# Handleiding voor SSO

### Introductie

Het integreren van single sign-on (SSO) met Zoom biedt beheerders opties voor gebruikersbeheer en beveiliging die het accountbeheer kunnen vereenvoudigen. Zodra het is geconfigureerd, verifiëren gebruikers zich met hun bedrijfsreferenties bij de identiteitsprovider van uw bedrijf in plaats van andere authenticatiemethoden zoals integraties met Google of Facebook, of een directe gebruikersnaam en wachtwoord bij Zoom te gebruiken.

Dit document biedt een uitgebreid overzicht van SSO-configuraties en -instellingen binnen Zoom, naast informatie over probleemoplossing en beveiliging.

### SSO-integraties

#### <mark style="color:blauw;">SSO vereist een vanity-URL om te beginnen</mark>

Een account moet een goedgekeurde vanity-URL hebben voordat SSO wordt geconfigureerd. Zodra de vanity-URL is goedgekeurd, kunnen Zoom-beheerders toegang krijgen tot de [SSO-configuratie](https://zoom.us/account/sso) pagina via het submenu geavanceerde opties op het webportal. Raadpleeg ons supportartikel over [Vanity-URL's](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) voor meer informatie.

#### <mark style="color:blauw;">Zoom SSO werkt met elke SAML 2.0-identiteitsprovider</mark>

Zoom kan integreren met elke identiteitsprovider die Security Assertion Markup Language (SAML) 2.0-authenticatie ondersteunt. Hoewel er veel gedocumenteerde integratiestappen bestaan, bieden sommige identiteitsproviders geen documentatie voor integratie met Zoom. Accounts die geen configuratie-instructies kunnen vinden, worden aangemoedigd contact op te nemen met hun identiteitsprovider voor meer informatie.

#### <mark style="color:blauw;">Zoom-beheerders kunnen gebruikersprofielgegevens en licenties beheren via SAML-responsmapping of SCIM-integraties</mark>

Beheerders kunnen gebruikersprofielgegevens en licenties beheren via SAML-responsmapping of System for Cross-Domain Identity Management (SCIM) API-aanroepen, afhankelijk van de functies die de identiteitsprovider biedt. Beide methoden voor gebruikersbeheer bieden vrijwel gelijke functionaliteit voor het mappen van profielgegevens en het beheren van licenties, maar sommige SCIM-mappings vereisen handmatige configuratie.

Voor een uitgebreide lijst met SCIM-mogelijkheden, raadpleeg ons [SCIM API-documentatie](https://marketplace.zoom.us/docs/api-reference/scim-api/methods#tag/User).

#### <mark style="color:blauw;">Zoom-beheerders kunnen de status van gebruikersaccounts beheren via SCIM, maar niet via SAML</mark>

Omdat SCIM identiteitsproviders in staat stelt direct op elk moment met Zoom te communiceren, kunnen gebruikersaccounts worden *geactiveerd*, *gedeactiveerd*, *gemaakt*, of *verwijderd* via SCIM-integraties automatisch. Bijvoorbeeld: als het account van een gebruiker in Active Directory is uitgeschakeld, of als ze de toepassing niet meer zijn toegewezen, kan SCIM een automatische deactiveringsaanvraag naar Zoom sturen voor het account van die gebruiker. Deze functie is afhankelijk van de mogelijkheden van de SCIM-toepassing van de identiteitsprovider en de functionaliteit kan per provider variëren.

#### <mark style="color:blauw;">Weinig identiteitsproviders bieden SCIM voor Zoom</mark>

Veel identiteitsproviders hebben geen SCIM-integratie voor Zoom als onderdeel van hun diensten. Accounts die een identiteitsprovider gebruiken die SCIM met Zoom niet ondersteunt, moeten SAML-responsmapping gebruiken voor geautomatiseerd gebruikersbeheer.

#### <mark style="color:blauw;">SCIM vereist een gekoppeld domein om gebruikers automatisch te provisioneren</mark>

Accounts die SCIM gebruiken om gebruikers voor SSO te beheren en te provisioneren **moeten** het e-maildomein met Zoom koppelen. Het niet koppelen van het domein zal resulteren in fouten bij het provisioneren van gebruikers. Raadpleeg ons supportartikel over [Gekoppelde domeinen](https://support.zoom.us/hc/en-us/articles/203395207) voor meer informatie over het proces.

#### <mark style="color:blauw;">De volgende SSO-integraties zijn gedocumenteerd</mark>

{% hint style="success" %}
**Zoom-tip**

Klik op het ✔ in de kolom Provider- of Zoom-documentatie om in een nieuw venster instructies te openen.
{% endhint %}

<table><thead><tr><th width="211.5616455078125"></th><th>Providerdocumentatie</th><th>Zoom-documentatie</th><th>Ondersteunt SCIM</th></tr></thead><tbody><tr><td>auth0</td><td><a href="https://marketplace.auth0.com/integrations/zoom-sso">✔</a></td><td><br></td><td><br></td></tr><tr><td>ADFS</td><td><br></td><td><a href="https://support.zoom.us/hc/en-us/search/click?data=BAh7DjoHaWRpBI%2F8Dww6D2FjY291bnRfaWRpAxQqAjoJdHlwZUkiDGFydGljbGUGOgZFVDoIdXJsSSJXaHR0cHM6Ly9zdXBwb3J0Lnpvb20udXMvaGMvZW4tdXMvYXJ0aWNsZXMvMjAyMzc0Mjg3LUNvbmZpZ3VyaW5nLVpvb20tU1NPLXdpdGgtQURGUwY7CFQ6DnNlYXJjaF9pZEkiKTVlZWY5ZWQ2LTJjNWItNDRhMS1hYzdhLTQ3ODc2ZmZjYTM2YgY7CEY6CXJhbmtpBzoLbG9jYWxlSSIKZW4tdXMGOwhUOgpxdWVyeUkiCFNTTwY7CFQ6EnJlc3VsdHNfY291bnRpcQ%3D%3D--06df9ad44c3254348746ce701bdf45cdf6fd36db">✔</a></td><td>AD Sync Tool</td></tr><tr><td>Clever</td><td><a href="https://support.clever.com/hc/s/articles/360040481852">✔</a></td><td><br></td><td><br></td></tr><tr><td>CyberArk</td><td><a href="https://docs.cyberark.com/Product-Doc/OnlineHelp/Idaptive/Latest/en/Content/Applications/AppsWeb/Zoom.htm">✔</a></td><td><br></td><td><br></td></tr><tr><td>Duo</td><td><a href="https://duo.com/docs/sso-zoom">✔</a></td><td><br></td><td><br></td></tr><tr><td>Entra ID (voorheen Azure)</td><td><a href="https://docs.microsoft.com/en-us/azure/active-directory/saas-apps/zoom-tutorial">✔</a></td><td><a href="https://support.zoom.us/hc/en-us/articles/115005887566-Configuring-Zoom-with-Azure">✔</a></td><td>✔</td></tr><tr><td>Google</td><td><a href="https://support.google.com/a/answer/7577316?hl=en">✔</a></td><td><a href="https://support.zoom.com/hc/en/article?id=zm_kb&#x26;sysparm_article=KB0066144">✔</a></td><td><br></td></tr><tr><td>JumpCloud</td><td><a href="https://support.jumpcloud.com/support/s/article/single-sign-on-sso-with-zoom1-2019-08-21-10-36-47">✔</a></td><td><br></td><td>✔</td></tr><tr><td>miniOrange</td><td><a href="https://www.miniorange.com/zoom-us-saml-single-sign-on-solution">✔</a></td><td><br></td><td><br></td></tr><tr><td>Okta</td><td><a href="https://saml-doc.okta.com/SAML_Docs/How-to-Configure-SAML-2.0-for-Zoom.us.html">✔</a></td><td><a href="https://support.zoom.us/hc/en-us/search/click?data=BAh7DjoHaWRsKwiKBeDGGgA6D2FjY291bnRfaWRpAxQqAjoJdHlwZUkiDGFydGljbGUGOgZFVDoIdXJsSSJYaHR0cHM6Ly9zdXBwb3J0Lnpvb20udXMvaGMvZW4tdXMvYXJ0aWNsZXMvMTE1MDA1NzE5OTQ2LU9rdGEtY29uZmlndXJhdGlvbi13aXRoLVpvb20GOwhUOg5zZWFyY2hfaWRJIikxZmJjMjhhNC03OTM1LTRmOGYtOTllMi02YTBiYTgwNzk0NTYGOwhGOglyYW5raQw6C2xvY2FsZUkiCmVuLXVzBjsIVDoKcXVlcnlJIhVjb25maWd1cmluZyB6b29tBjsIVDoScmVzdWx0c19jb3VudGkC6AM%3D--97242e750cce02ed61dfa39c762dcb565fb71ea6">✔</a></td><td>✔</td></tr><tr><td>OneLogin</td><td><a href="https://www.onelogin.com/connector/zoom">✔</a></td><td><a href="https://support.zoom.us/hc/en-us/articles/204752775-Configuring-Zoom-with-OneLogin">✔</a></td><td>✔</td></tr><tr><td>Ping Identity</td><td><a href="https://docs.pingidentity.com/bundle/pingfederate-zoom-connector/page/ejj1584646507320.html">✔</a></td><td><br></td><td>✔</td></tr><tr><td>Shibboleth</td><td><br></td><td><a href="https://support.zoom.us/hc/en-us/search?utf8=%E2%9C%93&#x26;query=configuring+zoom">✔</a></td><td><br></td></tr></tbody></table>

