# SSO met HelloID

## Introductie

Zivver ondersteunt Single Sign-On (SSO) via HelloID van Tools4Ever, zodat gebruikers kunnen inloggen bij Zivver met hun werkaccount. Deze handleiding beschrijft hoe je SSO instelt als Zivver-beheerder.

SSO werkt op basis van Security Assertion Markup Language (SAML) v2.0. In dit scenario fungeert HelloID als Identity Provider (IdP) en Zivver als Service Provider (SP).

Om HelloID als IdP voor Zivver te configureren, heb je het volgende nodig:

1. Beheerdersrechten in Zivver.
2. Toegang tot de HelloID-beheerportal.

## SSO configureren in HelloID

### Een certificaat genereren of importeren

Voor de SSO-verbinding is een certificaat vereist. Als je organisatie nog geen certificaat heeft, volg dan deze stappen om een certificaat in HelloID te importeren of te genereren. In dit voorbeeld wordt een zelfondertekend certificaat gegenereerd:

1. Ga naar de **HelloID-beheerportal**.
2. Selecteer **Settings**.
3. Ga naar **Certificates**.
4. Importeer of genereer een certificaat in HelloID:
   - [Genereer een nieuw zelfondertekend certificaat](https://docs.helloid.com/en/portal-settings/certificates/generate-a-self-signed-certificate.html)
   - [Importeer een bestaand certificaat](https://docs.helloid.com/en/portal-settings/certificates/import-a-certificate.html)

Je beschikt nu over een certificaat. HelloID kan nu veilig communiceren met Zivver.

### De Zivver HelloID-app installeren en configureren

Volg deze stappen om de Zivver SSO-applicatie toe te voegen en te configureren in HelloID.

01. Ga naar de **HelloID-beheerportal**.
02. Navigeer naar **Applications**.
03. Klik opnieuw op **Applications**.
04. Open de **Application Catalog**.
05. Zoek naar **Zivver**.

_Zivver zou in de lijst met resultaten moeten verschijnen. Als dat niet het geval is, neem dan contact op met Tools4Ever via hun [supportpagina](https://www.tools4ever.nl/support)._  
06. Selecteer **Add** om de Zivver-app aan de catalogus toe te voegen.
07. Klik op **Next**.
08. Wijzig op het tabblad **Single Sign-On** de waarde van **Issuer** naar de naam van het portaal van je organisatie.
09. Selecteer in het dropdownmenu **X509 Certificate** het certificaat dat je eerder hebt geïmporteerd of gegenereerd, of kies een bestaand certificaat.
10. Klik op **Next**.
11. Kies op het tabblad **Self Service** of je automatisch een Self Service-product wilt aanmaken.

_Dit maakt de applicatie beschikbaar voor gebruikers op aanvraag._
12. Klik op **Next**.
13. Klik op het tabblad **Finish** op **Save** om de applicatie toe te voegen aan HelloID.

_De applicatie is nu geconfigureerd in HelloID._

### Applicatiemetadata

Metadata is vereist voor de verbinding tussen HelloID en Zivver. Volg deze stappen om deze op te halen:

1. Selecteer de **Zivver**-applicatie in de HelloID-catalogus.
2. Klik in het toepassingsoverzicht op **Edit** om de eigenschappen te bekijken.
3. Klik rechtsboven op **Download metadata**.
4. Kies de optie om de URL te kopiëren.
5. Bewaar deze URL.

_Die heb je later nog nodig._

### Attributen configureren

1. Selecteer de **Zivver**-applicatie in de HelloID-catalogus.
2. Klik in het toepassingsoverzicht op **Edit** om de eigenschappen te openen.
3. Klik op het tabblad **Configuration** op **Configure Mapping Set**.
4. Klik op **Proceed**.
5. Klik naast **SAML User** op **Change mappings**.
6. Kies één van de volgende opties:
   - [Mapping met HelloID ZivverAccountKey](https://docs.zivver.com/nl/admin/sso/helloid.html#mapping-attributes-with-helloid): voor organisaties die _geen_ Microsoft Active Directory gebruiken als bron voor gebruikersdata in HelloID.
   - [Mapping met Active Directory ZivverAccountKey](https://docs.zivver.com/nl/admin/sso/helloid.html#mapping-attributes-with-active-directory): voor organisaties die Microsoft Active Directory gebruiken als bron voor gebruikersdata in HelloID.

#### Mapping met HelloID

Je hoeft de mapping niet aan te passen. Standaard wordt het e-mailadres in HelloID gebruikt, en de HelloID UserGUID dient als ZivverAccountKey.

| Gebruiker | HelloID Claim Set |
| --- | --- |
| _f(x)_ {{user.contactEmail}} | NameID |
| _f(x)_ {{user.userGUID}} | ZivverAccountKey |

#### Mapping met Active Directory

Als je Zivver-accounts worden aangemaakt op basis van gegevens uit Microsoft Active Directory, moet HelloID dezelfde informatie (dus gebruikersnaam en ZivverAccountKey) gebruiken bij het aanmaken en inloggen van accounts. Als deze configuratie niet correct is, kan HelloID de postvakken van gebruikers niet ontsleutelen en worden gebruikers gevraagd een wachtwoord in te voeren.

1. Controleer of een Active Directory-configuratie is ingesteld voor je HelloID-organisatie.

_[Maak of beheer een Active Directory-configuratie](https://docs.helloid.com/hc/en-us/articles/360002826634-How-to-Create-and-Manage-Active-Directory-Configurations)_
2. Zorg ervoor dat het “objectGUID”-attribuut van Active Directory is gekoppeld aan een HelloID-attribuut.

