Single Sign-On voor organisaties

Een organisatie kan haar medewerkers aanmelden bij FitnessSyncer via haar eigen identiteitsprovider, zoals Microsoft Entra ID, Okta of Google Workspace. Iedereen met een e-mailadres op de domeinen van de organisatie logt vervolgens in met zijn of haar werkaccount op FitnessSyncer.com, in onze apps en in de FitnessSyncer Uploader, zonder een FitnessSyncer-wachtwoord.

• Waar je dit instelt
• Instellen
  • Welke identiteitsproviders werken?
  • Wat gebeurt er als ik de instellingen van mijn provider wijzig?
• Je domeinen
  • Kunnen twee organisaties hetzelfde domein gebruiken?
• Wie moet inloggen via het bedrijf?
  • Hoe zit het met een FitnessSyncer-account dat iemand met een zakelijk e-mailadres heeft aangemaakt?
  • Kan een gebruiker nog steeds inloggen als onze provider niet meer werkt?
  • Wat gebeurt er als ons SAML-certificaat verloopt?
• Uitloggen
• Wat je gebruikers zien
  • Kunnen we een link naar onze eigen inlogpagina plaatsen?
• Als je inlogt, wordt er niets gedeeld
• Iemand verwijderen
  • Wordt iemand ook uit FitnessSyncer verwijderd als we hem of haar uit onze lijst verwijderen?
• Uitschakelen

Waar je dit instelt

Single sign-on wordt ingesteld op het tabblad Aanmelding bij de organisatie in de instellingen van je organisatie, uitsluitend op FitnessSyncer.com, en alleen een eigenaar kan dat tabblad zien. Onze apps hebben hier geen instellingen voor en er hoeft niets in te worden ingesteld: zodra single sign-on is ingeschakeld, melden gebruikers zich in onze apps aan via je bedrijf. Lees Je organisatie beheren op FitnessSyncer om je instellingen te openen.

Instellen

Zolang de bedrijfsaanmelding niet is ingeschakeld, leidt het tabblad Aanmelding bij de organisatie u in vier stappen door het proces en geeft het aan welke stappen al zijn voltooid. Elke stap kan op elk moment opnieuw worden geopend en opgeslagen.

1. Je domeinen: voeg al uw domeinen toe en verifieer ze, zoals hieronder beschreven.
2. Je identiteitsprovider: kies eerst OpenID Connect of SAML 2.0. In de volgende stap wordt vermeld wat je bij je identiteitsprovider moet registreren voor dat protocol: de omleidings-URI voor OpenID Connect, of de entiteits-ID en de URL van de assertieconsumentenservice voor SAML 2.0. Bij OpenID Connect moet je de scopes ‘openid’, ‘email’ en ‘profile’ toestaan en ervoor zorgen dat het ID-token het e-mailadres van de persoon bevat. Voer je provider in: voor OpenID Connect de issuer-URL en de client-ID en het client-secret die je van je provider hebt gekregen; voor SAML 2.0 het metadatadocument van je provider of het adres daarvan. Selecteer vervolgens Sla de provider op. Zodra uw provider is opgeslagen, wordt in deze stap ook het adres van de SAML-metadata van FitnessSyncer weergegeven. Uw provider kan deze metadata lezen om ons te registreren; hierin staat het certificaat waarmee onze SAML-verzoeken zijn ondertekend.
3. Testaanmelding: selecteer Voer een testaanmelding uit en log zelf in bij uw provider. U keert terug naar het tabblad met de gegevens die uw provider heeft verzonden, zoals uw naam en uw e-mailadres. Bij een test wordt er niets aan uw account gekoppeld.
4. Schakel aanmelding via het bedrijf in: kies wie zich via de bedrijfsaanmelding moet aanmelden en selecteer vervolgens Schakel aanmelding via het bedrijf in.

Zodra de bedrijfsaanmelding is ingeschakeld, toont het tabblad bovenaan de provider, de domeinen en eventuele certificaatwaarschuwingen, en daaronder de instellingen: wie de bedrijfsaanmelding moet gebruiken, uitloggen, uw domeinen, uw provider, de testaanmelding en het uitschakelen ervan.

Je domeinen

Inloggen via het bedrijf geldt alleen voor e-mailadressen op de domeinen die je verifieert. Voeg een domein toe onder Je domeinen, waarna op het tabblad een TXT-record voor dat domein wordt weergegeven. Voeg dat record toe aan het domein bij je DNS-provider en verifieer het domein vervolgens op het tabblad. Het kan even duren voordat een wijziging in de DNS zichtbaar wordt, dus als het record in eerste instantie niet wordt gevonden, probeer het dan later nog eens.

Bewaar het record zolang je gebruikmaakt van single sign-on. Als het wordt verwijderd, worden adressen op dat domein niet langer doorgestuurd naar je provider.

Als je een domein op het tabblad verwijdert, worden de mensen met een adres in dat domein niet meer doorgestuurd naar je provider. Iedereen die zich tot nu toe alleen via je bedrijf heeft aangemeld, moet dan de pagina voor het opnieuw instellen van het wachtwoord gebruiken om in te loggen. Als je het domein opnieuw toevoegt, krijg je een nieuw TXT-record dat je moet toevoegen en verifiëren. Dit wordt op het tabblad aangegeven voordat je een domein verwijdert, en je kunt het verwijderen ongedaan maken direct nadat je deze optie hebt geselecteerd.

Wie moet inloggen via het bedrijf?

