Eenmalige aanmelding (SSO) instellen met Active Directory Federation Services (AD FS)

Als je een HubSpot Professional of Enterprise account hebt, kun je single sign-on instellen met Active Directory Federation Services (AD FS).

Voordat u begint

Om AD FS te gebruiken om in te loggen op je HubSpot account, moet je aan de volgende vereisten voldoen:

• Alle gebruikers in je Active Directory instance moeten een e-mailadresattribuut hebben.
• Je gebruikt een HubSpot Professional of Enterprise account.
• Je hebt een server met Windows Server 2008, 2012 of 2019.

Let op: dit installatieproces moet worden uitgevoerd door een IT-beheerder met ervaring met het maken van applicaties in je identity provider account. Meer informatie over het instellen van SSO met HubSpot.

SSO instellen met Microsoft AD FS

1. Klik in je HubSpot-account op het instellingen-pictogram in de bovenste navigatiebalk.
2. Navigeer in het menu aan de linkerkant naar Beveiliging.
3. Klik op het tabblad Aanmelding op Portalaanmeldingsinstellingen instellen als u uw aanmeldingsinstellingen voor de portal nog niet hebt geconfigureerd. Of klik in de sectie Eenmalige aanmelding (SSO) op Configureren.
4. Schakel in het rechterpaneel de schakelaar Ik gebruik Microsoft AD FS (legacy on-premise) in.
5. Kopieer de waarden Audience URI (Service Provider Entity ID) en Sign on URL, ACS, Recipient of Redirect. U moet beide waarden toevoegen aan Microsoft AD FS tijdens het installatieproces.

Een RPT (Relying Party Trust) toevoegen

Open de Active Directory Federation Services (AD FS) manager:

1. Open in uw AD FS manager de map Relying Party Trusts (RPT) .
2. Selecteer in het menu aan de rechterkant Add Relying Party Trust....
3. Klik in het dialoogvenster Add Relying Party Trust Wizard op Start om een nieuwe RPT toe te voegen.
4. Selecteer in het scherm Gegevensbron selecteren de optie Gegevens over de betrouwbare partij handmatig invoeren. Klik vervolgens op Volgende.
5. Voer in het veld Display name (Weergavenaam) een naam in voor uw trust - dit is voor interne doeleinden, dus zorg ervoor dat u het een naam geeft die u gemakkelijk kunt herkennen. Klik vervolgens op Volgende.
6. In het scherm Configure Certificate (Certificaat configureren) laat u de standaardinstellingen zoals ze zijn en klikt u op Next (Volgende).
7. Schakel het selectievakje Enable Support for the SAML 2.0 WebSSO protocol in .
8. Voer in het veld Relying party SAML 2.0 SSO service URL de Sign on URL, ACS, Recipient of Redirect URL van je HubSpot-account in. Klik vervolgens op Volgende.

9. In het veld Relying party trust identifier :
   • Voer de Audience URI-waarde (Service Provider Entity ID) in van je HubSpot-account.
   • Voer https://api.hubspot.com in en klik op Toevoegen.
10. Klik op Volgende.
11. Selecteer Iedereen toestaan in het venster Toegangsbeheer kiezen en klik op Volgende.
12. Controleer je instellingen en klik op Volgende.
13. Klik op Sluiten.

Regels voor claims maken

Voordat je je declaratieregel instelt, moet je ervoor zorgen dat de e-mailadressen van je gebruikers overeenkomen met de e-mailadressen van hun HubSpot-gebruikers. Je kunt andere identifiers gebruiken, zoals de User Principal Name (UPN), als je UPN's in de vorm van een e-mailadres zijn. Om single sign-on met AD FS te laten werken, moet de nameID in de vorm van een e-mailadres zijn om overeen te komen met een HubSpot-gebruiker.

