Inleiding

Zivver biedt de mogelijkheid om Single Sign-On (SSO) te configureren met ADFS, zodat gebruikers gemakkelijk kunnen inloggen met hun AD-inloggegevens. Als je problemen ondervindt met de SSO-configuratie tussen ADFS en Zivver, helpt dit artikel je om deze problemen op te lossen.

Prerequisites

For this guide, you need the following:

• A Zivver account with administrator rights.
• Your account must be a member of the Zivver organization for which you are troubleshooting SSO.
• Administrator access to the ADFS server.

Snelle oplossing

Een snelle manier om veel SSO-gerelateerde problemen op te lossen, is door de configuratie zowel in ADFS als in Zivver te verwijderen en vervolgens opnieuw in te stellen. Dit proces duurt ongeveer 15 minuten.

Waarschuwing

Gebruik deze snelle oplossing alleen wanneer SSO voor geen enkele gebruiker werkt. Verwijder de bestaande configuratie niet als SSO slechts voor één gebruiker of een kleine groep gebruikers niet werkt. Houd er rekening mee dat geen van de gebruikers met SSO kan inloggen zolang de configuratie is verwijderd.

De SSO-configuratie opnieuw instellen

1. Controleer of Single Sign-On actief is op de Zivver SSO-instellingenpagina. Als deze actief is, verschijnt er een groene banner: Single sign-on staat aan.
2. Verwijder alle SSO-informatie uit Zivver. Selecteer Single sign-on instellingen verwijderen onderaan de Zivver SSO-instellingenpagina.
3. Verwijder de Relying Party Trust uit ADFS. Selecteer deze en kies vervolgens Delete.
4. Volg opnieuw de stappen in de SSO-installatiehandleiding.
5. Test of het probleem is opgelost door in te loggen bij Zivver.

De logboeken controleren

Als de snelle oplossing niet werkt, of als je het probleem eerst wilt onderzoeken, controleer dan de ADFS-logboeken in de Event Viewer. Deze logboeken bevatten meer gedetailleerde informatie dan een webbrowser.

1. Open Event Viewer (eventvwr.msc) op de ADFS-server.
2. Ga naar Applications and Services Logs.
3. Open ADFS > Admin.
4. Zoek naar fouten die zijn opgetreden rond het relevante tijdstip.

Als de Event Viewer een foutmelding weergeeft, kan deze aanwijzingen geven over de oorzaak van het probleem. Bijvoorbeeld: het kan aangeven dat de gebruiker een onjuist wachtwoord heeft ingevoerd.

De fout in Chrome controleren

Je kunt ook proberen in te loggen met SSO via de Chrome-browser. Chrome heeft de voorkeur omdat het meer foutdetails toont dan bijvoorbeeld Internet Explorer.

Als jij of je gebruikers tijdens het inloggen foutmeldingen krijgen, kan de specifieke foutinformatie helpen de oorzaak te vinden en het probleem op te lossen.

Voer hiervoor de volgende stappen uit:

1. Ga in Chrome naar app.zivver.com.
2. Voer je e-mailadres in, of dat van de getroffen gebruiker. Er opent een pop-upvenster.
3. Selecteer Werkplek om in te loggen met SSO als je een beheerdersaccount gebruikt. De ADFS-inlogpagina zou nu moeten verschijnen.
4. Log in bij ADFS met je werkaccount. Controleer de weergegeven foutmelding.

Geeft de foutmelding onvoldoende informatie over de oorzaak van het probleem? Zoek dan online of in de rest van deze handleiding naar meer uitleg.

Blijft het probleem bestaan? Lees dan verder.

Lees meer over deze fouten en hun oplossingen.

Problemen oplossen

Deze sectie legt uit hoe je SSO-problemen kunt oplossen.

Stappen voor probleemoplossing

Opmerking

Als je al een specifieke beschrijving van je probleem hebt, gebruik dan de zoekfunctie van je browser om snel de relevante informatie te vinden. Bijvoorbeeld: “Er verschijnt een wit scherm bij het inloggen in de mobiele app via SSO” of “Zivver vraagt om mijn wachtwoord na inloggen bij ADFS”.

