OAuth-clients
Een eigen applicatie of externe dienst laten aanmelden met Tillor, en bepalen wie dat mag
Ostatnio zaktualizowano
Ta strona nie została jeszcze przetłumaczona. Czytasz wersję niderlandzką.
Met een OAuth-client meldt een andere applicatie mensen aan met hun Tillor-account. Tillor is daarbij de OpenID Connect-provider: de applicatie stuurt de gebruiker naar Tillor, de gebruiker meldt zich aan en geeft toestemming, en de applicatie krijgt te horen wie het is. Je gebruikt dat voor een eigen applicatie, of voor single sign-on bij een externe dienst die aanmelden via een eigen identiteitsprovider ondersteunt.
Standaard kan elk Tillor-account zich via een client aanmelden. Voor single sign-on bij een externe dienst wil je dat bijna nooit: beperk de client dan tot mensen van je organisatie.
Wat je nodig hebt
- De redirect-URI die de applicatie of dienst opgeeft.
- Wie zich aanmeldt, heeft het recht OAuth-apps autoriseren nodig. Zie OAuth-apps.
- Om een client tot je organisatie te beperken: het recht Integraties beheren in die organisatie.
Een client aanmaken
Klik in de sidebar op je naam en kies AccountOAuth-clients. Klik op OAuth-client aanmaken.
Vul de Applicatienaam in en zet elke Redirect-URI op een eigen regel. Vink Publieke client alleen aan voor een applicatie die geen geheim kan bewaren, zoals een mobiele app.
Kies wie zich mag aanmelden. Zie Beperken wie zich mag aanmelden.
Sla op. Tillor toont de Client-ID en het Clientgeheim. Het geheim zie je alleen nu: kopieer het en bewaar het veilig.
In de applicatie of dienst vul je de client-ID, het clientgeheim en het adres van Tillor als provider in: https://tillor.eu/api/auth. De meeste diensten lezen de rest zelf uit https://tillor.eu/api/auth/.well-known/openid-configuration.
Beperken wie zich mag aanmelden
Vink Alleen mensen van (je organisatie) kunnen aanmelden aan in het venster van de client. De beperking geldt voor de organisatie waarin je op dat moment werkt. Daarna kan je ze verder vernauwen:
| Voorwaarde | Wie voldoet |
|---|---|
| Organisatie (altijd) | Wie lid is van de organisatie |
| Groepen (nul of meer) | Wie in minstens één van de gekozen groepen zit |
| Permissies (nul of meer) | Wie alle gekozen rechten heeft in de organisatie, met de rechten uit groepen meegerekend |
De voorwaarden gelden samen: iemand moet lid zijn, en in een van de groepen zitten, en alle rechten hebben. Een lege lijst groepen of permissies telt niet mee. Kies je dus geen groepen en geen permissies, dan mag elk lid van de organisatie zich aanmelden.
Een voorbeeld: je kiest de groep "Boekhouding" en het recht om betalingen te bekijken. Alleen wie lid is van je organisatie, in "Boekhouding" zit en betalingen mag bekijken, komt binnen.
De kolom Wie kan aanmelden in de lijst van clients toont de beperking van elke client.
Goed om te weten
- Kies bij voorkeur groepen. Een groep is van jou: je bepaalt zelf wie erin zit. De betekenis van een recht kan in een latere versie van Tillor veranderen, en dan verandert mee wie zich bij de externe dienst kan aanmelden.
- Tillor controleert de voorwaarden bij elke aanmelding en telkens wanneer de applicatie de sessie vernieuwt. Wie de organisatie of de groep verlaat of een recht verliest, krijgt geen nieuwe toegang meer. Toegang die al was uitgereikt, vervalt binnen het uur.
- Voor een beheerder van Tillor zelf gelden dezelfde voorwaarden. Zo iemand is lid van elke organisatie: kies een groep als alleen je eigen mensen binnen mogen.
- Je wijzigt of verwijdert de beperking vanuit de organisatie waarvoor ze geldt. Werk je in een andere organisatie, dan toont het venster alleen voor welke organisatie de client beperkt is.
- Elke wijziging van de beperking en elke geweigerde aanmelding staat in de activiteitenlog van de organisatie.
Problemen?
Iemand krijgt bij de externe dienst de fout access_denied.
Die persoon voldoet niet aan de voorwaarden van de client. Kijk in de activiteitenlog naar de regel Toegang geweigerd: de reden zegt of het om het lidmaatschap, de groep of een recht gaat.
Iemand ziet op het toestemmingsscherm "Niet beschikbaar voor uw account". Zelfde oorzaak: de client is beperkt en dit account voldoet niet. Voeg de persoon toe aan de juiste groep of geef het ontbrekende recht.
Bij een groep staat "Verwijderde groep". De groep bestaat niet meer, en niemand kan er nog in zitten. Was het de enige gekozen groep, dan kan niemand zich aanmelden. Vink ze uit of kies een andere groep.
Het vakje om te beperken is grijs. Je mist het recht Integraties beheren in deze organisatie. Vraag het aan een beheerder.
Na het verlies van een recht blijft iemand nog even aangemeld bij de externe dienst. De externe dienst houdt zijn eigen sessie bij. Tillor weigert de volgende vernieuwing; hoe snel de dienst de persoon afmeldt, hangt van die dienst af.