#### <mark style="color:blauw;">On-premises Active Directory kan de AD Sync Tool gebruiken in plaats van SCIM</mark>

Accounts die gebruikersprovisionering via SCIM willen automatiseren maar geen cloudgebaseerde identiteitsprovider hebben, kunnen de Active Directory (AD) Sync Tool-applicatie gebruiken die door Zoom is ontwikkeld voor het beheren van hun gebruikers. Deze applicatie draait op Oracle JDK 8 en simuleert SCIM-provisioning door gebruikers te beheren via API-commando's. Zie ons supportartikel over de [AD Sync Tool](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) voor meer informatie.

{% hint style="success" %}
**Zoom-aanbeveling**

De AD Sync Tool vereist nauwkeurige configuratie voor gebruikersbeheer. Grondige tests en beoordeling van de configuratie van de tool zijn vereist vóór volledige implementatie om serviceonderbreking te voorkomen.
{% endhint %}

#### <mark style="color:blauw;">Identiteitsproviders kunnen zelfs deelnemers aan vergaderingen verifiëren die geen Zoom-account hebben</mark>

Accounts die willen dat gebruikers hun identiteit moeten verifiëren maar geen Zoom-accounts willen verstrekken, kunnen een extern authenticatieprofiel configureren bij hun identiteitsprovider. Wanneer dit is ingeschakeld voor een vergadering, moeten gebruikers die proberen deel te nemen hun inloggegevens verifiëren bij uw identiteitsprovider om toegang te krijgen. Dit is een veelvoorkomende configuratie voor scholen die niet aan alle studenten accounts verstrekken maar wel authenticatie vereisen om aan lessen deel te nemen. Raadpleeg ons supportartikel over [externe authenticatie configureren](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) voor meer informatie.

#### <mark style="color:blauw;">Het wijzigen van de identiteitsprovider vereist het opnieuw configureren van SSO binnen Zoom</mark>

Accounts die van identiteitsprovider veranderen, moeten hun SSO-configuratie binnen Zoom opnieuw doen. Dit omvat het bijwerken van alle velden op de configuratiepagina om overeen te komen met hun nieuwe identiteitsprovider. Accounts worden aangemoedigd te bevestigen dat SAML-responsmappings niet zullen veranderen met de nieuwe identiteitsprovider.

Er zouden geen aanvullende configuraties of wijzigingen nodig moeten zijn, ervan uitgaande dat er geen verdere wijzigingen zijn.

#### <mark style="color:blauw;">Klanten met subaccounts kunnen SSO configureren vanuit het hoofd- of subaccount</mark>

Klanten met subaccounts hebben twee opties voor het configureren van SSO:

1. Alle gebruikers verifiëren met de vanity-URL van het hoofdaccount en worden automatisch aangemeld bij het subaccount via geavanceerde SAML-mapping ([sommige mappingbeperkingen zijn van toepassing](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons)); of
2. Elk subaccount heeft een unieke vanity-URL en een onafhankelijke SSO-configuratie, die uitsluitend door leden van dat subaccount wordt gebruikt

Elke configuratie biedt unieke voordelen, waarbij de tweede optie de meeste flexibiliteit biedt. Klanten die implementatie van een van beide configuraties overwegen, moeten dit bespreken met hun accountteam om te bepalen welke configuratie het beste bij hun behoeften past.

### SSO-instellingen en beveiliging

Zoom-beheerders kunnen de optimale beveiligings- en instellingopties kiezen voor hun organisatie bij het configureren van een SSO-integratie met Zoom. Deze sectie legt deze instellingen en hun implicaties voor een SSO-integratie uit.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXeXmQBNFuErBRXMkNDUpAzmtzjie--UtxIekSeSTm79LDCCRI-C1Omn7liMtPzVRH3zZkpLLt262eCCw3g-a71DPZ0wqu4qrHV3UnkdMy_gU7YXwYLrM81TYM0yBvm28gBM-tpmpg?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van SSO-integratie-instellingen.</p></figcaption></figure>

#### <mark style="color:blauw;">Zoom ondersteunt ondertekende SAML-aanmeld- en afmeldverzoeken</mark>

Zoom-beheerders die aanvullende authenticatie door de serviceprovider vereisen, kunnen Zoom configureren om alle aanmeld- en afmeldverzoeken aan de identiteitsprovider te ondertekenen.

Accounts die deze instelling gebruiken, kunnen mogelijk een certificaatrotatie nodig hebben als hun identiteitsprovider geen dynamische metadata-refresh ondersteunt. Zie ons supportartikel over [certificaatrotatie](https://support.zoom.us/hc/en-us/articles/360057049812-Zoom-SSO-certificate-rotation-) voor meer informatie.

#### <mark style="color:blauw;">Zoom ondersteunt versleutelde SAML-asserties bij authenticatie</mark>

Zoom-beheerders kunnen Zoom configureren om versleutelde asserties te ondersteunen bij authenticatie. Als deze instelling is ingeschakeld, worden niet-versleutelde asserties verworpen. Accounts die deze instelling gebruiken, kunnen SSO-certificaatrotatie nodig hebben als hun identiteitsprovider geen dynamische metadata-refresh ondersteunt. Zie ons supportartikel over [certificaatrotatie](https://support.zoom.us/hc/en-us/articles/360057049812-Zoom-SSO-certificate-rotation-) voor meer informatie.

#### <mark style="color:blauw;">Zoom-beheerders kunnen automatisch uitloggen afdwingen na een bepaalde tijdsduur</mark>

Zoom-beheerders kunnen Zoom configureren om gebruikers automatisch uit actieve sessies uit te loggen na gedefinieerde tijdsduur, instelbaar van 15 minuten tot 180 dagen. Dit proces zorgt ervoor dat het Zoom-toegangstoken verloopt na de vooraf bepaalde duur zodra het token is gegenereerd. Dit token heeft geen relatie met een identiteitsprovider en is uniek voor Zoom.

