Als uw applicatie door Zweedse gemeenten wordt gebruikt, moeten medewerkers kunnen inloggen met hun bestaande werkidentiteit. Naarmate er meer gemeenten bijkomen, moet u verschillende identiteitsproviders kunnen verbinden zonder voor elke gemeente een nieuwe inlogintegratie in uw applicatie te bouwen.
We hebben al klanten die FoxIDs gebruiken om hun applicaties met de identiteitsproviders van meerdere Zweedse gemeenten te verbinden.
Eén applicatie-integratie, meerdere gemeentelijke verbindingen
Uw applicatie kan met FoxIDs integreren via OpenID Connect. U configureert verbindingen met gemeentelijke identiteitsproviders als authenticatiemethoden in FoxIDs en staat uw applicatie toe deze te gebruiken. Deze verbindingen kunnen SAML 2.0 of OpenID Connect gebruiken, onafhankelijk van het protocol van uw applicatie. Een gemeente kan een eigen verbinding hebben, terwijl meerdere gemeenten die Microsoft Entra ID gebruiken een multitenantverbinding kunnen delen.
Zo kunt u dezelfde integratie met OpenID Connect in uw applicatie behouden wanneer u gemeenten toevoegt. Elke klant van FoxIDs configureert de eigen gemeentelijke verbindingen in de eigen omgeving in FoxIDs, in overleg met het IT-team van elke gemeente.
Identiteitsplatformen bij Zweedse gemeenten
De volgende identiteitsplatformen dekken de meeste Zweedse gemeenten en zijn door klanten met FoxIDs geverifieerd:
De meeste Zweedse gemeenten geven voor deze verbindingen de voorkeur aan SAML 2.0. OpenID Connect is ook een optie als de gemeente dit ondersteunt en aanbiedt. Vraag eerst aan het IT-team welk protocol en welke configuratie het voor externe applicaties gebruikt.
Laat de gemeente MFA en Zweedse eID's afhandelen
De identiteitsprovider van de gemeente handelt multifactorauthenticatie (MFA) af en verzorgt de integratie met de elektronische identificatiemethoden die de gemeente haar medewerkers aanbiedt. De provider koppelt de geverifieerde persoon aan de identiteit van de medewerker. FoxIDs ontvangt die identiteit en de afgesproken claims via de verbinding met SAML 2.0 of OpenID Connect.
Zweedse elektronische identificatie (e-legitimation) omvat zowel persoonlijke identiteiten als identiteiten die voor gebruik op het werk worden uitgegeven. Relevante voorbeelden zijn:
- BankID en Freja+ (Freja eID+): persoonlijke elektronische identiteiten die een gemeente kan aanbieden om medewerkers te laten inloggen.
- Freja OrganisationsID: een medewerkersidentiteit die via de werkgever wordt uitgegeven.
- SITHS: een medewerkersidentiteit die wordt gebruikt bij gemeenten, regio's en in de zorg en beschikbaar is op een kaart of mobiel apparaat.
De gemeente bepaalt welke methoden zij aanbiedt. Het overzicht van goedgekeurde elektronische identiteiten van Digg bevat meer mogelijkheden.
Bij deze opzet heeft noch FoxIDs, noch uw applicatie een directe integratie met BankID, Freja of SITHS nodig.
Voorbeelden van gemeentelijke inlogpagina’s. Gemeentenamen, logo’s en lokale contactgegevens zijn verwijderd; de schermafbeeldingen tonen inlogmogelijkheden en impliceren geen klantrelatie met FoxIDs. Open een afbeelding om deze groter te bekijken.
Gebruikers doorsturen op basis van hun e-maildomein
Een nuttige opzet is om uw eigen Microsoft Entra ID multitenantapplicatie via OpenID Connect te verbinden en als gedeelde standaardoptie te gebruiken naast afzonderlijke gemeentelijke verbindingen.
Gebruik Home Realm Discovery (HRD) om een authenticatiemethode te selecteren op basis van het e-maildomein van de gebruiker. Sta de relevante authenticatiemethoden toe voor uw applicatie en configureer de HRD-domeinen als volgt:
- Vul bij elke afzonderlijke gemeentelijke authenticatiemethode het e-maildomein of de domeinen van de gemeente in. Een overeenkomend domein selecteert de identiteitsprovider van die gemeente.
- Vul bij de gedeelde authenticatiemethode voor Microsoft Entra ID
*in als HRD-domein. Deze wordt dan gebruikt als terugvaloptie voor e-maildomeinen die niet bij een andere authenticatiemethode zijn geconfigureerd.
Zo kunt u afzonderlijke gemeentelijke verbindingen behouden waar dat nodig is en één Entra ID verbinding gebruiken voor de overige domeinen. Configureer als onderdeel van de multitenantopzet welke Entra ID tenants u vertrouwt.
