Single Sign-On (SSO) configureren voor Autoscriber 2.1 Standalone
Dit supportdocument leidt uw IT-afdeling door de configuratie en randvoorwaarden voor Single Sign-On (SSO) binnen Autoscriber (zowel voor Autoscriber 2.1 Standalone als Side-by-Side EPD-integraties).
Met SSO loggen medewerkers veilig in met hun eigen organisatieaccount via uw Identity Provider (bijv. Microsoft Entra ID of ADFS), zonder dat er statische wachtwoorden of gedeelde accounts nodig zijn.
Voor vragen of begeleiding tijdens het proces kunt u direct contact opnemen met ons integratieteam via [email protected].
Voordelen en gebruikerservaring
- envoudig en vertrouwd inloggen: Gebruikers voeren op de Autoscriber-inlogpagina hun zakelijke e-mailadres in. Zij worden automatisch doorgestuurd naar de eigen vertrouwde loginomgeving van uw organisatie en keren na authenticatie direct terug in de applicatie.
- Just-In-Time (JIT) Provisioning: Beheerders hoeven accounts niet handmatig aan te maken of uit te nodigen via de Autoscriber Enterprise Portal. Zodra een medewerker voor de eerste keer succesvol inlogt via SSO, wordt het Autoscriber-account op de achtergrond automatisch gegenereerd.
- Centraal beheer: Toegang wordt centraal verleend of ingetrokken vanuit uw eigen directory. SSO kan bovendien worden afgedwongen als de enige toegestane inlogmethode..
Technische vereisten
Om SSO in te richten, heeft uw IT-afdeling de volgende zaken nodig:
- App Registratie: Registreer Autoscriber als een "Web" applicatie binnen uw Identity Provider. Na registratie deelt u veilig het Client ID, Tenant ID en de Client Secret met ons.
- Redirect URI instellen: Stel de benodigde Callback URL in. Let op: U ontvangt de juiste URL van ons team (deze wijkt af van de URL voor EPD-integraties).
- Domeinverificatie (Verplicht): Om veiligheidsredenen is het uitvoeren van een DNS- of HTTP-challenge verplicht om te bewijzen dat uw organisatie eigenaar is van het e-maildomein.
- Token & Rechten: Zorg dat de volgende claims in het token worden meegestuurd zodat accounts automatisch kunnen worden aangemaakt: email, given_name, family_name en preferred_username. Ken daarnaast de bijbehorende standaard leesrechten toe (bijv. User.Read, email, profile en openid). Complexe custom claims zijn niet nodig.
Stappenplan: Microsoft Entra ID Inrichten
Volg onderstaande stappen binnen het Microsoft Entra ID-portaal om de registratie te voltooien.
Stap 1 Applicatieregistratie aanmaken
avigeer in het Microsoft Entra-beheercentrum naar App-registraties (App registrations) en kies voor Nieuwe registratie (New registration).
Geef de applicatie een herkenbare naam (bijvoorbeeld Autoscriber).
Selecteer het gewenste accounttype (bijvoorbeeld Enkel tenant / Single-Tenant voor uitsluitend interne medewerkers).
v
Let op: De exacte Redirect/Callback URL ontvangt u van Autoscriber nadat stap 5 is voltooid. Deze URL verschilt afhankelijk van het type implementatie (Standalone vs. EPD-integratie). U kunt dit veld tijdens de eerste registratie tijdelijk leeg laten of later bijwerken.
Kies bij Omleidings-URI (Redirect URI) voor het platformtype Web.
Klik op Registreren.
Noteer direct vanaf de overzichtspagina van de applicatie de volgende twee waarden:
- Toepassings-id (Client ID)
- Map-id (Tenant ID)
Stap 2: Client Secret genereren
- Ga in het linkermenu naar Certificaten en geheimen (Certificates & secrets).
- Klik onder het tabblad Clientgeheimen op + Nieuw clientgeheim (+ New client secret).
- Geef een omschrijving op, kies de gewenste geldigheidsduur en klik op Toevoegen.
- Kopieer direct de Waarde (Value) van het geheim en sla deze veilig op.
| Belangrijk: Deze waarde wordt slechts eenmalig getoond en is later niet meer zichtbaar.
Stap 3: Token claims configureren (voor automatische accountaanmaak)
Om Just-In-Time Provisioning te laten slagen, moeten de gebruikersgegevens in het ID-token worden meegeleverd:
- Klik in het linkermenu op Tokenconfiguratie (Token configuration).