#### <mark style="color:blauw;">SAML-responslogboeken kunnen worden opgeslagen voor probleemoplossing</mark>

Zoom kan SAML-responslogboeken van authenticatiepogingen zeven dagen na een authenticatie opslaan. Deze responslogboeken kunnen een onschatbare tool zijn voor het oplossen van configuratie- en gebruikersfouten, naast SAML-responsmappingconfiguraties. Bekijk de sectie over [fouten oplossen met SAML-responslogboeken](#using-saml-response-logs-to-troubleshoot) voor meer informatie.

{% hint style="success" %}
**Zoom-aanbeveling**

Schakel het opslaan van SAML-responslogboeken in om het oplossen van problemen te vergemakkelijken.
{% endhint %}

#### <mark style="color:blauw;">Provisioning bij aanmelding kan accounts direct aanmaken en is de eenvoudigste provisioningoptie</mark>

Wanneer SSO is ingesteld om te provisioneren *Bij aanmelding* (ook bekend als just-in-time provisioning), kan elke geautoriseerde gebruiker binnen de identiteitsprovider zich authenticeren in Zoom. Gebruikers die nog geen bestaand account hebben, krijgen bij aanmelding onmiddellijk een account aangemaakt.

Provisioning bij aanmelding kan Zoom-implementaties binnen een bedrijf vereenvoudigen door gebruikers hun accounts te laten aanmaken op het moment van authenticatie in plaats van proactief gebruikers te moeten aanmaken. In combinatie met SAML-responsmapping is een volledig gebruikersprofiel en licentie binnen enkele seconden klaar na de eerste authenticatie van een gebruiker.

Bovendien kan provisioning bij aanmelding dynamisch het SSO-aanmeldtype aanmaken voor bestaande accounts. Als een gebruiker een bestaand Zoom-account heeft met een gebruikersnaam en wachtwoord, wordt bij aanmelding met deze configuratie een SSO-aanmeldtype aangemaakt.

#### <mark style="color:blauw;">Provisioning vóór aanmelding vereist vooraf aangemaakte accounts met een SSO-aanmeldtype</mark>

Gebruikers provisioneren voor SSO *vóór aanmelding* vereist dat authenticerende gebruikers **beide** een bestaand Zoom-account hebben, en dat het account een SSO-aanmeldtype heeft. Dit type provisioning wordt vaak gecombineerd met SCIM-provisioning vanwege het geautomatiseerde aanmaakproces, maar is daar niet exclusief aan gekoppeld. Zoom-gebruikers die zijn samengevoegd in het bedrijfsaccount via gekoppelde domeinen of een directe uitnodiging, hebben waarschijnlijk niet het SSO-aanmeldtype.

Zoom-beheerders kunnen bevestigen of een account een SSO-aanmeldtype heeft door het gebruikersaccount te bekijken op de [Gebruikersbeheer](https://zoom.us/account/user#/) pagina binnen het webportal en te zoeken naar het “SSO”-pictogram onder het e-mailadres van de gebruiker.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcreMLZApFm8ejVa0ka9Z8eqYuNxu79PNBLNRQMSXiYuhd7i_yVll8yuREcJto4NqP1PWcodZJcONRGl97_uQx7fIg7XIaESAtwqFmtg94DGrwzWgJJSPITSivg8XydSZEJPGMY7Q?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Locatie van het SSO-pictogram onder het e-mailadres van een gebruiker.</p></figcaption></figure>

Als het pictogram aanwezig is, is de gebruiker geprovisioned voor SSO; als het pictogram ontbreekt, kan de gebruiker zich niet aanmelden via SSO terwijl vooraf provisioneren is ingeschakeld totdat het wordt toegevoegd. Een Zoom-beheerder kan dit aanmeldtype toevoegen door gebruikers in bulk toe te voegen via een CSV-bestand en de optie “SSO User” te selecteren of door de gebruiker te laten authenticeren terwijl Provision at Sign-in is ingeschakeld.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcoPrIr5MH76SjZUpz7giqvgeI20rLRN6ZRT__7ltUhhuaWNyH4nM0EePcE7V3aFx1tbMqPICLZ_9dHs7Gc3_tXWOGZ4KOKQzPCdb4meMTpRxcBvNOJ2QwQmAisWT-KtWUzl_B1gQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Voorbeeld dat de optie SSO-gebruiker voor bulkuploads toont.</p></figcaption></figure>

{% hint style="success" %}
**Zoom-aanbeveling**

Om te voorkomen dat gebruikers zich niet kunnen aanmelden, gebruikt u provisioning bij aanmelding wanneer u SSO voor het eerst op een account configureert. Schakel over naar vooraf provisioneren indien gewenst zodra u heeft bevestigd dat uw gebruikers vooraf zijn geprovisioned en u methoden voor vooraf provisioneren heeft ingesteld.
{% endhint %}

#### <mark style="color:blauw;">Er moet een domein zijn gekoppeld en beheerd om SSO-authenticatie af te dwingen</mark>

Zoom-beheerders kunnen SSO-authenticatie afdwingen *alleen* als het e-maildomein is gekoppeld en beheerd binnen Zoom. Wanneer dit is ingeschakeld, worden alle gebruikers die zich authenticeren met uw bedrijfsdomein(en) automatisch doorgestuurd naar de authenticatiepagina van uw identiteitsprovider, ongeacht het platform.

Zodra het domein is goedgekeurd en beheerd, kan een Zoom-beheerder SSO-authenticatie afdwingen via de [beveiligingspagina](https://zoom.us/account/setting/security) onder **Aanmeldmethoden**. Raadpleeg ons supportartikel over [Gekoppelde domeinen](https://support.zoom.us/hc/en-us/articles/203395207) voor meer informatie over het koppelen en beheren van een domein.

#### <mark style="color:blauw;">Specifieke gebruikers kunnen vrijgesteld worden van afgedwongen SSO-authenticatie</mark>

Zoom-beheerders kunnen specifieke gebruikers uitsluiten van afgedwongen SSO-authenticatie. Het uitsluiten van specifieke gebruikers (zoals een beheerdersaccount) kan nuttig zijn als een SSO-configuratie faalt en een accountbeheerder niet-SSO-toegang tot het Zoom-account nodig heeft. Beheerders die zijn vrijgesteld, kunnen zich op elk moment aanmelden bij admin.zoom.us in het geval van een accountlockout of gebroken SSO-configuratie (de gebruiker moet de standaard **beheerder** rol hebben). Als een Zoom-beheerder geen toegang tot het account kan krijgen, moeten zij contact opnemen met Zoom Support voor hulp.

Om een gebruikersuitzondering in te schakelen, gaat u naar het account [beveiligingspagina](https://zoom.us/account/setting/security) op het webportal onder geavanceerde opties, zoekt u de lijst met afgedwongen domeinen en voegt u een uitzondering toe via de bewerklijst.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXe23kx3YxMdjE3_CZSecp2CF3HA42tOP80rwvDJo5JApEYW3sPKjo4p2qyJFQ912BHysKjQ51M5p04hb_ODjApxTyL3bh9-PooZZ1lrf1odC8z1n8xtOcDjROAjCO-45Idn5nVglw?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Voorbeeld van domeinlijst voor SSO.</p></figcaption></figure>

#### <mark style="color:blauw;">Mobiele en desktopclients kunnen worden geconfigureerd om gebruikers te verplichten SSO-authenticatie te gebruiken</mark>

Zoom-clients kunnen vooraf worden geconfigureerd om SSO-functionaliteit te automatiseren, inclusief automatische aanmelding, automatisch uitloggen, alleen-SSO-authenticatie op het apparaat en meer via Group Policy, mobile device management (MDM)-diensten en massadeployments van clients.

