Gebruikersrollen Tenant administrator✗Medewerker ✗Externe medewerker ✗Pulse gebruiker 

Kantoren die al gemigreerd zijn naar Visma Connect of dat binnenkort worden, kunnen hun collega's laten aanmelden bij Silverfin via hun eigen identity provider, bijvoorbeeld Microsoft Entra ID, in plaats van met een Visma Connect-wachtwoord. De tenant administrator van je eigen kantoor stelt de verbinding in via Visma Connect Authentication Settings; Silverfin Support regelt de tenant en controleert op het einde de identity provider. Dit artikel is relevant voor tenant administrators en IT-contactpersonen bij kantoren die al Visma Connect gebruiken.

Inhoudstafel 

Wie stelt SSO in voor mijn kantoor?

De tenant administrator van je eigen kantoor doet de instelling, in Visma Connect. Silverfin Support kan SSO niet voor jou configureren.

Hoe vraag ik SSO aan?

Neem contact op met Silverfin Support met het e-mailadres van de persoon die de tenant zal beheren, meestal de IT-beheerder van je kantoor. 

Lees voor je iemand aanduidt de stappen in Hoe stel ik de SSO-verbinding in? door, zodat je weet wat die rol inhoudt.

Wat moet ik controleren voor ik begin?

  • Je kantoor is al gemigreerd naar Visma Connect. SSO kan enkel ingesteld worden op een bestaande Visma Connect-tenant.
  • E-mailadressen komen exact overeen. Het e-mailadres van elke gebruiker in Silverfin moet exact overeenkomen met het adres in je identity provider. Een verschil van één teken verhindert die gebruiker om aan te melden.
  • Je gebruikers bestaan al in Silverfin. SSO maakt geen Silverfin-gebruikers aan, dus iedereen die toegang nodig heeft, moet eerst in Silverfin worden toegevoegd.

Hoe stel ik de SSO-verbinding in?

  1. Meld je aan bij Visma Connect met het beheerdersaccount van de tenant en zorg dat multifactorauthenticatie (MFA) is ingesteld. Is het account net aangemaakt, activeer het dan eerst via de welkomstmail. Meld je aan met het wachtwoord om te vermijden dat de toegang geweigerd wordt. 
  2. Voeg elk e-maildomein toe waarmee je SSO-gebruikers zullen aanmelden en verifieer het, bijvoorbeeld yourfirm.be. Een domein verifieer je met een DNS TXT-record of met een verificatiebestand op je website. Zie de documentatie van Visma over Domains.
  3. Stel op het tabblad Single Sign-On de My Domain-naam en Redirect after sign-in: Silverfin in voordat je de identity provider toevoegt. De My Domain-naam kan alleen gewijzigd worden zolang er nog geen provider bestaat, en de routering van Silverfin gebruikt die naam.
  4. Stel in de tenant de SSO-verbinding met je identity provider in, bijvoorbeeld Microsoft Entra ID. Laat Just-in-time provisioning uitgeschakeld bij het instellen van de identity provider, want gebruikers moeten al in Silverfin bestaan. Zie de documentatie van Visma over Microsoft Entra ID; de andere providers staan in de navigatie links op die pagina.
  5. Controleer of de identity provider email_verified: true verstuurt voor elke Silverfin-gebruiker. Visma Connect weigert de aanmelding van elke gebruiker zonder die waarde.
  6. Bevestig de verbinding. Controleer eerst of de gebruiker waarmee je test op het tabblad Users van Authentication Settings staat, zodat die gebruiker zowel in Visma Connect als in Silverfin bestaat. Open daarna connect.getsilverfin.com in een gewoon browservenster en meld je aan met een account op een van je geverifieerde domeinen, waarbij je in de tweede stap van de aanmeldflow op de knop SSO klikt. Stuur daarna een bevestiging dat de verbinding werkt naar Silverfin Support.
    • Een privévenster toont elke stap van de aanmelding, inclusief het scherm van je identity provider, en is dus de betere demonstratie. Gebruik het enkel als het browserbeleid van je identity provider privévensters toelaat, want een beheerde tenant kan die blokkeren. Daarom is een gewoon venster de standaard.
    • Een andere optie is connect.getsilverfin.com/f/<firm_id> openen. Als het tenantbeleid van Visma Connect alle gebruikers van je kantoor verplicht om SSO te gebruiken, gaat de gebruiker hiermee rechtstreeks naar de identity provider van je kantoor.
    • Herhaal je de test in dezelfde browser, dan verloopt de aanmelding stil zolang je identity provider nog een sessie heeft. De eerste poging is dus de poging die de verbinding bewijst.
  7. Controleer of elke gebruiker die voor je geverifieerde domeinen op het tabblad Users van Authentication Settings staat, een account heeft bij de gekoppelde identity provider. Vanaf het moment dat aanmelden met een wachtwoord uitstaat, kunnen die gebruikers enkel nog via de provider aanmelden, en wie daar geen account heeft, raakt niet meer binnen.
  8. Schakel aanmelden met een wachtwoord uit in het tenantbeleid door Visma Connect daar uit te zetten. Vanaf dan kunnen gebruikers op je geverifieerde domeinen enkel nog met SSO aanmelden. Externe gebruikers worden niet beïnvloed en behouden de gewone Visma Connect-login.

Wat gebeurt er nadat ik bevestig dat de verbinding werkt?

Met jouw bevestiging kan Silverfin Support nagaan of je identity provider aan de Silverfin-kant geregistreerd is. Vanaf dan opent je kantoor enkel nog voor gebruikers die via je geregistreerde provider zijn aangemeld, en een gebruiker die je kantoor via een andere identity provider bereikt, wordt geweigerd.

Wat verandert er voor mijn collega's zodra aanmelden met een wachtwoord uitstaat?

Gebruikers met een adres op een van je geverifieerde domeinen melden enkel nog aan via je identity provider. Ze gebruiken geen Visma Connect-wachtwoord meer.

Externe gebruikers worden niet beïnvloed. Zij behouden de gewone Visma Connect-login.

Wat doe ik als het e-mailadres van een gebruiker wijzigt?

Wijzig het adres eerst op het Visma Connect-account en pas daarna bij de identity provider, want Visma Connect koppelt gebruikers op basis van het e-mailadres.

Voor de volledige stappen, inclusief hoe je veel adressen tegelijk wijzigt met een CSV-bestand, zie How do I change email addresses for users in my firm? (Visma Connect).

Controleer het tabblad Users nog een keer voordat je in stap 8 aanmelden met een wachtwoord uitschakelt. Elke gebruiker op een geverifieerd domein die geen account heeft bij de gekoppelde identity provider, verliest de toegang zodra wachtwoorden worden uitgeschakeld.