Eenmalige aanmelding

Laat mensen zich bij mTime aanmelden met de identiteitsprovider van uw organisatie, en beperk een werkruimte zodat dat de enige manier is om binnen te komen.

Overzicht

mTime kan mensen aanmelden met Google, Microsoft of Visma Connect, en een werkruimte kan tot één daarvan worden beperkt.

mTime is een client van uw identiteitsprovider, en niet zelf een identiteitsprovider. Wanneer iemand zich aanmeldt met Microsoft, vindt de volledige authenticatie — gebruikersnaam, wachtwoord, meervoudige verificatie en de regels voor voorwaardelijke toegang die u hanteert — plaats in uw eigen tenant, en de aanmelding wordt vastgelegd in uw eigen logboek. Er is geen federatie tussen uw tenant en de onze, en er worden bij ons geen gebruikersaccounts aangemaakt.

Hoe het werkt

De gebruiker kiest Aanmelden met Microsoft — of Google, of Visma Connect.
mTime stuurt de gebruiker door naar de provider, waar de authenticatie volgens uw eigen regels verloopt.
De provider stuurt de gebruiker terug en mTime leest vier gegevens: een stabiele gebruikers-id, een e-mailadres, een volledige naam en een voornaam. Verder niets — geen e-mail, geen agenda, geen bestanden, geen toegang tot uw directory.
mTime zoekt de persoon op. Bestaat die nog niet in mTime, dan wordt de aanmelding geweigerd.
mTime geeft zijn eigen sessie uit.

Aanmelden geeft op zichzelf geen toegang

Een geldige aanmelding bij uw identiteitsprovider geeft op zichzelf tot niets toegang. De persoon moet al als gebruiker in mTime bestaan, en gebruikers worden slechts op drie manieren aangemaakt: via SCIM-provisioning vanuit uw identiteitsprovider, automatisch op basis van dienstverbandgegevens, of doordat een beheerder hen uitnodigt. Zelfregistratie bestaat niet.

Een eerste aanmelding vereist bovendien de uitnodiging die naar het geprovisionde adres is gestuurd — een eenmalige link die verloopt. mTime koppelt een provideraccount nooit aan een bestaande gebruiker louter op basis van het e-mailadres.

Er zijn dus twee lagen, en die blijven gescheiden. Uw identiteitsprovider bepaalt wie iemand is. De gebruiker in mTime bepaalt wat diegene mag: daar staan de rol en het dienstverband — nooit inloggegevens.

Configuratie

Een eigenaar of Werkruimtebeheerder beperkt een werkruimte via Beheer › Werkruimte, met twee instellingen die bij elkaar horen:

Single sign-on-provider — de enige provider die deze werkruimte accepteert
Toegestane e-maildomeinen — de domeinen die uw organisatie bezit, bijvoorbeeld ku.dk

Beide zijn vereist. Een provider alleen is geen beperking, dus mTime slaat die niet op zonder minstens één domein.

Zodra de beperking aanstaat, geldt voor die werkruimte:

Iedereen meldt zich aan met die ene provider, en zijn of haar mTime-accountadres moet op een van de opgegeven domeinen liggen.
Elke andere manier om binnen te komen wordt geweigerd: wachtwoorden, passkeys, de overige providers, mTime-support en elke sessie die vóór de beperking is aangemaakt.
Uitnodigingen vermelden met welke provider men zich aanmeldt. U kunt alleen adressen op de opgegeven domeinen uitnodigen.

Voordat u het inschakelt

De beheerder die de wijziging doorvoert, moet zich al met de gekozen provider hebben aangemeld, en zijn of haar eigen mTime-adres moet op een van de opgegeven domeinen liggen. Anders weigert mTime de wijziging en vermeldt welke helft ontbreekt.

De eis geldt voor wie de wijziging doorvoert en niet voor zomaar een beheerder, omdat de wijziging ook die persoon afmeldt. Zo kan wie de beperking inschakelt, zich altijd opnieuw aanmelden en haar weer uitschakelen.

Wat er gebeurt bij het inschakelen

Iedereen in de werkruimte wordt afgemeld, uzelf inbegrepen, en meldt zich opnieuw aan met de gekozen provider.