Volg deze stappen om de oorzaak van je probleem te achterhalen:

1. Controleer de fout in Chrome om te proberen in te loggen met SSO. Dit helpt om precies te bepalen waar het probleem optreedt of kan een specifieke foutmelding tonen.
2. Kies de beschrijving die het meest overeenkomt met je probleem:
   • SSO lijkt niet actief; er is geen redirect van Zivver naar ADFS. Er gebeurt niets na het invoeren van het e-mailadres in de webapp
   • SSO redirect van Zivver naar ADFS (of probeert dit), maar inloggen lukt nog steeds niet. Zivver probeert je in te loggen na het invoeren van je e-mailadres, maar het probleem doet zich daarna voor. Ga verder met stap 3 hieronder.
3. Kies de optie die het beste bij jouw situatie past:
   • De ADFS-inlogpagina verschijnt niet. Er lijkt niets te gebeuren wanneer Zivver probeert je door te sturen. Zie dit deel van de handleiding voor relevante oplossingen.
   • De ADFS-inlogpagina verschijnt, maar inloggen lukt niet. Bijvoorbeeld: je inloggegevens worden niet geaccepteerd bij het inloggen bij ADFS. Zie dit deel van de handleiding voor relevante oplossingen.
   • Inloggen bij ADFS werkt, maar het probleem doet zich daarna voor. Je hebt ingelogd bij ADFS, maar wordt niet teruggestuurd naar Zivver vanwege een fout of een wit scherm. Ga verder met stap 4.
4. Kies de beschrijving die het meest overeenkomt met je probleem:
   • Zivver verschijnt niet. Je hebt succesvol ingelogd bij ADFS, maar wordt niet correct doorgestuurd naar Zivver. Zie dit deel van de handleiding voor relevante oplossingen.
   • Zivver verschijnt, maar je bent nog niet ingelogd. Na inloggen bij ADFS verschijnt Zivver zoals verwacht, maar je bent nog niet ingelogd met je Zivver-account. Zie dit deel van de handleiding voor relevante oplossingen.

Er gebeurt niets na het invoeren van mijn e-mailadres

Je bent hier terechtgekomen omdat er niets gebeurt na het invoeren van je e-mailadres op app.zivver.com. Beantwoord de volgende vraag om het probleem verder te specificeren: Treedt het probleem op voor alle gebruikers, slechts één gebruiker, of specifieke gebruikers?

• Het probleem treedt alleen op voor enkele specifieke gebruikers. Ga hierheen.
• Het probleem treedt op voor alle gebruikers. Ga hierheen.

SSO is niet actief voor specifieke gebruikers

Deze sectie beschrijft mogelijke oorzaken wanneer SSO niet actief lijkt voor specifieke gebruikers; gebruikers worden niet doorgestuurd naar ADFS na het invoeren van hun e-mailadres.

De gebruiker is geen lid van de Zivver-organisatie

Als het ingevoerde e-mailadres geen lid is van de Zivver-organisatie, werkt SSO niet voor dit account.

Oplossing: Controleer op de accounts pagina of het e-mailadres deel uitmaakt van de organisatie. Zo niet, maak een account aan of nodig de gebruiker uit als er al een account bestaat.

Opmerking

Als SSO momenteel actief is voor de organisatie, kan een bestaand account niet worden uitgenodigd:

1. Schakel SSO uit.
2. Nodig het account uit.
3. Wacht tot de uitnodiging is geaccepteerd.
4. Schakel SSO opnieuw in.

Het e-mailadres komt niet overeen met een geclaimd domein

Zivver kan alleen SSO gebruiken als het domein in het e-mailadres als geclaimd domein van de organisatie bekend is. Typefouten of afwijkende domeinen kunnen voorkomen dat de gebruiker kan inloggen.