1. Klik in het venster Claims Rule op Add Rule (Regel toevoegen).
2. Klik op het vervolgkeuzemenu Claims rule template en selecteer Send LDAP Attributes as Claims. Klik vervolgens op Volgende.
3. Ga naar het scherm Claim Rule configureren :
   • Voer in het veld Claim rule name (Naam claimregel ) een regelnaam in.
   • Klik op het vervolgkeuzemenu Attribute Store en selecteer Active Directory.
   • Breng in de tabel Mapping of LDAP attributes het volgende in kaart:
     • Klik in de kolom LDAP-attribuut op het vervolgkeuzemenu en selecteer E-mailadressen.
     • Klik in de kolom Outgoing ClaimType op het vervolgkeuzemenu en selecteer Email Address (E-mailadres).
4. Klik op Voltooien.

Stel vervolgens de regel Transform an Incoming Claim in:

1. Klik op Regel toevoegen.
2. Klik op het vervolgkeuzemenu Claimregelsjabloon en selecteer Een inkomend schadegeval transformeren. Klik vervolgens op Volgende.
3. Ga naar het scherm Claim Rule configureren :
   • Voer een naam in voor de claimregel.
   • Klik op het keuzemenu Type inkomende claim en selecteer E-mailadres.
   • Klik op het keuzemenu Type uitgaande claim en selecteer Naam-ID.
   • Klik op het keuzemenu voor de indeling van de uitgaande naam-ID en selecteer E-mail.
   • Klik op Voltooien om de nieuwe regel toe te voegen.
4. Klik op OK om beide nieuwe regels toe te voegen.

Pas de vertrouwensinstellingen aan

1. Selecteer Properties in de map Replying Party Trusts in het zijbalkmenu Actions .
2. Klik op het tabblad Geavanceerd en zorg ervoor dat SHA-256 is opgegeven als het veilige hash-algoritme.

Hoewel zowel SHA-256 als SHA-1 worden ondersteund, wordt SHA-256 aanbevolen.

Zoek uw PEM-formaat x509 certificaat

Om uw PEM-formaat x509-certificaat te openen:

1. Navigeer naar het AD FS-beheervenster . Navigeer in het linker zijbalkmenu naar Services > Certificaten.
2. Zoek het Token signing certificaat. Klik met de rechtermuisknop op het certificaat en selecteer Certificaat weergeven.

3. Klik in het dialoogvenster op het tabblad Details .
4. Klik op Kopieer naar bestand.
5. In het venster Certificaat exporteren dat wordt geopend, klikt u op Volgende.
6. Selecteer Base-64 gecodeerde X.509 (.CER) en klik op Volgende.
7. Geef uw bestandsexport een naam en klik op Next.
8. Klik op Finish om het exporteren te voltooien.
9. Zoek het bestand dat u zojuist hebt geëxporteerd en open het met een teksteditor, zoals Kladblok.
10. Kopieer de inhoud van het bestand.

Voltooi je installatie in HubSpot

1. Log in op je HubSpot account.
2. Klik in je HubSpot-account op het instellingen-pictogram in de bovenste navigatiebalk.
3. Navigeer in het menu aan de linkerkant naar Beveiliging.
4. Klik op het tabblad Aanmelden in de sectie Eenmalige aanmelding (SSO) op Configureren.
5. Plak de inhoud van het bestand in het veld X.509-certificaat.
6. Ga terug naar uw AD FS manager.
7. Selecteer in het linker zijbalkmenu de map Endpoints .
8. Zoek naar SSO service endpoint en de URL van de entiteit. De SSO service URL eindigt meestal op "adfs/services/ls" en de entiteit URL eindigt op "adfs/services/trust".
9. Keer terug naar HubSpot. Voer in het veld Identity Provider Identifier of Issuer URL de URL van de entiteit in.
10. Voer in het veld Identity Provider single sign-On URL de URL van de SSO-service in.
11. Klik op Verifiëren.

Let op: als je een foutmelding krijgt bij het configureren van single sign-on in HubSpot, controleer dan de logboeken van de gebeurtenisviewer op je apparaat voor de foutmelding. Als je de foutmelding niet kunt oplossen, neem dan contact op met HubSpot Support.