Aanmelden met Microsoft Entra ID

Tiaris verbindt op twee manieren met Microsoft Entra ID. Beide laten mensen hun Microsoft-werk- of schoolaccount gebruiken op beheerde computers. Het verschil zit in het aanmeldscherm. Lees eerst Directoryaanmelding instellen als je nog niet hebt gekozen.

• Microsoft Entra ID toont een webadres en een eenmalige code op het aanmeldscherm. Mensen ronden de aanmelding af op een telefoon of andere computer. Dit vereist het GDM-aanmeldscherm.
• Microsoft Entra ID (wachtwoord) laat mensen hun Microsoft-wachtwoord of een bij eerste gebruik ingestelde pincode direct op het aanmeldscherm invoeren. Elk aanmeldscherm werkt. Vragen voor multifactorauthenticatie verschijnen op het aanmeldscherm in plaats van in een browser.

Beide methoden vereisen Lokaal bouwen vanuit broncode toestaan op elke Blueprint van het beleid dat de bron gebruikt.

Microsoft Entra ID met een aanmeldcode

De Microsoft-applicatie maken

1. Meld je aan bij het Microsoft Entra admin center en open Entra ID > App registrations.
2. Kies New registration.
3. Voer een herkenbare naam in, zoals Tiaris workstation sign-in.
4. Kies bij Supported account types de optie voor één tenant van je organisatie. Laat Redirect URI leeg en kies Register.
5. Kopieer op Overview van de applicatie de Application (client) ID en Directory (tenant) ID.
6. Open Authentication. Zet onder Advanced settings de optie Allow public client flows op Yes en kies Save.

Microsoft beschrijft dit uitgebreider in Register an application en Enable public client flow.

Verbinden met Tiaris

1. Open in Tiaris Instellingen > Aanmeldbronnen.
2. Zoek onder Directoryverbindingen de bron Microsoft Entra ID en kies Verbinden.
3. Plak Directory (tenant) ID in Tenant-ID en Application (client) ID in Client-ID. Deze aanmeldmethode gebruikt geen clientgeheim.
4. Voeg zo nodig beheerdersregels toe. Zie Mensen beheerdersrechten geven. Zonder regel wordt iedereen aangemeld als gewone gebruiker.
5. Kies Testen en verbinden.
6. Open op een telefoon of andere computer het getoonde Microsoft-adres, voer de eenmalige code in en meld je aan met het testaccount.
7. Tiaris toont welk account is aangemeld, welke gebruikersnaam dit op de computer krijgt en of het beheerdersrechten heeft. Kies Gereed.

De verbinding wordt pas opgeslagen nadat de testaanmelding slaagt. Verbinden zonder testen slaat deze ongecontroleerd op als de provider op dat moment geen test kan afronden.

Mensen beheerdersrechten geven

Regels onder Beheerrechten op de computers vergelijken een claim in het identiteitstoken dat Microsoft uitgeeft.

De betrouwbare aanpak is een app-rol. Definieer in de appregistratie een app-rol en wijs gebruikers of groepen toe. Voeg daarna een regel toe met claim roles en de Value van de rol, bijvoorbeeld Tiaris.LocalAdmin, gekoppeld aan Lokale beheerder.

Gebruik voor een rechtstreekse groepsregel claim groups met de onveranderlijke Object ID van de groep, niet de naam. Stel de appregistratie ook in om de claim groups mee te geven. Iedereen die niet overeenkomt met een regel meldt zich aan als gewone gebruiker.

Microsoft Entra ID met een wachtwoord

Deze methode registreert elke computer bij Microsoft wanneer iemand zich er voor het eerst aanmeldt, met de eigen inloggegevens van die persoon. Tiaris bewaart hiervoor geen geheim. Je hoeft geen tenant-ID in te voeren: de tenant wordt afgeleid uit het domein.

Entra voorbereiden

Meestal hoef je niets aan te maken. Verzamel de geverifieerde aanmelddomeinen van de tenant, zoals directory.example en tenant.onmicrosoft.com.

Maak alleen een appregistratie als je tenant de ingebouwde Linux-aanmeldapplicatie van Microsoft blokkeert. Registreer dan een openbare client zoals hierboven en bewaar de Application (client) ID voor de geavanceerde instelling.

Verzamel voor beheerdersrechten de Object ID van elke Entra-groep waarvan de leden beheerder moeten zijn. Open Entra ID > Groepen, selecteer de groep en kopieer de Object ID uit het overzicht.

Verbinden met Tiaris

1. Open in Tiaris Instellingen > Aanmeldbronnen.
2. Zoek onder Directoryverbindingen de bron Microsoft Entra ID (wachtwoord) en kies Verbinden.
3. Vul bij Entra-domeinen de geverifieerde aanmelddomeinen in, gescheiden door komma’s. Mensen gebruiken hun volledige Microsoft-adres, zoals [email protected], dus elk gebruikt domein moet in de lijst staan.
4. Kies een Aanmeldmethode:
   • Elke keer het Microsoft-wachtwoord: bij elke aanmelding op elke computer wordt het Microsoft-wachtwoord gebruikt. Extra verificatie verschijnt op het aanmeldscherm.
   • Pincode instellen bij de eerste aanmelding: bij het eerste gebruik van elke computer stelt de gebruiker een pincode in. Daarna gebruikt die persoon de pincode in plaats van het wachtwoord op die computer.
5. Vul zo nodig Beheerdersgroepen in, met één Entra-groeps-Object-ID per regel. Groepsnamen worden geweigerd: de computer kan alleen op Object ID vergelijken.
6. Laat Geavanceerde Microsoft-instellingen staan zoals ingesteld, tenzij je tenant andere waarden nodig heeft. Microsoft-cloud kiest Worldwide, US Government of China (21Vianet). Application (client) ID is alleen nodig als de tenant de ingebouwde Linux-aanmeldapplicatie blokkeert.
7. Kies Verbinden.

Controleren of het werkt

Vanuit Tiaris is er niets te testen: de registratie vindt bij de eerste aanmelding plaats tussen de computer en Microsoft. Tiaris bezit dus geen inloggegevens waarmee het die stap kan oefenen.

Controleer dit op een echte computer. Selecteer de bron in een beleid, stuur die naar één testcomputer zoals beschreven in Directoryaanmelding instellen en meld je daar aan met een directoryaccount voordat je breder uitrolt.

Gewone gebruikers, tenzij een groep overeenkomt

Wie geen lid is van een opgegeven beheerdersgroep meldt zich aan als gewone gebruiker. Behoud ook een gedeelde lokale accountgroep als je een account nodig hebt dat onafhankelijk is van Entra.