Voor een volledige lijst met configuratiemogelijkheden, raadpleeg onze configuratie-opties voor [Groepsbeleid](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) en [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows).

#### <mark style="color:blauw;">Office 365-gebruikers kunnen zich automatisch aanmelden bij de Zoom voor Outlook-invoegtoepassing met SSO-referenties</mark>

Klanten die Office 365 gebruiken, kunnen hun gebruikers automatisch aanmelden bij de Zoom voor Outlook-invoegtoepassing met SSO-referenties. Dit kan worden gecombineerd met een [aangepast add-in-manifest](https://support.zoom.us/hc/en-us/articles/360041403311) dat de vanity-URL van het account vooraf invult, waardoor gebruikers een naadloze authenticatie-ervaring krijgen. Deze functie gebruikt het SSO-sessietoken van de gebruiker als dit actief is, of vraagt om een nieuwe authenticatie bij uw identiteitsprovider als er geen actieve sessie wordt gevonden.

Een Zoom-beheerder kan deze instelling inschakelen op de [beveiligingspagina](https://zoom.us/account/setting/security) van het account onder het **geavanceerde** menu.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXfEdymeE4sK16jjdIFscCwWJFRXrCOOa_JUC8l0P7qxR3mXD4HFeDP9V3SUEsJCFMFqn41oKdwmS2Rk7Ilu-NgPfaPj0IpVnYxYUCPYdtcVCU63p7GfceHm5GrhvgdFEPC67hpP?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van beheerdersinstelling voor SSO met Outlook-invoegtoepassing.</p></figcaption></figure>

### SAML-responsmapping

SAML-attributen zijn categorieën gegevens gedefinieerd door SAML-waarden, en worden gebruikt om informatie van de identiteitsprovider naar een serviceprovider zoals Zoom over te dragen. Het mappen van attributen en waarden is essentieel voor het automatiseren van gebruikersprofielinformatie en het beheren van gebruikerslicenties.

SAML-responsmapping is opgesplitst in twee delen: *basis* en *geavanceerde*. Basis-mapping wordt gebruikt om basisprofielinformatie te mappen, waaronder naam, telefoonnummer, afdeling, enz. Geavanceerde mapping wordt gebruikt om dynamische licentietoewijzingen te beheren, gebruikersgroepen toe te wijzen, gebruikersrollen en meer.

Deze sectie behandelt de fundamenten van SAML-responsmapping, basis- en geavanceerde SAML-responsmapping, en belicht unieke voorwaarden die voor sommige functies vereist zijn.

#### <mark style="color:blauw;">Fundamenten: SAML-attributen en -waarden</mark>

De meeste identiteitsproviders geven basisprofielinformatie door met eenvoudige attributenamen en -waarden. Bijvoorbeeld: de afdeling van een medewerker kan via SAML binnenkomen met een attribuut department en een waarde Human Resources. De volgende tabel toont de relatie tussen attributen en waarden bij het doorgeven van informatie over een gebruiker.

| SAML-attribuut | SAML-waarde                    |
| -------------- | ------------------------------ |
| firstName      | John                           |
| lastName       | Smith                          |
| email          | <john.smith@companydomain.com> |
| department     | Human Resources                |

Door een SAML-attribuut correct toe te wijzen aan een responsmapping, kunnen gebruikersgegevens automatisch op een gebruikersprofiel worden toegepast om het aanmaak- en beheerproces van accounts te vereenvoudigen.

#### <mark style="color:blauw;">Basis-mapping: profielinformatie</mark>

SAML Basic Information Mapping wordt gebruikt om profielinformatie zoals voornaam, achternaam, afdeling, telefoonnummer, kostenplaats en locatie vanuit een directory naar het gebruikersprofiel toe te passen. Veel van deze categorieën zijn vanzelfsprekend en kunnen eenvoudig worden geconfigureerd; sommige categorieën vereisen echter uitleg voor juiste configuratie om onvoorziene gevolgen of applicatiefouten te voorkomen. De volgende sectie belicht unieke mappingopties en configuratie-instellingen voor basis-mapping. Raadpleeg ons [Artikel over basis SAML-mapping](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) voor een volledige lijst van ondersteunde attributen.

#### <mark style="color:blauw;">Het standaardlicentietype is alleen van toepassing op</mark> *<mark style="color:blauw;">splinternieuwe gebruikers</mark>*

De optie voor het standaardlicentietype zal de aangewezen licentie toepassen op alle *splinternieuwe* gebruikers die binnen het account via SAML worden geprovisioned. Dit geldt niet voor gebruikers die voor de tweede keer authenticeren, gebruikers die naar het account zijn geconsolideerd vanuit een vorig account, gebruikers die via SCIM worden geprovisioned, of gebruikers die handmatig zijn uitgenodigd.

Voor informatie over *het bijwerken van* gebruikerslicenties met authenticatie, raadpleeg de licentieconfiguratie onder [Geavanceerde SAML-mapping](#advanced-mapping-licenses-add-ons-and-access).

#### <mark style="color:blauw;">Een standaardlicentietype van</mark> *<mark style="color:blauw;">Geen</mark>* <mark style="color:blauw;">zal nieuwe gebruikers niet toestaan te authenticeren tenzij geavanceerde mapping is geconfigureerd om een licentie toe te wijzen</mark>

Zoom-gebruikers moeten een toegewezen licentietype (Basic, Licensed of On-Prem) hebben om in te loggen op de Zoom-service. Als een standaardlicentietype van Geen is geselecteerd, kunnen nieuwe gebruikers zich niet aanmelden of een nieuw account aanmaken tenzij ze een licentie ontvangen via [Geavanceerde SAML-mapping](#advanced-mapping-licenses-add-ons-and-access).

#### <mark style="color:blauw;">De meeste basis-mappings worden bij aanmelding opnieuw toegepast, tenzij anders gespecificeerd</mark>

De meeste basis SAML-mappings worden standaard elke keer bijgewerkt wanneer een gebruiker zich aanmeldt, *behalve* *voor* voornaam, achternaam, displaynaam en telefoonnummer. Standaard worden deze vier mappings alleen de eerste keer toegepast dat een gebruiker authenticereert en worden ze niet opnieuw toegepast, zelfs niet als ze door een gebruiker of beheerder worden bijgewerkt. Zoom-beheerders kunnen dit gedrag veranderen door de optie in te schakelen voor **Bijwerken bij elke SSO-aanmelding** op de pagina voor SAML-responsmapping.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdgxB7nSeT9EXKL47NDJoqfiLnUAkydR2-yPdvgvQW178LJscVd-Jo8TfyuPBb2sez6c5cRwwK0FwoEhCwG8TlOfZV1MzpWoZxXOYHu1WCcPZYBryituG7Fyq-T88isb7-ofUn_MQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van de optie Bijwerken bij elke SSO-aanmelding.</p></figcaption></figure>

#### <mark style="color:blauw;">Telefoonnummer-mappings moeten een landcode en netnummer bevatten als ze buiten de Verenigde Staten zijn</mark>

Telefoonnummers die via SAML worden gemapt, moeten indien mogelijk de landcode en het netnummer van de gebruiker in de SAML-assertie bevatten. Zoom zal standaard een landcode van +1 aannemen als deze niet is gedefinieerd.

Accounts die geen landcodes in hun directory behouden, kunnen hun SAML-asserties in hun identiteitsprovider bewerken om deze indien nodig automatisch toe te voegen.

