🔑 Single Sign-On (SSO) met SAML

"Eén login, elke werkruimte."
Versterk beveiliging, vereenvoudig toegang en stroomlijn authenticatie binnen Brainframe GRC.

1️⃣ Belangrijkste voordelen

• 🛡️ Verbeterde beveiliging – Minder wachtwoorden betekent een kleiner aanvalsoppervlak en sterkere handhaving van inloggegevens.
• 🚪 Betere gebruikerservaring – Eén login geeft toegang tot meerdere applicaties.
• 🗂️ Eenvoudiger beheer van inloggegevens – Gecentraliseerde controle maakt het afdwingen van beleid makkelijker.
• 💡 Minder IT-belasting – Vermindert het aantal verzoeken tot wachtwoordresets.
• 🌐 Interoperabiliteit & flexibiliteit – SAML werkt met een breed scala aan platforms en diensten.
• 📜 Audit & compliance – Gecentraliseerde logging verbetert audittrails en compliancerapportages.

2️⃣ Configuratie

Alleen werkruimtebeheerders kunnen SSO configureren via het Authenticatie-menu in de Werkruimte-instellingen.

Stappen om te configureren

1. Open het Authenticatie-menu in de Instellingen-pagina.
2. Schakel SSO met SAML in door het selectievakje aan te vinken.
3. Maak in je Identity Provider (IdP) (Okta, Azure AD, JumpCloud, enz.) een nieuwe SAML-applicatie met:

• Single Sign-On URL (ACL) – Eindpunt voor IdP ↔ Brainframe-communicatie.
• Audience URI (SP Entity ID) – Unieke identificatie van je Brainframe-werkruimte.
• Gebruikersattribuutmapping voor automatische accountaanmaak:
• • firstname
  • lastname
  • WorkspaceId (hoofdlettergevoelig – kopieer uit de Brainframe GRC-instellingen)

4. IdP SSO Login URL – Gegenereerd door je IdP; vertelt Brainframe GRC waar gebruikers naartoe moeten worden gestuurd.
5. IdP Applicatiecertificaat – Hiermee kan Brainframe GRC ondertekende SAML-claims verifiëren.
6. Link die je in je intranet kunt plaatsen, zodat gebruikers direct kunnen inloggen in je werkruimte met slechts één knop "Login met SSO" die de login van je IdP opent en verifieert.

3️⃣ Automatische gebruikersaanmaak & rechten

• 👤 Elke gebruiker die in de IdP is toegewezen kan inloggen in Brainframe.
• Als een gebruiker niet bestaat, maakt Brainframe het account automatisch aan zonder adminrechten, met toegang beperkt tot hun INBOX-map.
• 🔐 Extra maptoegang moet worden verleend via maprechten.

🎯 Checklist

• [x] Admin opende Werkruimte-instellingen → Authenticatie
• [x] SSO met SAML ingeschakeld
• [ ] IdP SAML-applicatie geconfigureerd (SSO URL, Entity ID, attributen)
• [ ] Login-URL & Certificaat toegevoegd in Brainframe
• [ ] Login getest met toegewezen gebruikers
• [ ] Toegangsrechten en maprechten geverifieerd

Bijgewerkt op: 19/09/2025