Authenticatie en OIDC

INHOUDSOPGAVE

• Overzicht
• Ondersteunde authenticatiestromen
• Openbare versus vertrouwelijke OIDC-clients
• Vereiste OIDC-configuratiedetails
• Microsoft Entra-referentie
• Verantwoordelijkheden van de operator

Authenticatie in Omnidocs Create.

Overzicht

Ben je operator? Dan kun je OpenID Connect (OIDC)-authenticatie instellen voor een organisatie. Zo kan de organisatie gebruikers laten inloggen via een andere identiteitsprovider dan Entra ID.

Omnidocs Create ondersteunt OIDC. Dat gebeurt via de Authorization Code Flow met PKCE. Dit geldt voor gewone OAuth 2.0-integraties, en ook voor volledige OIDC-configuraties.

Je stelt OIDC per organisatie in.

Ondersteunde authenticatiestromen

Omnidocs Create gebruikt de Authorization Code Flow met PKCE. Dat geldt voor alle OIDC- en OAuth 2.0-integraties.

Gebruik deze stroom altijd als je een identiteitsprovider instelt.

Deze manier van werken voorkomt dat tokens lekken. Ze werkt veilig in de browser. Ook past ze bij de moderne, gangbare manier van werken voor OAuth 2.0 en OIDC.

Wil je hier meer over weten? Bekijk dan de Keycloak-documentatie.

Openbare versus vertrouwelijke OIDC-clients

Stel je OIDC in? Dan kies je: gebruikt de organisatie een openbare client, of een vertrouwelijke client?

Openbare clients

Je kiest een openbare client als de identiteitsprovider geen client secret nodig heeft.

Openbare clients:

• Hebben geen client secret nodig.
• Zijn veilig dankzij HTTPS en strenge controle van redirect-URI's.
• Zijn verplicht voor applicaties die in de browser draaien, zoals SPA's.
  
  

Vertrouwelijke clients

Je kiest een vertrouwelijke client als de identiteitsprovider een client secret geeft.

Vertrouwelijke clients:

• Hebben een client secret nodig. Dat gebruik je bij het omwisselen van autorisatiecodes voor tokens.
• Worden meestal gebruikt bij communicatie tussen servers, of bij stromen met een backend.
• Bieden extra beveiliging.
  
  

Het juiste clienttype kiezen

Kies een openbare client als de authenticatie helemaal in de browser gebeurt.

Kies een vertrouwelijke client als je identiteitsprovider een client secret nodig heeft.

Omnidocs Create ondersteunt beide clienttypen.

Vereiste OIDC-configuratiedetails

Stel je OIDC in voor een organisatie? Dan verzamel je eerst de juiste gegevens. Dat doe je bij de klant of bij de identiteitsprovider.

Configuratie van openbare clients

Voor een openbare OIDC-configuratie heb je dit nodig:

• OIDC-metadata of een discovery-endpoint.
• Client ID.
• Redirect-URI: https://[HOST]/auth/callback.

Bij openbare clients geef je geen client secret op.

Configuratie van vertrouwelijke clients

Voor een vertrouwelijke OIDC-configuratie heb je dit nodig:

• OIDC-metadata of een discovery-endpoint.
• Client ID.
• Client Secret.
• Een optionele redirect-URI: https://[HOST]/auth/callback-web.

Bewaar de client secret veilig. Behandel deze als gevoelige informatie.

Microsoft Entra-referentie

Gebruikt de organisatie Microsoft Entra? Bekijk dan het SSO-artikel voor Microsoft Entra ID. 

Verantwoordelijkheden van de operator

Als operator ben jij verantwoordelijk voor:

• Het kiezen van het juiste clienttype voor de organisatie.
• Het controleren van de redirect-URI's, voordat je authenticatie aanzet.
• Ervoor zorgen dat HTTPS verplicht is.
• Het controleren van de OIDC-configuratie samen met de klant, voordat je live gaat.

Let op: een verkeerde OIDC-configuratie kan de toegang blokkeren voor alle gebruikers in de hele organisatie.