Hetzelfde gebeurt wanneer u de beperking zo wijzigt dat ze minder mensen toelaat: overstappen op een andere provider of een domein verwijderen. Een domein toevoegen meldt niemand af.

Uitschakelen

Maak Single sign-on-provider leeg. De beperking wordt direct opgeheven en niemand wordt afgemeld. De domeinlijst kan blijven staan, zodat later opnieuw inschakelen maar één instelling is.

Het geldt ook voor ons

Er is geen omweg binnen mTime: ook mTime-support kan een beperkte werkruimte niet in. Wilt u onze hulp binnen de werkruimte, dan schakelt een beheerder de beperking uit, en daarna weer in.

Als uw identiteitsprovider niet meer werkt, kan niemand zich bij de werkruimte aanmelden — ook de beheerders niet die de beperking zouden kunnen uitschakelen. Krijgt u de provider niet op tijd werkend, dan kan een bevoegde contactpersoon van uw organisatie mTime-support schriftelijk vragen de beperking op te heffen. Dat is een handmatige procedure die wordt uitgevoerd en vastgelegd. Daarna schakelt uw beheerder de beperking weer in zodra de provider werkt.

Problemen oplossen

Probleem	Oplossing
Aanmelden met wachtwoord werkt niet meer	Te verwachten zodra de werkruimte beperkt is. Gebruik de provider die op de aanmeldpagina staat.
De beperking laat zich niet opslaan	U hebt zich nog niet met die provider aangemeld, of uw eigen mTime-adres ligt niet op de opgegeven domeinen. Het bericht vermeldt welke.
Iemand wordt geweigerd hoewel die zich bij de provider heeft aangemeld	Het mTime-accountadres van die persoon ligt niet op een van de opgegeven domeinen — dát adres telt, niet het adres dat de provider toont. Wijzig het adres in mTime, of voeg het domein toe.
Iedereen wordt geweigerd en uw provider ligt eruit	Zorg dat de provider weer werkt. Lukt dat niet, neem dan contact op met mTime-support — zie de waarschuwing hierboven.
Onze leverancier kan ons niet helpen in de werkruimte	Zet de beperking uit en daarna weer aan zodra zij klaar zijn.
Een gebruiker kan Microsoft niet toevoegen aan een bestaand account	Meld u eerst aan en voeg de provider daarna toe onder Beveiliging in de accountinstellingen.

Voor uw IT- en beveiligingsafdeling

Vraag	Antwoord
Om welk model gaat het?	Een multitenant-app-registratie. Toestemming maakt een enterprise application aan in uw eigen tenant, die u bezit, met voorwaardelijke toegang kunt aansturen en weer kunt verwijderen. Er worden nergens gastaccounts aangemaakt.
Is dit federatie?	Nee. Er is één identiteitsprovider — de uwe — en één applicatie die daarvan gebruikmaakt. Er bestaat geen vertrouwensrelatie tussen uw tenant en de onze.
Wordt SAML ondersteund?	Nee. Authenticatie verloopt uitsluitend via OpenID Connect / OAuth 2.0.
Wat wordt er over een gebruiker gelezen?	`sub`, `email`, `name` en `given_name`. Er worden geen applicatiemachtigingen gevraagd.
Hoe wordt het domein gecontroleerd?	Een exacte vergelijking van het domeindeel van het mTime-accountadres van de persoon, hoofdletterongevoelig. Geen jokertekens en geen subdomeinen. Het bakent de werkruimte af; het is geen bewijs van domeineigendom.
Wat houdt iemand uit een vreemde tenant tegen?	De provisioningvereiste en de uitnodiging. mTime koppelt een provideraccount niet op grond van alleen het e-mailadres aan een gebruiker, dus een gelijkend adres levert niets op.
Kunnen rollen uit groepen komen?	Ja, maar een groep komt zonder enige machtiging binnen; een beheerder kent ze toe. De rol Owner kan nooit via provisioning worden toegekend.
Hoe lang duurt een sessie?	30 dagen vanaf de laatste activiteit. Wordt een gebruiker via SCIM gedeactiveerd, dan eindigen zijn sessies onmiddellijk.

Accountbeveiliging