Tiaris handleiding
Directoryaanmelding instellen
Laat mensen zich op beheerde computers aanmelden met hun Microsoft Entra ID- of Google Workspace-account.
Directoryaanmelding laat mensen hun school- of werkaccount gebruiken op het aanmeldscherm van een beheerde computer. Dit meldt hen alleen aan op het werkstation en wijzigt niet hoe beheerders zich bij Tiaris aanmelden.
Directoryverbindingen horen bij de organisatie en worden één keer gemaakt onder Instellingen > Aanmeldbronnen. Elk beleid kiest daarna onafhankelijk of de betrokken computers een verbonden bron gebruiken en hoe het aanmeldscherm werkt.
Het instellen bestaat uit drie delen:
- Maak een applicatie of client in het beheerportaal van Microsoft of Google.
- Verbind deze één keer onder Instellingen > Aanmeldbronnen.
- Selecteer de bron in elk beleid dat deze moet gebruiken en geef daarna de resulterende Blueprint-update vrij.
Stap 1 en 2 staan op de providerpagina’s: Aanmelden met Microsoft Entra ID en Aanmelden met Google Workspace. Stap 3 staat hieronder.
Een aanmeldbron kiezen
Section titled “Een aanmeldbron kiezen”Elke provider biedt twee aanmeldwijzen. Gebruikers merken vooral het verschil tussen een wachtwoord op de computer invoeren en een eenmalige code op het scherm aflezen om de aanmelding op een telefoon af te ronden.
| Bron | Hoe mensen zich aanmelden | Aanmeldschermen | Beheerdersrechten |
|---|---|---|---|
| Microsoft Entra ID | Webadres en eenmalige code, afronden op een ander apparaat | Alleen GDM | Entra-app-rol of groep |
| Microsoft Entra ID met wachtwoord | Microsoft-wachtwoord of een bij eerste gebruik gekozen pincode op de computer | Alle | Object ID van een Entra-groep |
| Google Workspace | Webadres en eenmalige code, afronden op een ander apparaat | Alleen GDM | Groepsregel, zelden bruikbaar |
| Google Workspace met wachtwoord | Google-wachtwoord op de computer | Alle | Niet beschikbaar; gebruik een lokale accountgroep |
Twee verdere verschillen zijn van belang:
- Aanmeldscherm. Bronnen met een aanmeldcode gebruiken het GNOME-aanmeldscherm en werken alleen met GDM (Wayland). Wachtwoordbronnen gebruiken de eigen authenticatiedienst van de computer. Daardoor werken ook greetd en COSMIC Greeter.
- Pakketten bouwen. Alle bronnen behalve Google Workspace met wachtwoord hebben pakketten nodig die geen goedgekeurde binaire cache levert. Elke Blueprint op het beleid moet daarom Lokaal bouwen vanuit broncode toestaan inschakelen. Zie Blueprints die alleen cachepakketten gebruiken.
Voordat je begint
Section titled “Voordat je begint”Zorg voor:
- toegang om een applicatie te maken in het beheerportaal van Microsoft of Google;
- een directoryaccount zonder beheerdersrechten voor de testaanmelding;
- een representatieve computer om de Blueprint-update te testen;
- een getest lokaal noodbeheerdersaccount voor als de directory onbereikbaar is.
Inschakelen voor een beleid
Section titled “Inschakelen voor een beleid”- Open Configuratie > Beleidsregels en selecteer het beleid.
- Selecteer onder Hoe mensen zich aanmelden de kaart van de verbonden bron. Een kaart met Nog niet ingesteld moet eerst worden verbonden onder Instellingen > Aanmeldbronnen.
- Kies bij een bron met aanmeldcode of het scherm ook een QR-code bij aanmelden toont. Het webadres en de eenmalige code blijven altijd zichtbaar. De QR-code is een extra gemak voor telefoons. Wachtwoordbronnen hebben geen code, dus deze keuze ontbreekt daar.
- Kies Offline aanmelden. Toegestaan na eerste aanmelding laat iemand blijven aanmelden als de directory of internetverbinding onbereikbaar is, nadat die persoon minstens één keer op die computer is aangemeld. Altijd online controleren vereist de directory bij elke aanmelding.
- Kies Opslaan.
- Open Uitrollen, test de voorbereide Blueprint-kandidaat op een representatieve computer en geef deze vrij via het normale uitrolproces.
De eerste directoryaanmelding op een computer moet altijd online gebeuren. Een bron met aanmeldcode maakt daarna de lokale identiteit en vraagt de gebruiker een wachtwoord te kiezen voor offline aanmelden.
Blueprints die alleen cachepakketten gebruiken
Section titled “Blueprints die alleen cachepakketten gebruiken”Beide Microsoft Entra ID-methoden en Google Workspace met een aanmeldcode vereisen pakketten die geen goedgekeurde binaire cache levert. Staat Lokaal bouwen vanuit broncode toestaan uit voor een Blueprint op het beleid, dan blokkeert Tiaris het opslaan van het ongeschikte beleid en noemt de betrokken Blueprint. Een Blueprint kan de directoryaanmeldregel van het beleid niet door lokale accounts vervangen.
Open de Blueprint en schakel Lokaal bouwen vanuit broncode toestaan in. Of behoud alleen cachepakketten en kies in het beleid een passende aanmeldmethode. Sla daarna op en geef de voorbereide Blueprint-update vrij. Google Workspace met wachtwoord heeft deze beperking niet: die methode gebruikt alleen cachepakketten.
De verbinding onderzoeken
Section titled “De verbinding onderzoeken”- Tiaris kan de test niet starten: controleer gekopieerde ID’s en geheimen, de Entra-instelling voor openbare clients, het Google-clienttype en de beschikbaarheid van de provider.
- Het testaccount wordt geweigerd: gebruik een account uit de ingestelde tenant of het Workspace-domein. Controleer voorwaardelijke toegang, multifactorauthenticatie, toestemmingsregels en API-beperkingen bij de provider.
- De verbinding werkt maar de aanmeldkeuze ontbreekt op de computer: controleer of het beleid is opgeslagen, de Blueprint-kandidaat is vrijgegeven en uitgerold, bronbuilds zijn toegestaan waar nodig en het aanmeldscherm geschikt is.
- Een beheerdersregel komt niet overeen: controleer of het identiteitstoken of de groep werkelijk de genoemde claim en exacte waarde bevat. Verwijder de regel tijdens het onderzoek zodat onverwachte personen geen beheerdersrechten krijgen.
- Aanmelden werkt maar bestanden tonen nummers in plaats van namen: de directory levert niet de benodigde POSIX-attributen. Zie Aanmelden met Google Workspace.
Plaats nooit clientgeheimen, certificaten, eenmalige codes, tokens of schermafbeeldingen met echte accountgegevens in ondersteuningsvragen of documentatie.