#### <mark style="color:blauw;">Elke gebruiker kan tot drie telefoonnummers en één faxnummer aan zijn profiel laten koppelen</mark>

Zoom-beheerders kunnen tot drie afzonderlijke telefoonnummappings en één faxnummapping voor elke gebruiker configureren. Elk telefoonnummer moet uniek zijn en mag niet dupliceren met de waarde van een ander veld.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdYCqP1aO_ELJdgruJRApKiNSEQ96i1dThBbMwG0rH-XT4P64DcgadLpi_4dFm4tybOmAkUaH22Jg0Qs6WMhyanQ7FrFSHu7DFMJv6FzABVhdz6NvN_E0pX26mymjGHe5UjUcxRNg?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Voorbeeld van telefoonnummeropties voor elke gebruiker.</p></figcaption></figure>

#### <mark style="color:blauw;">Profielfoto's moeten worden gemapt vanaf een openbaar toegankelijke URL of gecodeerd met Base64</mark>

Accounts die profielfoto's uit hun directory willen mappen, moeten de afbeeldingen mappen met behulp van een openbaar toegankelijke URL of de afbeelding coderen in Base64 bij het asserten.

#### Unieke medewerker-ID

<mark style="color:blauw;">**De unieke medewerker-ID verandert de primaire identifier die Zoom gebruikt om gebruikers te identificeren**</mark>

De *Unieke medewerker-ID* is een functie die Zoom aanbiedt ter ondersteuning van identiteitsbeheer. Standaard is de primaire identificatie voor een Zoom-gebruiker hun **email** **e-mailadres**. Dit betekent dat als het werk-e-mailadres login-type **<john.smith@company.com>**&#x69;s, Zoom deze gebruiker altijd zal identificeren aan de hand van dat e-mailadres. Deze identifier is wat integraties zoals SSO of Facebook- en Google-OAuth-accounts in staat stelt de gebruiker aan hetzelfde Zoom-account te koppelen.

Dit identificatieproces kan echter problematisch zijn als de naam of het e-mailadres van een gebruiker verandert. Bijvoorbeeld als **<john.smith@company.com>** een e-mail verandert in **<jonathan.smith@company.com>**, kan Zoom niet veilig bepalen dat dit dezelfde persoon is (omdat de fundamentele identifier anders is) en zal Zoom bij de eerste aanmelding een nieuw account aanmaken voor **<jonathan.smith@company.com>** helemaal.

Om dit probleem te vereenvoudigen, biedt Zoom de functie Unieke medewerker-ID, die de primaire identifier van een gebruiker wijzigt van hun e-mailadres naar een vastgestelde unieke ID. *Dit verandert de Zoom-gebruikersnaam van een gebruiker niet*, maar biedt in plaats daarvan een alternatieve identificerende attribuut. Deze wijziging stelt Zoom in staat het e-mailadres van een gebruiker dynamisch bij te werken binnen Zoom indien:

* een *nieuw* e-mailadres gepaard gaat met een bekende Unieke medewerker-ID; en
* het e-maildomein van de betreffende gebruiker binnen Zoom is gekoppeld

Bijvoorbeeld, als **<john.smith@company.com>** authenticeert en een SAML-waarde van 12345 (hun personeelsnummer) doorgeeft voor het attribuut Unieke medewerker-ID, zal Zoom de gebruiker binnen het account identificeren op basis van de opgegeven waarde. Als John opnieuw authenticereert met het e-mailadres **<jonathan.smith@company.com>** terwijl hij nog steeds de Unieke medewerker-ID van 12345 doorgeeft, zal Zoom identificeren dat <john.smith@company.com> nu **<jonathan.smith@company.com>** is en zal het e-mailadres van de gebruiker dynamisch bijwerken binnen het account als het domein is gekoppeld.

Identiteitsbeheerders moeten er *verzekerd* van zijn dat geen twee gebruikers dezelfde Unieke medewerker-ID-waarde zullen delen voordat ze SAML-mapping voor deze categorie instellen. Als een andere gebruiker authenticereert en dezelfde waarde doorgeeft, zal het e-mailadres opnieuw worden bijgewerkt naar de nieuwe gebruiker en kan dit aanzienlijke verstoring van diensten en de gebruikerservaring veroorzaken.

<mark style="color:blauw;">**De functie Unieke medewerker-ID vereist gekoppelde domeinen om het e-mailadres van een gebruiker te wijzigen**</mark>

De functie Unieke medewerker-ID kan het e-mailadres van een gebruiker niet bijwerken tenzij het e-maildomein officieel is gekoppeld aan uw accountprofiel. Raadpleeg ons supportartikel over [Gekoppelde domeinen](https://support.zoom.us/hc/en-us/articles/203395207) voor meer informatie.

<mark style="color:blauw;">**Beheerders en eigenaren kunnen hun e-mailadres niet bijwerken via de Unieke medewerker-ID**</mark>

E-mailadressen van beheerders en eigenaren binnen Zoom kunnen niet worden bijgewerkt via de functie Unieke medewerker-ID. Dit is bedoeld als een beveiligingsmaatregel om ongeautoriseerde toegang te voorkomen. Beheerders en eigenaren moeten hun e-mailadres wijzigen via hun profielpagina.

<mark style="color:blauw;">**Gebruikerse-mails kunnen slechts één keer per dag worden bijgewerkt via de Unieke medewerker-ID**</mark>

E-mailadressen van gebruikers kunnen slechts eenmaal per 24 uur worden bijgewerkt via de functie Unieke medewerker-ID. Een gebruiker moet een volledige kalenderdag wachten vanaf de vorige update voordat hij zijn e-mailadres via SSO opnieuw kan bijwerken.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXct3ljK0YW8k8R82DXpS2__Hf8KB0qkleCQ_il6l4GcgeuhekPfPn55csfETIAauFfPQkmW7VBQOTDd2C9o39lzcTWDnMXZMW9FixnWOhCxraDttTdnKbXXF4aU1TrSOrh-9U388A?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Diagram van een voorbeeldstroom voor het bijwerken van gebruikers-e-mails.</p></figcaption></figure>

<mark style="color:blauw;">**Het instellen van het SAML-attribuut op \<NameID> zal de opgegeven NameID van de gebruiker gebruiken**</mark>

Het mappen van het SAML-attribuut Unieke medewerker-ID naar **\<NameID>** zal automatisch de opgegeven NameID-waarde van de gebruiker als hun unieke identifier gebruiken. Dit kan een nuttig hulpmiddel zijn als uw identiteitsprovider een NameID opgeeft die anders is dan het e-mailadres van een gebruiker, zoals een User Principal Name (UPN) of een vergelijkbare waarde die niet verandert. Gebruik deze waarde niet als de NameIDs van gebruikers overeenkomen met hun e-mail.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXfc-LwwficUxnJVa6raeHY3XwO_bRUnOo3Px-FpVWxCXKTEVRI2zoCRbp9Mjzsj1gyiTVmPy-gHryvIjpBuxrM8Me38KvWu0gf-mrPrnwxnaK9tk_hsywxF25Slq3Yh99iKINVPmw?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van de &#x3C;NameID>-beheerdersinstelling.</p></figcaption></figure>

### Geavanceerde mapping: licenties, add-ons en toegang

De sectie SAML Advanced Information Mapping kan dynamisch licenties (inclusief Zoom Phone), add-ons en gebruikers-toegangsgroepen toepassen op gebruikers wanneer ze authenticeren. In tegenstelling tot basis-mapping bevat geavanceerde mapping veel nuances die zorgvuldige aandacht kunnen vereisen bij configuratie, afhankelijk van de complexiteit van uw omgeving. Deze sectie belicht de nuances voor het configureren van geavanceerde SAML-mapping. Raadpleeg ons [Artikel over geavanceerde SAML-mapping](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) voor een volledige lijst van ondersteunde attributen.