- Klik op + Optionele claim toevoegen (+ Add optional claim).
- Selecteer tokentype ID en vink de volgende claims aan:
- given_name (voornaam van de gebruiker)
- family_name (achternaam van de gebruiker)
- preferred_username
- Bevestig met Toevoegen.(Zorg ervoor dat deze velden ook daadwerkelijk gevuld zijn in het gebruikersprofiel binnen Microsoft Entra ID).
Stap 4: API-machtigingen toekennen
- Ga in het linkermenu naar API-machtigingen (API permissions).
- Zorg dat onder Microsoft Graph (Gedelegeerde machtigingen) minimaal aanwezig zijn:
- profile
- User.Read
- openid
- Verleen waar nodig beheerdersgoedkeuring (Grant admin consent) voor uw organisatie.
Stap 5: Gegevens aanleveren bij Autoscriber
Om de configuratie aan onze zijde af te ronden, levert u via een beveiligd kanaal de volgende parameters aan bij ons integratieteam:
- Client ID (Application ID)
- Tenant ID (Directory ID)
- Client Secret (Waarde / Value)
Zodra wij deze gegevens hebben gekoppeld, ontvangt u van ons de definitieve Redirect URI, die u toevoegt onder Verificatie (Authentication) in uw Entra ID-appregistratie.
Veelgestelde Vragen (FAQ) & Beveiliging
Ondersteunt Autoscriber moderne SSO en kunnen statische wachtwoorden worden uitgeschakeld?
Ja, dit wordt volledig ondersteund. Authenticatie verloopt via uw eigen Identity Provider (bijvoorbeeld Microsoft Entra ID of ADFS). Medewerkers gebruiken uitsluitend hun eigen organisatieaccount.
- Er zijn geen gedeelde accounts, statische links of API-keys nodig voor toegang.
- We kunnen uw organisatie zo configureren dat SSO de enige toegestane inlogroute is. Een afzonderlijke inlog via gebruikersnaam en wachtwoord is dan niet mogelijk.
Hoe zit het met de gebruikersherleidbaarheid en audit trails?
Dit is volledig gedekt. Elke actieve sessie is direct herleidbaar naar de individuele medewerker op basis van het geverifieerde account (e-mail en identiteit) dat uw IdP meegeeft. Alle handelingen binnen Autoscriber – zoals het opnemen van consulten, genereren van medische samenvattingen en het synchroniseren van notities naar het bronsysteem/EPD – worden vastgelegd in een audit trail.
Kunnen we netwerk- en IP-restricties afdwingen (alleen toegang binnen ons netwerk)?
Ja. De meest elegante, veilige en robuuste plek om netwerkrestricties in te richten is direct binnen uw eigen Identity Provider:
- Binnen ADFS: Stel via het Access Control Policy op de Autoscriber Relying Party Trust in dat authenticatie enkel slaagt vanaf goedgekeurde IP-ranges en dat extern netwerkverkeer wordt geblokkeerd.
- Binnen Microsoft Entra ID: Richt dit in via Entra Conditional Access (Voorwaardelijke Toegang) op basis van vertrouwde IP-locaties.
- Back-up: Mocht uw organisatie behoefte hebben aan een extra vangnet, dan kan Autoscriber aan applicatiezijde eventueel een aanvullende IP-whitelisting configureren. Beheer via de IdP heeft echter technisch en operationeel de voorkeur.
Wat als onze organisatie nog geen Microsoft 365 / Entra ID gebruikt, maar op on-premise ADFS draait?
Dat is geen enkel probleem. U kunt SSO direct inrichten via ADFS. De benodigde netwerk- en IP-beperkingen kunnen rechtstreeks in het ADFS-beleid worden afgedwongen; ADFS verstrekt dan uitsluitend tokens wanneer de medewerker zich binnen het goedgekeurde netwerk bevindt.
Wanneer uw organisatie op termijn overstapt van ADFS naar Microsoft 365 / Entra ID, zet u deze regels eenvoudig om naar Conditional Access. Aan de architectuur en inrichting aan de zijde van Autoscriber hoeft dan niets te worden gewijzigd.
Contact en Ondersteuning
Staat uw configuratie klaar of wenst u ondersteuning bij het koppelen van de Redirect URI en het uitvoeren van de domeinverificatie? Neem contact op met uw accountmanager of mail direct naar:
- Integratieteam: [email protected]