Toegang beheren met externe gebruikers in FoxIDs
Als u in FoxIDs wilt beheren wie kan inloggen, kunt u vooraf externe gebruikers aanmaken voor de relevante authenticatiemethode met hun bekende e-mailadressen. Maak ze aan in FoxIDs Control Client of via de Control API. Configureer de authenticatiemethode zo dat een bestaande externe gebruiker vereist is en laat het automatisch aanmaken van gebruikers uitgeschakeld.
Configureer email als redemption claim en een stabiele gebruikersidentifier als link claim. Spreek met het gemeentelijke IT-team af dat de identiteitsprovider beide aanlevert. Bij de eerste login vergelijkt FoxIDs de e-mailclaim van de identiteitsprovider van de gemeente met de vooraf aangemaakte gebruiker. Dit is redemption via e-mail: FoxIDs koppelt de gebruiker aan de stabiele externe gebruikers-ID en gebruikt die ID bij volgende logins.
U kunt claims bij elke externe gebruiker opslaan of hun rechten beheren via toegangsstructuren in FoxIDs. Configureer welke claims naar uw applicatie worden doorgestuurd. De applicatie gebruikt die om de gebruiker aan de juiste gemeente te koppelen en de toegang tot de gegevens af te dwingen.
De eerste gemeentelijke verbinding instellen
Onze ervaring is dat het opzetten van de verbinding met het gemeentelijke IT-team meestal soepel verloopt. Een goed uitgangspunt is afspreken wie elke kant configureert en wie een testaccount kan leveren.
Afstemmen welke informatie uw applicatie nodig heeft
Leg uit welke gebruikers toegang nodig hebben en welke informatie uw applicatie na het inloggen verwacht. Spreek een stabiele gebruikersidentifier en de benodigde attributen af, zoals naam, e-mailadres of organisatiegegevens. Controleer welke attributen de gemeente kan aanleveren, in plaats van aan te nemen dat alle gemeenten dezelfde namen en waarden gebruiken.
Configuratie uitwisselen met gemeentelijke IT
Maak voor SAML 2.0 een authenticatiemethode in FoxIDs aan en configureer die met de metadata van de identiteitsprovider van de gemeente. Gebruik bij voorkeur de metadata-URL van de gemeente als die beschikbaar is. Vraag het IT-team om de metadata-URL van uw authenticatiemethode met SAML 2.0 in FoxIDs te gebruiken bij het configureren van de gemeentelijke identiteitsprovider.
Met metadata-URL's in beide richtingen en automatische metadata-updates aan beide kanten kunnen publieke certificaten automatisch worden uitgewisseld en bijgewerkt wanneer ze worden vernieuwd of vervangen. Volg de handleiding voor een authenticatiemethode met SAML 2.0 voor de configuratie.
Stem voor OpenID Connect de clientregistratie af met het gemeentelijke IT-team. Configureer de authority en clientgegevens in FoxIDs en geef het IT-team de redirect URI die bij de authenticatiemethode wordt getoond. De handleiding voor een authenticatiemethode met OpenID Connect beschrijft de configuratie.
Het volledige inlogproces van de applicatie testen
Begin met een testapplicatie in FoxIDs. Selecteer Test authentication bij de relevante authenticatiemethode en open de testapplicatie om de teruggestuurde claims direct op de pagina te bekijken. Deel de URL van de testapplicatie met gemeentelijke IT en geselecteerde gebruikers. Met een testaccount kunt u controleren of de verwachte claims worden teruggestuurd, terwijl individuele gebruikers kunnen bevestigen dat ze kunnen inloggen.
Test vervolgens het volledige inlogproces in uw eigen applicatie. Controleer of gebruikers aan de juiste gemeente worden gekoppeld en de bedoelde toegang krijgen. Test zowel met een gebruiker die toegang moet hebben als met een gebruiker die dat niet mag. Als u externe gebruikers gebruikt, test dan ook redemption bij de eerste login en een volgende login met de gekoppelde identiteit.
De integratie van uw applicatie met FoxIDs blijft voor alle gemeenten hetzelfde.
Hulp wanneer u die nodig hebt
Klanten communiceren normaal gesproken rechtstreeks met gemeentelijke IT en configureren de verbindingen zelf. We hebben verschillende klanten geholpen bij verbindingen met meerdere gemeenten, maar onze hulp was zelden nodig. Wanneer klanten hulp nodig hadden, was dat meestal aan het begin.
Als u hulp nodig hebt, kan het team achter FoxIDs helpen bij het integreren van uw applicatie met FoxIDs of bij het configureren en testen van een gemeentelijke verbinding. We kunnen ook helpen met de beveiligingsarchitectuur van uw volledige oplossing en concrete beveiligingsvragen. U kunt een online overleg plannen om uw eerste verbinding of een specifieke behoefte te bespreken.
FoxIDs is in Deens en daarmee EU-eigendom en wordt in Denemarken ontwikkeld. FoxIDs Cloud wordt in Frankrijk gehost bij hostingproviders in EU-eigendom. Bekijk onze opties voor hosting en beheer als eigendom, hosting of het zelf beheren van het platform deel uitmaakt van uw afweging.