_[Bewerk een mapping set](https://docs.helloid.com/hc/en-us/articles/360002737553)_
3. Vul deze informatie in onder **Mapping for SAML User** ( [referentieschermvoorbeeld](https://docs.helloid.com/hc/en-us/articles/360010376039-Zivver-SAML-Single-Sign-on-Configuration#mapping-with-active-directory-zivveraccountkey)):

| Gebruiker | HelloID Claim Set |
| --- | --- |
| _f(x)_ {{user.contactEmail}} | NameID |
| _f(x)_ {{user.attributes.ADObjectGUID}} | ZivverAccountKey |

4. Klik op het **f(x)**-icoon naast **{{user.attributes.ADObjectGUID}}**.
5. Selecteer **Encode to Base64**.
6. Sla de wijzigingen op.
7. Sluit het configuratievenster.

Opmerking

Het e-mailadres dat vanuit AD naar HelloID wordt gestuurd, is standaard gekoppeld aan {{user.contactEmail}}. Als dit in je organisatie anders is, vervang dan {{user.contactEmail}} door het attribuut dat het e-mailadres van de gebruiker bevat uit AD.

## SSO configureren in Zivver

In deze sectie lees je hoe je de HelloID-metadata importeert in Zivver. De metadata-URL heb je eerder opgehaald in [Applicatiemetadata](https://docs.zivver.com/nl/admin/sso/helloid.html#application-metadata).

1. Log in op de [Zivver WebApp](https://app.zivver.com/).
2. Klik op **Organisatie-instellingen**.
3. Vouw **Gebruikersbeheer** uit.
4. Klik op **Single Sign-on**.
5. Selecteer **Automatisch** Aanbevolen.
6. Plak de **URL** die je in de vorige stap hebt gekopieerd.
7. Klik op Opslaan.
8. Klik op  Single sign-on inschakelen in de rechterbovenhoek.

_Zivver is nu geconfigureerd voor Single Sign-On._

## Uitzondering op 2FA in Zivver (optioneel)

Standaard zijn Zivver-accounts beveiligd met tweestapsverificatie (2FA). 2FA is ook vereist bij inloggen via SSO. Je kunt echter 2FA in Zivver uitschakelen voor gebruikers die via SSO via HelloID inloggen. Hiervoor moet je weten welke Authentication Method vanuit HelloID naar Zivver wordt doorgestuurd om deze uitzondering te configureren. In SAML heet dit de Authentication Context.

HelloID retourneert altijd de volgende Authentication Context in de SAML-response:

- `urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport`

Waarschuwing

Het uitsluiten van de bovenstaande Authentication Method zorgt ervoor dat gebruikers nooit om 2FA worden gevraagd bij het inloggen in Zivver. Dit kan een beveiligingsrisico vormen omdat gebruikers dan zonder 2FA kunnen inloggen. Zivver raadt sterk aan om 2FA binnen HelloID af te dwingen als je deze optie gebruikt. Zie [2FA Management](https://docs.helloid.com/hc/en-us/articles/360011148579-2FA-Management) in de HelloID-documentatie.

Volg deze stappen om de 2FA-uitzondering voor HelloID in Zivver te configureren:

1. Log in op de [Zivver WebApp](https://app.zivver.com/).
2. Klik op **Organisatie-instellingen**.
3. Vouw **Gebruikersbeheer** uit.
4. Klik op **Single Sign-on**.
5. Scroll naar de kaart **Zivver 2FA uitzonderingen**.
6. Vul in het veld **Authenticatiecontexten die uitgezonderd worden** de volgende waarde in:
   - `urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport`
7. Klik op Opslaan.

_Je hebt nu met succes een 2FA-uitzondering ingesteld voor HelloID. Wanneer gebruikers via SSO inloggen, zal Zivver niet opnieuw om 2FA vragen._

## Inloggen in de WebApp met SSO

1. Ga naar de [Zivver WebApp](https://app.zivver.com/).
2. Voer je e-mailadres in.
3. Afhankelijk van je rol in Zivver:
   - Gebruikers worden direct doorgestuurd naar het inlogscherm van hun organisatie.
   - Beheerders kunnen kiezen tussen inloggen met hun Zivver-wachtwoord of hun werkaccount.
4. Log in met je werkaccount.

_Afhankelijk van of er een 2FA-uitzondering geldt, kan je gevraagd worden om een extra inlogmethode. Als er een 2FA-uitzondering is ingesteld, wordt deze stap overgeslagen._
5. Voer je extra inlogfactor in.

_Je bent nu ingelogd in de Zivver WebApp._

## Inloggen in Outlook met SSO

In de Zivver Office Plugin voor Outlook kun je via SSO inloggen met de volgende stappen:

1. Klik op het tabblad **Zivver**.
2. Klik op **Accounts beheren**.
3. Klik op de link _add_circle_ **Voeg een account toe**.
4. Voer het e-mailadres in waarmee je wilt inloggen.
5. Klik op Volgende.

_Je wordt doorgestuurd naar het inlogscherm van je organisatie._
6. Log in met je werkaccount.

_Afhankelijk van of er een 2FA-uitzondering geldt, kan je gevraagd worden om een extra inlogmethode. Als er een 2FA-uitzondering is ingesteld, wordt deze stap overgeslagen._
7. Voer je extra inlogfactor in.

_Je bent nu ingelogd in Outlook._

Laatst bijgewerkt op 2026-06-15