Oplossing: Voer het e-mailadres correct in of claim het aanvullende domein op de Domeinen pagina.

SSO is niet actief voor alle gebruikers

Deze sectie beschrijft mogelijke oorzaken wanneer SSO voor alle gebruikers in de organisatie inactief lijkt te zijn.

Het domein is niet geclaimd in Zivver

Het domein van gebruikers die via SSO inloggen, moet binnen de organisatie in Zivver geclaimd zijn.

Oplossing: Volg de stappen in Hoe claim je je e-maildomein in Zivver.

SSO is niet ingeschakeld

Na configuratie van SSO in Zivver en ADFS, moet het in Zivver ingeschakeld worden.

Oplossing: Schakel SSO in door te klikken op Single sign-on inschakelen op de Zivver SSO-instellingenpagina.

De metadata is onjuist

ADFS-metadata bevat essentiële informatie voor SSO. Zie de onderstaande subsections voor oplossingen.

De ADFS metadata-URL is onjuist

Als de ADFS metadata-URL onjuist is, kan Zivver de benodigde data niet ophalen. Dit kan gebeuren als de FQDN van de ADFS-server verandert.

Oplossing: Volg deze stappen uit de ADFS-handleiding.

De ADFS-server is geblokkeerd voor extern verkeer

Als de ADFS-server niet bereikbaar is van buiten het bedrijfsnetwerk, kan Zivver de metadata niet ophalen via de opgegeven URL.

Oplossing: Zorg dat de ADFS-server extern bereikbaar is of plak de statische metadata XML in de Zivver SSO-instellingen via deze stappen.

De ADFS metadata XML is verouderd

Alleen van toepassing bij gebruik van statische metadata XML.

Als Handmatig is geselecteerd op de SSO-pagina, kan de metadata ongeldig zijn door wijzigingen in de Zivver relying party trust of ADFS-configuratie, inclusief certificaatvernieuwing.

Oplossing: Update de statische metadata XML in Zivver via deze stappen.

De ADFS-inlogpagina verschijnt niet

Als je niet correct wordt doorgestuurd naar ADFS vanuit Zivver, verschijnt de loginpagina mogelijk niet.

De Relying Party Trust is uitgeschakeld in ADFS

SSO is geconfigureerd maar niet ingeschakeld in ADFS.

Oplossing: Open de ADFS Management-app en schakel de Zivver relying party trust in.

Problemen met ADFS metadata

Zie deze sectie voor oorzaken en oplossingen.

De ADFS-server is niet bereikbaar

Opmerking

Alleen van toepassing als het probleem optreedt bij inloggen buiten het bedrijfsnetwerk.

Oplossing: Zorg dat externe gebruikers toegang hebben tot de ADFS-server.

Geen geldig certificaat op de ADFS-server

Een ongeldig of ontbrekend SSL-certificaat veroorzaakt browserfouten in plaats van de ADFS-loginpagina.

Oplossing: Zorg dat er een geldig certificaat aanwezig is, bijvoorbeeld door verlenging. Zie dit artikel.

Waarschuwing

Bij gebruik van statische metadata XML: het vernieuwen van het certificaat update de metadata. Volg deze sectie.

Pagina kan niet worden gevonden

IE11 kan de foutmelding “The page can’t be found” tonen door beveiligingsinstellingen.

Oplossing: Voeg https://*.zivver.com toe als vertrouwde website in Internet Options.

Wit scherm in de mobiele app

SSO werkt op app.zivver.com, maar niet in de mobiele app. Bij invoer van het e-mailadres kan een wit scherm verschijnen omdat Windows Integrated Authentication niet correct wordt weergegeven op mobiele apparaten.

Oorzaak: Global Primary Authentication staat op Windows Authentication, waardoor Forms-based Authentication niet als secundair kan worden gebruikt. Dit is een bekend ADFS-probleem. Controleer via app.zivver.com zoals beschreven in Check the error in Chrome.