#### <mark style="color:blauw;">Geavanceerde mapping wordt elke keer toegepast wanneer een gebruiker authenticereert</mark>

In tegenstelling tot basis-mapping, die optionele updates voor sommige categorieën heeft, worden geavanceerde mappingconfiguraties elke keer toegepast dat een gebruiker authenticereert, volgens de van boven naar beneden volgorde van toepassing.

Bijvoorbeeld: als een gebruiker een basislicentie heeft en vervolgens authenticereert via SSO met een SAML-attribuut en -waarde die is gekoppeld aan het toekennen van een volledige licentie, krijgt de gebruiker onmiddellijk de volledige licentie. Als het profiel van de gebruiker vervolgens binnen de identiteitsprovider wordt gewijzigd om terug te gaan naar een basislicentie, wordt de gebruiker bij herauthenticatie binnen Zoom opnieuw toegewezen aan de basislicentie.

#### <mark style="color:blauw;">Geavanceerde mapping staat meerdere SAML-attributen en -waarden per categorie toe</mark>

In tegenstelling tot basis-mapping, die slechts één SAML-attribuut per categorie toestaat, kan geavanceerde mapping meerdere attributen en waarden per categorie ondersteunen. Dit biedt aanzienlijke flexibiliteit bij het beheren van gebruikerslicenties en toegang via beveiligingsgroepen binnen uw identiteitsprovider, zoals te zien in de volgende configuratie.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcw0QbtEMEhc4KtDF3LZsfAIgir_-AB2XGFaJ6qWplazLgxbyRSunevolbVjRFe196QBnWeqwA8dPSnvGbyhg-TSH1yJ2iZvElnIDPU6j1wRuka_5MndC3rAjXADRJIqPmoeESo?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeldattribuutmapping voor SAML.</p></figcaption></figure>

{% hint style="success" %}
**Zoom-tip**

SAML-attributen kunnen variëren per identiteitsprovider, met name voor beveiligingsgroepen. Bevestig bij uw identiteitsprovider of via [SAML-responslogboeken](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) hoe SAML-attributen worden geassert.
{% endhint %}

#### <mark style="color:blauw;">Geavanceerde mapping past licenties van boven naar beneden toe wanneer meerdere attributen worden geassert</mark>

Als een gebruiker meerdere SAML-attributen of -waarden doorgeeft die zijn geconfigureerd voor geavanceerde SAML-mapping, zal Zoom de licenties van boven naar beneden mappen. Zie het volgende voorbeeld:

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXd6ejdpzRIK8EUzyzdyomoHNChq-XkoS85btacDjLOAKyBQVwIQ15dzUKqsE_l8iFDOJiYGUjh4W7XaTRapGaZp5tx7R2J06yvpbwSna1YVjR9_ms8nn1haaJiNxaaL6wQ7XdC1QA?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld selectie van licentietype in beheerdersinstellingen.</p></figcaption></figure>

Volgens bovenstaande configuratie, als een gebruiker een attribuut zou doorgeven voor zowel **global\_users** en **marketing**, omdat **marketing** de hoogste is in de configuratie, zal dit attribuut op de gebruiker worden toegepast en worden de overige toepasselijke attributen genegeerd.

Als alternatief, als de configuratie was ingesteld met **global\_users** als hoogste, zoals te zien is in de volgende schermafbeelding, en de bewering van een gebruiker bevatte **global\_users**, **marketing**, **human** **resources**, en **IT**, omdat **global\_users** de hoogste prioriteit heeft, zal slechts een basislicentie worden toegewezen.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXfdQrc0QA5GFNzFVBIa9y1HH0GdkDMzeSomo4GdhE8xHCQzwozv2CXWRkdedXemhuAoZ81rfa21kPlO_0DalY2oasz6XDJkLD88NaNQiH686EX9Rfuxb-mje5go5uep9Fp3RBQuKw?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van het aanpassen van de volgorde van prioriteit</p></figcaption></figure>

Zoom-beheerders kunnen de volgorde van toepassing aanpassen bij het bewerken van de mappingwaarden met behulp van de ↑↓ pijlen in de editor.

{% hint style="success" %}
**Zoom-aanbeveling**

Configureer de geavanceerde configuraties van meest specifiek naar meest algemeen om verkeerde toewijzing van licenties te voorkomen.
{% endhint %}

#### <mark style="color:blauw;">Webinar- en Large Meeting-mappings kunnen een gemeenschappelijke waarde delen om beide add-ons toe te passen</mark>

Om het toepassingsproces te vereenvoudigen, kunnen Zoom-beheerders hetzelfde SAML-attribuut en dezelfde waarde tweemaal configureren om zowel webinar- als large meeting-add-ons toe te passen op gebruikers, zoals te zien in de volgende afbeelding met de **global\_users** waarde. Deze add-ons kunnen ook onafhankelijk worden geconfigureerd indien gewenst, zoals weergegeven met de **webinar\_only** en **large\_meeting\_only** waarden.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdY6Py9Rb7L7iKsez3UXpg9ZwL-gxgmpO5QjLDXdeZC42EJDCHEw82ghcAm4m5Rb8fZ8GQvT5rd47j-p4JeR6DUUAujw7ARMynCsLKPLrJVGjlkiEp2YtRk-sOZNaQPUQWYRRTsmQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van SAML-attributen voor large_meeting_only en webinar_only.</p></figcaption></figure>

#### <mark style="color:blauw;">Gebruikers kunnen met één SAML-waarde aan meerdere gebruikergroepen worden toegevoegd</mark>

Zoom-beheerders kunnen mapping voor gebruikergroepen configureren om een gebruiker met één SAML-waarde aan meerdere groepen toe te voegen.

De eerste toegevoegde gebruikergroep wordt ingesteld als de primaire groep van de gebruiker en bepaalt de standaardinstellingen van de gebruiker *tenzij een onderliggende groep een instelling heeft vergrendeld*. Voor meer informatie over gebruikergroepen, raadpleeg ons [supportartikel](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings).

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdER0NnN7GSalp5YpVpM9EW068VLrDgdHOJty4Hm6blWIOEghH5Woj7B8s7io1X2U3ywZEiyvU5cJE4pEcCJtSrlhAsaPnzLK44CVAlU_k1Igqt4y8ejYfFAw-ILkKulqXUGqohrg?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van mapping naar meerdere gebruikergroepen.</p></figcaption></figure>

#### <mark style="color:blauw;">Specifieke gebruikers en gebruikergroepen kunnen zijn vrijgesteld van bepaalde SAML-mappings</mark>

Elke optie onder Geavanceerde SAML-mapping kan zodanig worden geconfigureerd dat specifieke gebruikers en gebruikergroepen vrijgesteld zijn van mappinggedrag. Dit kan voordelig zijn om VIP-gebruikers te behoeden voor serviceonderbreking als gevolg van een mogelijke wijziging in licenties.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXftnv80dtlXFIYqMKvlB0mecwcoX7_IEQIFXed3x-9szHtQv3X-h_aLv5gkJ4_9q0wIJI3YlxNdPS3aR--_TOt3Xv8_ZGfv2Fqrv9hSSAEvaY4e69nEPQIpVGHMk6fTbKareeawww?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van gebruikersuitzonderingen.</p></figcaption></figure>

#### <mark style="color:blauw;">Auto Mapping wijst gebruikers automatisch toe aan een Gebruikers-, Kanaal- of IM-groep vernoemd naar hun opgegeven SAML-waarde als de waarde eerder niet aan een groep was gekoppeld</mark>

