Introductie
Afhankelijk van de behoeften van je organisatie wil je misschien externe gebruikers toegang geven tot de werkruimte via een gastaccount, of interne gebruikers laten inloggen met een alias in plaats van een UPN. Beide zijn mogelijk, en in dit artikel leggen we uit hoe je dit kunt doen.
Houd er rekening mee dat er enkele beperkingen zijn voor gastgebruikers:
Gastgebruikers kunnen niet handmatig worden geïmporteerd, je moet SCIM (aanbevolen) of de Azure AD-synctool gebruiken.
Gastgebruikers kunnen geen gebruik maken van e-mail of de agenda.
Gastgebruikers krijgen niet automatisch de juiste toestemmingen voor applicaties toegewezen. Als je toegang wilt geven tot bijvoorbeeld de Documenten-app, moet de toegang worden verleend in SharePoint onder site-permissies.
SSO-appmanifest
Vanaf v2.4.5 van ons script voor het aanmaken van een omgeving, wordt deze stap al uitgevoerd bij het creëren van de omgeving.
De eerste stap is een wijziging aan te brengen in de SSO-appregistratie in Azure:
1. Log in op het Azure Portal als Global Admin.
2. Ga naar App-registraties.
3. Selecteer je Workspace SSO-appregistratie.
4. Selecteer Manifest.
5. Zoek naar de regel `"optionalClaims": null,`.
6. Vervang met:
"optionalClaims": { "idToken": [ { "name": "upn", "essential": false, "additionalProperties": ["include_externally_authenticated_upn"] } ] },
7. Klik op opslaan.
Je kunt nu gastgebruikers van je Entra ID toevoegen aan Workspace met behulp van SCIM of de Azure AD-synctool. Gastgebruikers kunnen inloggen met hun eigen UPN en wachtwoord.
Om gebruikers met een alias te laten inloggen, is extra configuratie nodig. Lees hieronder verder.
E-mail als alternatieve inlog-ID (vereist voor inloggen via alias)
Om ervoor te zorgen dat gebruikers kunnen inloggen met een alias, moet je de functionaliteit 'E-mail als alternatieve inlog-ID' inschakelen in Microsoft Entra ID:
Log in op het Azure Portal als Global Admin.
Ga naar Microsoft Entra ID > Microsoft Entra Connect > Connect Sync.
Onder Gebruiker aanmelden, klik op 'E-mail als alternatieve inlogID'.
Vink het vakje 'E-mail als alternatieve inlog-ID' aan en klik op Opslaan.
Wacht tot het beleid van kracht wordt. We hebben geen controle over hoe lang dit duurt.