Oplossing: Schakel Windows Authentication voor intranet in en Forms Authentication voor extranet. Gebruikers kunnen dan via de mobiele app inloggen.

Opmerking

Alleen van toepassing bij gebruik van IIS met ADFS. Volg de onderstaande instructies.

Stuur gebruikers door naar een loginformulier in plaats van een Windows pop-up door web.config te wijzigen onder c:\inetpub\adfs\ls.

Zorg dat Forms de eerste entry is in <localAuthenticationTypes>:

<localAuthenticationTypes> <add name="Forms" page="FormsSignIn.aspx" /> <add name="Integrated" page="auth/integrated/" /> <add name="TlsClient" page="auth/sslclient/" /> <add name="Basic" page="auth/basic/" /> </localAuthenticationTypes>

Ik kan niet inloggen bij ADFS

Deze sectie beschrijft mogelijke oorzaken en oplossingen als je niet kunt inloggen bij ADFS. Bepaal de reikwijdte van het probleem:

• Het probleem doet zich alleen voor bij enkele specifieke gebruikers. Klik hier, of lees verder voor mogelijke oorzaken en oplossingen.
• Het probleem doet zich voor bij alle gebruikers. Ga hierheen voor mogelijke oorzaken en oplossingen.

Specifieke gebruikers kunnen niet inloggen bij ADFS

Als enkele gebruikers niet kunnen inloggen bij ADFS, lees dan de volgende oorzaken en oplossingen:

Controleer de logs

Als alleen specifieke gebruikers niet kunnen inloggen, kan de oorzaak zijn dat zij bijvoorbeeld het verkeerde wachtwoord hebben ingevoerd.

Oplossing: Controleer de logs op fouten zoals mislukte inlogpogingen door ongeldige inloggegevens.

Het account is uitgeschakeld in AD

Accounts die zijn vergrendeld of uitgeschakeld in Active Directory kunnen niet inloggen via ADFS.

Oplossing: Schakel het gebruikersaccount in AD in zodat inloggen via ADFS mogelijk is.

Dubbele UPN aanwezig in AD

Als meerdere objecten (gebruikers) in AD hetzelfde User Principal Name (UPN) hebben, kunnen ze niet inloggen via ADFS.

Oplossing: Zoek in AD naar de UPN van de betreffende gebruiker om duplicaten te vinden en verwijder of wijzig deze.

Geen gebruikers kunnen inloggen bij ADFS

Als geen enkele gebruiker kan inloggen bij ADFS, lees dan de volgende oorzaken en oplossingen:

Gebruikers kunnen niet inloggen bij ADFS met hun e-mailadres

Meestal wordt de UPN gebruikt voor inloggen, wat kan verschillen van het e-mailadres (bijv. @zivver.com vs @zivver.local).

Oplossing: Pas handmatig de inlognaam aan op de ADFS-loginpagina.

Gebruikersvriendelijke oplossing: Om het inloggen te vergemakkelijken, kun je een van de volgende opties toepassen:

• Pas de ADFS onload.js aan zodat het gebruikersveld standaard leeg is: document.forms['loginForm'].UserName.value = ' '
• Pas de ADFS onload.js aan zodat de gebruikersnaam automatisch wordt ingevuld: document.forms['loginForm'].UserName.value = 'yourdomain.local\yourusername'
  Tip

  Zie ook: SAM-accountnaam accepteren als inlogformaat op een AD FS form-based sign-in pagina.
• Sta gebruikers toe in te loggen met hun e-mailadres in plaats van de SamAccountName. Voer hiervoor het volgende PowerShell-commando uit:

Set-AdfsClaimsProviderTrust -TargetIdentifier “AD AUTHORITY” -AlternateLoginID mail -LookupForests [forest domain]

Tip

Zie ook: Configuring Alternate Login ID.

Zivver verschijnt niet na inloggen bij ADFS

Je kunt inloggen bij ADFS met je werkcredentials, maar je wordt niet correct doorgestuurd naar Zivver. Er kan bijvoorbeeld een foutmelding verschijnen.