Auto Mapping kan worden gebruikt om gebruikers automatisch toe te wijzen aan een gebruikersgroep, kanaal en IM-groep die zijn vernoemd naar hun opgegeven SAML-waarde. In tegenstelling tot andere geavanceerde mappingcomponenten, die kunnen worden geconfigureerd om een gebruiker aan elke groep toe te wijzen op basis van de SAML-waarde, wijst Auto Mapping altijd een gebruiker toe aan een groep op basis van de exacte SAML-waarde. Als de groep nog niet bestond, wordt deze automatisch aangemaakt.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcleVut-f8Pq1AdmwMk0CU5uE4MYhIFAdSPSxxVbyoMyS2e24V3RL9AD_VhcVCTtoh0PFswB_8JTwlOMYm_TCTKria2nIAOVtg7iI3rlKdsWAwpe5UlM-AfuthKuAnG8_mu71VPcw?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van SAML Auto Mapping.</p></figcaption></figure>

Bijvoorbeeld, als Auto Mapping is ingesteld om een gebruiker in de groepen te mappen op basis van hun afdeling, en hun afdelingwaarde is nog niet gedefinieerd voor de gebruikergroep, het kanaal of de IM-groep, worden gebruikers automatisch toegewezen aan een groep die overeenkomt met hun afdelingsnaam, zoals weergegeven in de volgende tabel:

| SAML-attribuut | SAML-waarde     | Bestaat de Zoom-groep al? | Resultaat                                                                |
| -------------- | --------------- | ------------------------- | ------------------------------------------------------------------------ |
| Afdeling       | Human Resources | Ja                        | Gebruiker toegevoegd aan de groep Human Resources                        |
| Afdeling       | Marketing       | Ja                        | Gebruiker toegevoegd aan de groep Marketing                              |
| Afdeling       | Sales           | Nee                       | De groep Sales wordt aangemaakt, gebruiker toegevoegd aan de groep Sales |

#### Zoom ondersteunt maximaal vijf aangepaste SAML-attributen

Zoom-beheerders kunnen maximaal *vijf* aangepaste SAML-attributen configureren om gebruikersgegevens aan hun Zoom-profiel toe te voegen onder de pagina [geavanceerd gebruikersbeheer](https://zoom.us/account/user#/advanced) Na het toevoegen van de aangepaste velden kunnen Zoom-beheerders de mapping configureren op de [SAML-responsmapping](https://zoom.us/account/sso/mapping) pagina.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcxmWWYpKRYP078q0iwYdK9tfmcmAHLuwZtoSn7VoUeeRbdki2udbiF0Yh7pUczEG_rXqZGS1zBbDl4-OODAZYMFEkISb4L55mahN_6hAqt87dCo8fT4Yj7aQVw1ivuZtzksdmhQg?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Voorbeeld van aangepaste SAML-attributen</p></figcaption></figure>

#### <mark style="color:blauw;">Het mappen van gebruikers naar een subaccount zal</mark> *<mark style="color:blauw;">alleen</mark>* <mark style="color:blauw;">een vergaderlicentie en add-ons toepassen</mark>

Het mappen van een gebruiker naar een subaccount zal alleen de vergaderlicentie en add-ons zoals Webinar en Large Meetings op het subaccount toepassen. Gebruikersgroepen, IM-groepen, gebruikersrollen, enz. zullen niet worden toegepast en moeten binnen het subaccount worden geconfigureerd.

Klanten die meer flexibiliteit vereisen voor SAML-responsmapping met subaccounts, hebben een unieke vanity-URL en een nieuwe SSO-configuratie binnen het subaccount nodig.

### Probleemoplossing SSO

#### <mark style="color:blauw;">SAML-responslogboeken gebruiken voor probleemoplossing</mark>

Opgeslagen SAML-responslogboeken kunnen een onschatbare tool zijn voor het oplossen van configuratie- en gebruikersfouten, naast SAML-responsmappingconfiguraties. Als uw SSO-configuratie is ingesteld om SAML-responslogboeken op te slaan, zijn ze toegankelijk via het [SAML-responslog](https://zoom.us/account/sso/saml_logs) tabblad dat beschikbaar is op de SSO-configuratiepagina in Geavanceerde instellingen. Om SAML-responslogboeken te bekijken, klikt u op **Details weergeven** naast een authenticatiepoging.

#### <mark style="color:blauw;">De meeste authenticaties worden weergegeven in de responslogboeken</mark>

De meeste mislukte of onsuccesvolle authenticatiepogingen worden weergegeven op de pagina met responslogboeken. Als een authenticatiepoging niet wordt weergegeven, is de meest waarschijnlijke oorzaak dat Zoom geen SAML-assertie van uw identiteitsprovider heeft ontvangen, of dat het opslaan van SAML-responslogboeken is uitgeschakeld.

#### <mark style="color:blauw;">Responslogboeken kunnen aangeven of uw configuratie onjuist is of uw certificaat verouderd is</mark>

Wanneer SAML-responslogboeken zijn ingeschakeld, worden de gegevens van de identiteitsprovider doorgegeven aan Zoom om identiteiten te verifiëren voor elke partij. Als een opgegeven instelling of informatiestring, zoals het X509-certificaat of issuer-ID, anders is dan de huidige configuratie van Zoom, verschijnt er een foutmelding dat de informatie “niet overeenkomt met de huidige SSO-instellingen.” Een Zoom-beheerder kan de SSO-configuratie bijwerken zodat deze overeenkomt met deze opgegeven waarden als ze correct zijn om de fout op te lossen.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXe5ElE9oAkqrfuutEG32SjtnF-aPpSu_MbRIy3h6oRhTiHnBC3okBRHk57sWwuJgg3a8_WD_mYoK_Wd5bJ1zMkLScazjdXshmBUZyXvBVtmyQO75Rl7ox_MCgT6X-AzcA?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van waarschuwingen voor onjuiste configuratie.</p></figcaption></figure>

#### <mark style="color:blauw;">Responslogboeken geven aan welke SAML-waarden en -attributen worden geassert</mark>

Het bekijken van responslogboeken kan helpen bij het oplossen van SAML-responsmappingconfiguraties door te verifiëren welke attributen en waarden door gebruikers worden geassert tijdens authenticatie. Deze kunnen worden vergeleken met de configuratie om ervoor te zorgen dat de attributen en waarden overeenkomen.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXe-BD98pFvpYplXC-sVB4KKlUFDc0dOzjv-VzEOyH5tOBQbt-yiK8e82nkLGC7FmBJIekP-VVqEBVnullP173ydJLkNDFh6nCcOfup1UHlTTYl2l0DDitymKeid4NO7ZZYaw6J3sQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van informatie die door de identiteitsproviderservice wordt geassert.</p></figcaption></figure>

Als SAML-attributen of -waarden ontbreken, worden deze niet door de identiteitsproviderservice geassert. Gebruikers met dit probleem wordt aangeraden contact op te nemen met de ondersteuningsdiensten van hun identiteitsprovider voor meer hulp.

#### <mark style="color:blauw;">Responslogboeken bevatten een foutcode en een korte uitleg als de authenticatie niet succesvol was</mark>

Als een gebruiker zich niet kan authenticeren of een fout ontvangt, bevatten de SAML-responslogboeken een foutcode en een korte uitleg van de fout.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcUxXpQNQM4ZUpgIHUF2s__t4s3fM4sjWqXqv5y4i4oop4ygRKYcxxdeC7pIX7_O8sgxFmbrkPd6PrlLam4zptYZNKleBKEXFEUd0o97IvJZvRfZi81sSfKr6wwvfxemuzg_UDi?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van foutcode en uitleg.</p></figcaption></figure>

De meeste problemen kunnen worden geïdentificeerd en opgelost met behulp van deze foutmeldingen. Als u de fout niet kunt oplossen, neem dan contact op met Zoom Support voor aanvullende hulp.

