Introductie

Na het vernieuwen of roteren van het SAML-ondertekeningscertificaat bij je identity provider (IdP) kunnen gebruikers niet meer inloggen bij Zivver. Dit kan tegelijk gevolgen hebben voor het Admin Panel, de WebApp, de Chrome-extensie, Outlook Web Access (OWA) en de Office-plugin, omdat deze producten dezelfde SSO-configuratie delen. Mogelijke foutmeldingen zijn:

"error": "SAML response was not properly signed. Make sure to sign at least the SAML response or the assertion(s)."

of een certificaatfout, of een leeg SSO-inlogscherm.

Dit geldt ongeacht welke identity provider je gebruikt, bijvoorbeeld Entra ID, AD FS, Okta of Google Workspace.

Oorzaak

Zivver bewaart SSO-metadata, inclusief het ondertekeningscertificaat, maximaal 24 uur in de cache in plaats van deze bij elke login opnieuw op te halen. Na het vernieuwen van het certificaat bij je identity provider blijft Zivver inloggen valideren tegen het oude, gecachte certificaat totdat de cache verloopt.

Oplossing

1. Controleer bij je identity provider of het nieuwe certificaat actief is en exporteer de federation metadata als XML-bestand.
   Raadpleeg de installatiehandleiding van je identity provider om te zien waar je dit vindt: Entra ID (of de handleiding voor het vernieuwen van het Entra ID-certificaat voor de exacte stappen), AD FS, Okta, Google Workspace.
2. Log in op de Zivver WebApp.
3. Klik op Organisatie-instellingen.
4. Vouw Gebruikersbeheer uit.
5. Klik op Single Sign-on.
6. Selecteer Handmatig.
7. Plak de nieuwe federation metadata XML in het veld Identity Provider’s .XML.
8. Klik op Opslaan.
   Dit herstelt direct het inloggen voor het Admin Panel, de WebApp, de Chrome-extensie, OWA en de Office-plugin, omdat deze allemaal dezelfde SSO-configuratie gebruiken.
9. Wacht minimaal 24 uur totdat de oude gecachte metadata verloopt.
10. Selecteer opnieuw Automatisch.
11. Voer de Metadata-URL in het veld URL in.
12. Klik op Opslaan.
    Zo worden toekomstige certificaatvernieuwingen automatisch opgepikt.

Opmerking

Deze procedure is voor elke identity provider hetzelfde. Alleen de manier waarop je de nieuwe federation metadata in stap 1 exporteert, verschilt per provider.