Veel oplossingen in deze sectie behandelen specifieke fouten die kunnen optreden bij inloggen via SSO in de browser. Zie Check the error in Chrome voor instructies om de fout te achterhalen.

Hieronder vind je de oorzaken van dit probleem en de bijbehorende oplossingen.

ADFS metadata probleem

De ADFS metadata bevat informatie die nodig is voor SSO. Zie deze sectie voor oorzaken en oplossingen.

Foutmeldingen

Krijg je een foutmelding na inloggen bij ADFS? Bekijk deze foutmeldingen en oplossingen. Als de fout niet wordt vermeld of de oplossing helpt niet, neem contact op met Zivver support.

• Error: {“error”: “SAML Response is not valid before: …”}
• Error: {“error”: “SAML response was not properly signed. Make sure to sign at least the SAML response or the assertion(s).”}
• Error: {“warn”: “Response wasn’t properly signed (resp:false, unenc:true, end:false) for …”}
• Error: urn:oasis:names:tc:SAML:2.0:status:Requester
• Error: urn:oasis:names:tc:SAML:2.0:status:Responder
• {“error”: “The IdP Sent us the status code ‘urn:oasis:names:tc:SAML:2.0:status:Responder’. The second-level status code was: ‘urn:oasis:names:tc:SAML:2.0:status:RequestDenied’. Check if ‘[unknown user]’ is allowed to use single sign-on with ZIVVER in your IdP’s settings.”}

Ik ben niet ingelogd met mijn Zivver-account

Je bent succesvol ingelogd bij ADFS. Wanneer ADFS je echter terugstuurt naar Zivver, ben je niet ingelogd met je Zivver-account. Zie deze sectie voor mogelijke oorzaken en oplossingen.

Voordat je de onderstaande stappen uitvoert, controleer of er fouten worden weergegeven tijdens inloggen via SSO in Chrome. Zie Check the error in Chrome.

Na inloggen krijg ik een melding om mijn wachtwoord in te voeren

Na doorsturen naar Zivver, voer je je Zivver-wachtwoord in. De melding geeft ook aan dat dit een eenmalige actie is om SSO voor het account mogelijk te maken.

Dit probleem heeft meerdere mogelijke oorzaken met bijbehorende oplossingen:

Gebruikersaccount is aangemaakt voordat SSO was geconfigureerd

De gebruiker had al een account dat is aangemaakt (of uitgenodigd) voordat SSO werd geconfigureerd en ingeschakeld.

Oplossing: Voer het Zivver-wachtwoord in wanneer de melding verschijnt. Dit hoeft slechts één keer te gebeuren. Daarna wordt het account gekoppeld aan het IdP-account. Vanaf nu is inloggen via SSO mogelijk.

ZivverAccountKey-attribuut komt niet overeen tussen SSO en Synctool

Het ZivverAccountKey-attribuut verschilt tussen de Synctool en de SSO-configuratie. Bijvoorbeeld: Synctool gebruikt ObjectGUID, terwijl ADFS ObjectSID gebruikt.

Oplossing: Herconfigureer ADFS of de Synctool zodat het attribuut voor ZivverAccountKey hetzelfde is. Bijvoorbeeld beide op ObjectGUID instellen. Run daarna de Synctool opnieuw om de correcte ZivverAccountKey te synchroniseren. Zorg dat Update the password/accountkey for all users in local data is ingeschakeld onder Syncing > Synchronization Options in de Synctool. Voer dit handmatig één keer uit, en schakel het daarna uit voor toekomstige automatische synchronisaties.

Synctool werd uitgevoerd met SSO uitgeschakeld

De Synctool werd uitgevoerd terwijl SSO uitgeschakeld was.

Oplossing: Als gebruikers hun Zivver-wachtwoord kennen, voer dit in om het probleem op te lossen. Als dat niet zo is, run de Synctool opnieuw en zorg dat Update the password/accountkey for all users in local data is ingeschakeld onder Syncing > Synchronization Options. Handmatig één keer uitvoeren en daarna uitzetten voor toekomstige synchronisaties.