#### <mark style="color:blauw;">Web Tracking ID-fouten</mark>

Als een gebruiker faalt bij SSO-authenticatie, ontvangt hij een WEB Tracking ID-foutcode. Deze codes zijn geen foutmelding gerelateerd aan een specifieke storing, maar zijn in plaats daarvan een unieke log-ID die in de SAML-responsmapping kan worden bekeken om authenticatieproblemen te identificeren.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdg3Btc3wYZ71fAL7VX5G0OiLOQ-YKOAmt1-fytPE2xDRktbVLQqw_r2rURYLExtZ2rSfIIqelDEM8oZ47-gFBKdn2Ze9V6kx5nB_kuxZlYIKP2Hy24Ot0SXrobSdLg4BfudOs_?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van een foutmelding voor de gebruiker met een WEB Tracking ID-foutcode.</p></figcaption></figure>

Om de fout te identificeren, als SAML-responslogboeken zijn ingeschakeld, gaat u naar het [SAML-responslog](https://zoom.us/account/sso/saml_logs) tabblad dat beschikbaar is op de SSO-configuratiepagina in Geavanceerde instellingen. Voer daar de WEB-tracking-ID in het Tracking ID-veld in en zoek om het responslogboek te vullen

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcbDm_F5qgN7TwBk0PiItomqHcaoFUFU8VAmTECFtzogW1sjvlJiIYaK2pXniGKDIEUnEZOg1-xHYrpteg6foFyec_SlpRVjqjUmrNa1lbPvdCEwnuZtOU1yvqfuGYh-enXmq5f?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van het zoeken in het SAML-responslogboek met de eerdergenoemde WEB Tracking ID-foutcode.</p></figcaption></figure>

De SAML-responslogboeken zouden de SAML-assertie moeten tonen en een foutcode en bericht onder aan de respons die kunnen worden gebruikt voor aanvullende probleemoplossing.

### SCIM-fouten

#### <mark style="color:blauw;">Gebruiker bestaat niet of behoort niet tot dit account</mark>

Deze fout treedt op wanneer het e-mailadres van een target-gebruiker niet kan worden geprovisioned vanwege een reeds bestaand account. Zoom-beheerders worden aangemoedigd direct contact op te nemen met de gebruiker en deze handmatig uit te nodigen voor het account.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdXyiyMnR4S4EhYFqFUXgrePk-RwciKw8-jcxKxViZiIZ4I2kp0j1f_alWR7Hq9WuYhwz6ohh4LodWERfiXSr27LFN20r-r95xBJ6AjD7lF9k58yIJeYLpMmHR3BHYcPTMYkVwqZw?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van een provisioningfout.</p></figcaption></figure>

#### <mark style="color:blauw;">U kunt geen betaalde gebruikers toevoegen</mark>

Deze fout treedt op wanneer SCIM probeert een gebruiker te provisioneren terwijl er onvoldoende licenties op het account zijn. Om de fout op te lossen, moet de gebruiker als een Basic-gebruiker worden geprovisioned, of er moet een licentie beschikbaar worden gemaakt voor provisioning.

### SCIM-logboeken gebruiken voor het oplossen van problemen met gebruikersprovisioning

Zoom biedt de meest recente 100 API-aanvraaglogboeken in de [Zoom Marketplace](https://marketplace.zoom.us/). Een Zoom-beheerder kan deze logboeken gebruiken om te bevestigen welke informatie wordt verzonden en ontvangen via provisioning-API's. Om toegang te krijgen tot de logboeken, meldt u zich aan bij de Zoom Marketplace als Zoom-beheerder en klikt u op **Beheren**. Op de volgende pagina selecteert u **Oproeplogboeken** onder **Persoonlijk appbeheer**. Klik daar op een invoer om de API-logboeken uit te vouwen en de inhoud te bekijken.

De volgende afbeelding toont een voorbeeld van een SCIM-gebruiksprovisioningsverzoek, met de identiteit en licentieattributen van de gebruiker gemarkeerd ter referentie.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcIxosFPBR8E4f1hj0vZQ7_nxnRd_isIqJYhKTQbocw4UfXlCBCkscqx8bGvY8JwuazgtRROPJm9PCZfZ4hJ5GQBqBzJA-PgS-mXkptGa0xq82SMXjl9Ip-faCDk3OQuLUXK0iobQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Voorbeeld van een SCIM-gebruiksprovisioningsverzoek.</p></figcaption></figure>

Net als bij SAML-responsmapping kan Zoom alleen informatie toepassen die door de identiteitsprovider in het provisioningverzoek wordt verzonden. Gebruik deze logboeken om te bevestigen dat identiteit en licentie-attributen van gebruikers door de identiteitsprovider worden verzonden. Als verwachte informatie ontbreekt in deze assertions, neem dan contact op met uw identiteitsprovider voor ondersteuning.

### Gegevensstromen en authenticatie

#### <mark style="color:blauw;">SAML-authenticatie</mark>

Het volgende diagram toont de SAML-authenticatiestroom van een gebruiker bij het starten van een single sign-on-sessie met Zoom.

<figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXfkEMRTb806bc8m6p0o2PoRatl-YUcolK_42gs9cSFWW10jHIeMvgjn7uLfItLOKYtg4Ps97WAUWRgHXmSc0oF8kgDBXwqYdnDt1aZhxIXgyoUJa-M6gxtRMiMPxW8pGek27TNw?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Diagram van een voorbeeld SAML-authenticatiestroom.</p></figcaption></figure>

#### <mark style="color:blauw;">SSO-webaanmeldtoken</mark>

Nadat een gebruiker zich via SAML heeft geauthenticeerd, wordt de sessie van de gebruiker binnen hun browser opgebouwd en heeft deze

een levensduur van standaard twee uur. Als de gebruiker de Zoom-webpagina actief blijft gebruiken, wordt de sessie vernieuwd; als de gebruiker de webpagina echter twee uur niet gebruikt, verloopt het token en moet de gebruiker opnieuw authenticeren. Zoom-beheerders kunnen deze actieve sessieduur configureren op de [Beveiliging](https://zoom.us/account/setting/security) pagina onder Gebruikers moeten opnieuw inloggen na een periode van inactiviteit en **Periode van inactiviteit op het web instellen (minuten)**.

#### <mark style="color:blauw;">Client-aanmeldtoken</mark>

Wanneer een gebruiker probeert te authenticeren via SSO binnen een client, opent de machine van de gebruiker een webbrowser en wordt deze doorgestuurd naar de inlogpagina van de identiteitsprovider. Nadat een gebruiker is geauthenticeerd, ontvangt de browser van de gebruiker een Zoom-clientstarttoken. Zodra een gebruiker op de knop “openen” of “starten” klikt, gebruikt de browser het URL-schema gecombineerd met het starttoken om de Zoom-client te openen.

De Zoom-client gebruikt het starttoken om het toegangstoken en het refresh-token van de Zoom-server te verkrijgen. De client gebruikt het toegangstoken voor periodes van twee uur, en bij het verlopen gebruikt hij het refresh-token om een nieuwe set tokens te verkrijgen, die in de lokale database van de client worden opgeslagen. Dit vernieuwingsproces is standaard onbeperkt en kan continu door tokens heen cyclusen totdat een gebruiker zich afmeldt of de tokens verlopen. Zoom-beheerders kunnen de sessieduur aanpassen op de [SSO-instellingen](https://zoom.us/account/sso) pagina onder [*afdwingen automatisch uitloggen*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time).