• Alleen aanmelden via het bedrijf is de standaardinstelling: mensen met een adres op uw domeinen kunnen alleen inloggen via uw provider. Ze kunnen niet langer inloggen op FitnessSyncer met een wachtwoord, een passkey, Google of Apple, en als ze zich met een dergelijk adres aanmelden via Google of Apple, wordt er geen account aangemaakt. Aan elk van hen wordt gevraagd om in plaats daarvan in te loggen via uw bedrijf.
• Aanmelden via het bedrijf of via een eigen account: mensen met een adres op je domeinen worden doorgestuurd naar je provider wanneer ze hun adres invoeren, en kunnen nog steeds inloggen met een wachtwoord, een passkey, of via Google of Apple.

Uitloggen

Als je je afmeldt bij FitnessSyncer, wordt niemand afgemeld bij je identiteitsprovider, en als je je afmeldt bij je provider, wordt niemand afgemeld bij FitnessSyncer, tenzij je de twee aan elkaar koppelt. Deze functie is uitgeschakeld totdat je hem inschakelt, wat je kunt doen zodra de bedrijfsaanmelding is ingeschakeld. Om deze functie in te schakelen, selecteert u Mensen uitloggen bij je provider en FitnessSyncer samen onder Uitloggen en vervolgens De uitloginstelling opslaan. Vanaf dat moment:

• Als je je afmeldt bij FitnessSyncer.com, word je ook afgemeld bij je provider.
• Wanneer je provider iemand uitlogt, zorgt FitnessSyncer ervoor dat deze persoon overal wordt uitgelogd, zowel op het web als in onze apps.

Dit werkt wanneer je provider ‘single logout’ ondersteunt. Zodra je provider is opgeslagen, geeft het tabblad Aanmelding bij de organisatie weer wat je hiervoor moet registreren: de URL van de ‘single logout’-dienst voor SAML 2.0, of de omleidings-URI na het uitloggen en de back-channel-uitlog-URI voor OpenID Connect.

Wat je gebruikers zien

Er verandert niets voor iedereen wiens adres niet op uw domeinen staat. Iemand wiens adres daar wel op staat, typt het in op de inlogpagina, op FitnessSyncer.com of in onze apps, en gaat naar de inlogpagina van uw bedrijf. Op de inlogpagina van FitnessSyncer.com selecteren ze eerst Doorgaan met inloggen via het bedrijf. Zodra hij of zij daar is ingelogd, keert hij of zij ingelogd terug naar FitnessSyncer. FitnessSyncer Uploader logt in via FitnessSyncer.com, dus het werkt op dezelfde manier.

Op FitnessSyncer.com wordt op de inlog- en aanmeldpagina's de naam van je organisatie weergegeven wanneer iemand naar de inlogpagina van je bedrijf wordt doorgestuurd, samen met je logo als je dat hebt toegevoegd op het tabblad Organisatieprofiel.

Als je inlogt, wordt er niets gedeeld

Als je je via je bedrijf aanmeldt, krijgt je organisatie geen toegang tot de persoonlijke gegevens van een gebruiker. Deelnemen aan een ranglijst of een coachingprogramma, apparaten koppelen en kiezen wat je wilt delen, blijven persoonlijke keuzes van elke gebruiker, elk met zijn eigen toestemming.

Inloggen via je bedrijf zorgt er ook niet voor dat er iets in iemands account wordt ingesteld. Wanneer je organisatie koppelingen aanbiedt, worden ze alleen aangeboden aan een nieuw account dat via de aanmelding van je bedrijf is aangemaakt, en de persoon kiest zelf of hij of zij elk daarvan wil instellen. Iemand die inlogt op een account dat hij of zij al heeft, krijgt deze koppelingen niet aangeboden en er verandert niets in zijn of haar account. Je medewerkers kunnen lezen wat hun bedrijf kan zien.

Iemand verwijderen

Als je iemands toegang op Mensen in je organisatie intrekt, of hem of haar verwijdert op Leden en rollen, wordt die persoon overal uitgelogd – zowel op het web als in onze apps –, wordt hij of zij verwijderd uit de ranglijsten en programma’s van je organisatie, en kan hij of zij zich niet meer aanmelden via je bedrijf. Hun FitnessSyncer-account en hun gegevens blijven van hen: ze kunnen een wachtwoord instellen op de pagina voor het opnieuw instellen van het wachtwoord en hun account blijven gebruiken. FitnessSyncer laat hen nooit weten dat je hen hebt verwijderd. Hun werkadres wordt nog steeds doorgestuurd naar de inlogpagina van je bedrijf, net als bij iedereen. Wanneer ze zich daar aanmelden, laat FitnessSyncer hen niet toe. Het vraagt hen contact op te nemen met de beheerder van hun organisatie en biedt hen in plaats daarvan hun eigen wachtwoord of een wachtwoordreset aan.

Om iemand opnieuw via uw bedrijf te laten inloggen, filtert u de kolom Status binnen de organisatie van Mensen in je organisatie naar Toegang verwijderd, waarbij een eigenaar of beheerder elk van hen vanuit hun rij weer toegang verleent. Door hen opnieuw uit te nodigen voor uw organisatie, krijgen ze ook weer toegang.

Uitschakelen

Bedrijfsaanmelding uitschakelen zorgt ervoor dat er niemand meer naar uw provider wordt doorgestuurd. Dit wordt op het tabblad vermeld voordat u de functie uitschakelt, en u kunt de actie onmiddellijk ongedaan maken nadat u deze hebt geselecteerd. Iedereen die via uw bedrijf is ingelogd, behoudt zijn of haar account en kan op de pagina voor het opnieuw instellen van het wachtwoord een wachtwoord instellen om te kunnen blijven inloggen.