Hoe weet je of de identity provider (IdP) de juiste ZivverAccountKey-waarde heeft teruggegeven?

Oorzaak

Wanneer je een Zivver-account aanmaakt met de Synctool, vormt een gebruikersattribuut de basis voor de ZivverAccountKey. In de meeste gevallen is dit het Exchange-attribuut ExternalDirectoryObjectId. Wanneer je een single sign-on (SSO)-koppeling instelt, moet de IdP dezelfde ZivverAccountKey-waarde ophalen. De SAML-respons naar de service provider (SP) moet diezelfde waarde bevatten. Als de ZivverAccountKey bij aanmaak niet overeenkomt met de waarde in de SAML-respons, kan de gebruiker niet direct inloggen. Nadat de gebruiker zijn SSO-gegevens heeft ingevoerd, ziet hij: “Voer eenmalig je Zivver-wachtwoord in”.

Oplossing

Onderzoek de SAML-respons

1. Open Chrome.
2. Installeer de SAML-tracer-extensie.
3. Open de SAML-tracer-extensie.
4. Ga naar https://app.zivver.com.
5. Voer het e-mailadres in van de getroffen gebruiker.
6. Wacht tot de WebApp je naar de IdP doorstuurt.
7. Log in met de werkaccountgegevens van de gebruiker.
8. Wacht totdat je Voer eenmalig je Zivver-wachtwoord in ziet.
9. Schakel terug naar SAML-tracer.
10. Zet de SAML-tracer op pauze.
11. Zoek naar de regel POST https://app.zivver.com/api/sso/saml/consumer/.
12. Klik op deze regel.
13. Selecteer het SAML-tabblad.
14. Scroll in de SAML-weergave naar beneden totdat je de ZivverAccountKey vindt. Het ziet er ongeveer zo uit:

<Attribute Name="https://zivver.com/SAML/Attributes/ZivverAccountKey">
    <AttributeValue>573457bc-697c-56db-953c-fz2951e9bcee</AttributeValue>
</Attribute>

Opmerkingen

• Je kunt zien welke waarde is ingesteld voor ZivverAccountKey:
  <AttributeValue>573457bc-697c-56db-953c-fz2951e9bcee</AttributeValue>.
• Je kunt controleren of de waarde correct is via Synctool > Sources > Specific user source > Data preview. De kolom SsoAccountKey toont de ZivverAccountKey.
• Vergelijk de waarde niet met de ObjectGUID in de AD Attribute Editor voor deze specifieke gebruiker. De Attribute Editor toont een “gebruikersvriendelijk” ObjectGUID. Je moet deze vergelijken met de Base64-waarde van het ObjectGUID.

Volgende stap

Als de ZivverAccountKey wel overeenkomt, maar de gebruiker nog steeds niet kan inloggen vanwege het bericht “Please enter your Zivver password once”, kun je de ZivverAccountKey bijwerken met de Synctool. Ga naar Syncing > Synchronization Options en selecteer de speciale optie Update the password/accountkey for all users in local data.

Voor gebruikers met de juiste ZivverAccountKey verandert er niets, maar je kunt optioneel eerst een source filter instellen om alleen de getroffen gebruiker te synchroniseren.

Als de ZivverAccountKey niet overeenkomt, moet je achterhalen waarom. Het kan zijn dat de Synctool het verkeerde attribuut gebruikt. In dat geval kun je de mapping wijzigen in de Synctool onder Sources > Specific user source > Users. Daar kun je het attribuut aanpassen dat is gemapt voor ZivverAccountKey.

Een andere mogelijke oorzaak is dat de Identity Provider het verkeerde attribuut terugstuurt. In dat geval kun je in de IdP-instellingen het attribuut aanpassen zodat de juiste waarde wordt teruggegeven.