft Entra

🔑 SAML SSO Microsoft Entra

"Schakel veilige single sign-on in met Microsoft Entra en Brainframe GRC."
Volg deze stappen om SAML-authenticatie te configureren tussen uw Entra-tenant en Brainframe GRC.



1️⃣ De applicatie aanmaken


  1. Ga naar het Entra-beheercentrum → https://entra.microsoft.com/#home en klik op New application.


  1. Selecteer Create your own application.


  1. Voer een naam in voor uw applicatie, kies Non-gallery application, en klik op Create.


📌 Tip: gebruik een herkenbare naam (bijv. Brainframe GRC SSO) zodat u de applicatie eenvoudig kunt identificeren.



2️⃣ De Entra-applicatie configureren


  1. Ga naar Single sign-on en selecteer SAML.


  1. Klik op Edit in het blok Basic SAML configuration.


  1. Haal de vereiste waarden op uit Brainframe Werkruimte-instellingen → Authenticatie en voer deze in Entra in. Laat de andere velden leeg. Klik op Save.



  1. Bewerk het blok Attributes & claims.


  1. Verwijder alle niet-vereiste claims onder Additional claims door op de 3 punten → Delete te klikken.


  1. Voeg nieuwe claims handmatig toe via Add new claim.


  1. Maak de volgende hoofdlettergevoelige claims aan:
  • firstname
  • lastname
  • WorkspaceId



⚠️ Let op: claimnamen moeten exact overeenkomen. Gebruik WorkspaceId (niet Workspaceid).


✅ Voorbeeld van de uiteindelijke configuratie:



3️⃣ Brainframe-configuratie


Zodra Entra gereed is, configureert u de Brainframe GRC-kant in Werkruimte-instellingen → Authenticatie.



  1. Kopieer de Login URL vanuit Entra (SSO-pagina) → plak deze in IdP Single Sign-On (SSO) Login URL in Brainframe.


  1. Download het SAML-certificaat (Base64) → kopieer de tekst (verwijder de regels BEGIN/END CERTIFICATE) → plak dit in IdP application certificate in Brainframe.



4️⃣ De integratie testen


  1. Voeg gebruikers toe aan de Entra-applicatie.


  1. Test de inlogflow van de applicatie.


  1. Toegewezen gebruikers zien de applicatie nu beschikbaar in hun Entra-portaal.



5️⃣ Gebruikersprovisioning (eerste SSO-login)


Kort gezegd: een volledig nieuwe gebruiker die inlogt via de SSO van zijn organisatie krijgt een Brainframe-account, en dit account is onmiddellijk actief. De wachtwoord-login is voor deze gebruiker uitgeschakeld.


⚠️ SSO moet zijn ingeschakeld voor de werkruimte. Is dit niet het geval, dan stopt de SAML-callback voordat er een account wordt aangemaakt.


Wanneer het door SAML aangeleverde e-mailadres onbekend is in het systeem, voorziet Brainframe deze gebruiker van toegang tot deze werkruimte:


  1. Het maakt de identiteit aan.
  2. Het voegt een gebruiker met deze identiteit toe aan de werkruimte, met de naam en het e-mailadres uit SAML, met de status actief.
  3. Het stelt de gebruiker in als geen beheerder.
  4. Het markeert de gebruiker als aangemaakt vanuit de identiteitsprovider en schakelt de wachtwoord-login uit, zodat de gebruiker niet buiten SSO kan inloggen nadat hij in de IdP is uitgeschakeld.


Een gebruiker uitschakelen


Een beheerder kan het account later in Brainframe uitschakelen. Een volgende SSO-login wordt dan geweigerd met het bericht:


"Your account has been disabled in this workspace."



6️⃣ Veelvoorkomende fouten en oplossingen


❌ Failed to read asymmetric key: u moet het "IdP application certificate" in de Brainframe GRC-instellingen bijwerken met het BASE64-certificaat van de IdP (zonder de regel BEGIN/END Certificate)



❌ Attributes mismatch → Alle attributen zijn hoofdlettergevoelig (bijv. WorkspaceId moet exact overeenkomen).


❌ Er wordt geen account aangemaakt bij de eerste SSO-login → SSO is niet ingeschakeld voor de werkruimte. Schakel dit in bij Werkruimte-instellingen → Authenticatie en sla op.


❌ "Your account has been disabled in this workspace." → Een beheerder heeft deze gebruiker uitgeschakeld in Brainframe. Schakel het account opnieuw in bij de gebruikersinstellingen van de werkruimte.


Bijgewerkt op: 15/10/2026

Was dit artikel nuttig?

Deel uw feedback

Annuleer

Dankuwel!