Er verschijnt een melding om het wachtwoord te wijzigen

SSO is ingeschakeld voor de organisatie, en gebruikers zijn aangemaakt met de Synctool. Toch wordt gevraagd het Zivver-wachtwoord te wijzigen bij inloggen. Mogelijke oorzaken volgen hieronder.

Synctool werd uitgevoerd zonder SSO

De Synctool werd uitgevoerd voordat SSO werd geactiveerd in Zivver. Voorbeelden: SSO is nog niet volledig geconfigureerd of ingesteld, maar nog niet ingeschakeld in de SSO Settings-pagina.

Alternatief: Synctool werd uitgevoerd met de optie Users log in via SSO uitgeschakeld. In dat geval wijst Synctool een tijdelijk wachtwoord toe dat gebruikers bij eerste login moeten wijzigen.

Waarschuwing

Gebruikersaccounts worden verwijderd als je deze oplossing toepast. Alle berichten van de betrokken gebruikers worden permanent verwijderd. Bespreek dit met je organisatie en overweeg belangrijke data te exporteren voordat je accounts verwijdert.

Oplossing: Verwijder alle accounts via Synctool en maak ze opnieuw aan. Zorg dat Users log in via SSO is ingeschakeld onder Target (Zivver) bij het opnieuw uitvoeren van Synctool.

SSO werkt, maar logt mij niet automatisch in in de Office plugin

Als SSO werkt, maar gebruikers worden niet automatisch ingelogd in de plugin, zijn de vereiste registry keys mogelijk niet correct ingesteld. Deze keys moeten voor elke gebruiker worden ingezet om automatische login via SSO mogelijk te maken.

Oplossing: Lees hoe automatische login naar de Office plugin met SSO te activeren voor verdere instructies.

Nog steeds problemen?

Heb je na het volgen van deze handleiding nog steeds problemen, of staat jouw probleem hier niet tussen? Probeer het volgende:

Verwijder de bestaande SSO-configuratie en stel deze opnieuw vanaf het begin in

Zie de Quick fix-sectie aan het begin van deze handleiding voor instructies over het opnieuw configureren van SSO voor Zivver.

Nog hulp nodig?

Kon je de informatie die je probleem oplost niet vinden? Neem contact op met support met de volgende informatie:

1. ADFS-configuratie
   • Hoe is AD FS ingesteld?
   • Worden er bijvoorbeeld meerdere servers gebruikt?
2. Gebruikersbereik
   • Hoeveel gebruikers ervaren het probleem?
   • Wat zijn de e-mailadressen van de betrokken gebruikers?
3. Productbereik
   • Welke producten zijn beïnvloed?
   • Treden de problemen op in meerdere producten?
     Bijvoorbeeld sommige specifieke producten zoals de Office plugin, WebApp, OWA, of alle producten?
4. Netwerklocatie
   • Vanaf welke locatie in het netwerk doet het probleem zich voor?
     Bijvoorbeeld binnen of buiten het bedrijfsnetwerk, of beide?
5. Stappen om het probleem te reproduceren
   • Waar in het inlogproces doet het probleem zich precies voor?
   • Wat zijn de stappen om het probleem te reproduceren?
6. Beveiligingsmaatregelen
   • Zijn er beveiligingsmaatregelen in het bedrijfsnetwerk die het probleem kunnen veroorzaken?
     Bijvoorbeeld een firewall of proxy?
7. Recente wijzigingen
   • Zijn er recente wijzigingen in het netwerk of de werkomgeving die een probleem kunnen hebben veroorzaakt?
8. Log-informatie
   • Zoek in het ADFS-logboek in Event Viewer naar de bijbehorende fout en voeg deze bij je e-mail.

Voeg deze informatie toe aan een supportverzoek.
Neem contact op met support