SSO met Microsoft Entra ID (Azure AD) – deskbird Help Center

Met deskbird kun je Single Sign-on (SSO) integreren via Microsoft Entra ID (voorheen Azure AD). Dit zorgt voor veilige authenticatie en gemakkelijk toegang binnen je organisatie.

SSO instellen met Entra ID
Handmatige OIDC-configuratie (geen Enterprise Application vereist)
Toestemmingen beperken via Application Assignment
Veelgestelde vragen

1. SSO instellen met Entra ID

Om SSO te activeren moet een IT-beheerder de Microsoft Entra ID Enterprise Application installeren en de vereiste toestemmingen verlenen.

👉 Klik hier om te installeren en toegang te verlenen:
https://login.microsoftonline.com/common/adminConsent?client_id=60e10e49-86e8-4755-ac34-2804c82237c6&redirect_uri=https://www.deskbird.com/single-sign-on-via-azure-ad

⚠️ Let op met Microsoft Conditional Access: Sinds juni 2026 handhaaft Microsoft Conditional Access strenger voor sommige aanmeldingen (Microsoft wijziging MC1223829). Als een van je beleidsregels Alle resources target en minstens één resource uitsluit, worden aanmeldingen die alleen om basis-scopes vragen (zoals openid, profile, email of User.Read) nu toch door dat beleid geëvalueerd. De deskbird-aanmelding vraagt alleen deze scopes (openid, profile, email, User.Read), dus het uitsluiten van deskbird uit zo'n beleid omzeilt deze controles niet meer. Gebruikers kunnen daarom om MFA of een compliant apparaat worden gevraagd, of worden geblokkeerd bij het aanmelden bij deskbird, ook als het eerder wel werkte. Microsoft beschrijft de opties voor je IT-team in Enforcement for baseline scopes in Conditional Access.

Als je gebruikers hierdoor worden getroffen en je IT-team het beleid niet kan aanpassen, kun je deskbird overschakelen naar een login die je organisatie zelf configureert: Handmatige OIDC-configuratie (hieronder) of SSO met SAML 2.0. Hoe je een Conditional Access-blokkade onderscheidt van een ontbrekende admin-goedkeuring, lees je bij de Veelgestelde vragen.

De vereiste toestemmingen zijn:

User.Read: Hiermee kunnen gebruikers zich aanmelden bij deskbird en kan deskbird de profielen van aangemelde gebruikers lezen. Let op: deskbird heeft geen toegang tot de profielgegevens van gebruikers die nooit zijn aangemeld.
Group.Read.All: Hiermee kan deskbird alle gebruikersgroepen lezen. Dit wordt bijvoorbeeld gebruikt om gebruikersgroepen te importeren in de Admin portal of om groepen te synchroniseren wanneer gebruikers zich aanmelden.

Er zijn aanvullende standaardtoestemmingen die automatisch worden toegevoegd en geen admin-toestemming vereisen.

offline_access: Hiermee kan deskbird refresh tokens gebruiken om gegevens op te halen via de Microsoft Graph API.
email, openid en profile: Automatisch toegevoegde toestemmingen die deskbird vergelijkbare rechten geven als User.Read, maar met minder profielinformatie.

Het type toestemming is gedelegeerd, wat betekent dat deskbird de Graph API benadert als de aangemelde gebruiker, maar met toegang beperkt tot de geselecteerde rechten.

💡 Let op: Profielfoto's van gebruikers worden automatisch gesynchroniseerd bij de eerste SSO-authenticatie, als deze beschikbaar zijn.

💡 Als SSO is ingesteld als enige loginmethode voor je organisatie, geldt deze beperking alleen voor interne gebruikers. Externe gebruikers (bijv. contractors) kunnen nog steeds aan deskbird worden toegevoegd en kunnen inloggen met e-mail en wachtwoord, omdat zij buiten het bereik van je identity provider vallen.

2. Handmatige OIDC-configuratie (geen Enterprise Application vereist)

Als je organisatie de deskbird Enterprise Application niet kan installeren vanuit de Microsoft app gallery, of liever een app-registratie gebruikt die ze zelf beheert, kun je SSO instellen door een eigen App Registration aan te maken in Entra ID en de gegevens te delen met deskbird. De integratie wordt dan geconfigureerd door het supportteam van deskbird.

Stap 1: Maak de App Registration aan

Ga naar Azure Portal > Microsoft Entra ID > App registrations > New registration.
Voer een naam in, bijvoorbeeld deskbird SSO.
Onder Supported account types kies je Accounts in this organizational directory only (single tenant).
Onder Redirect URI kies je het platform Web en voer je in: https://api.deskbird.app/v2/auth/oAuthRedirectHandler.
Klik op Register.

⚠️ Let op: Zorg dat de Redirect URI exact overeenkomt met bovenstaande. Een afwijking (of een ontbrekende invoer) veroorzaakt een AADSTS50011-fout als een gebruiker probeert in te loggen.

Stap 2: Noteer de ID's

Kopieer vanaf de Overview-pagina van de app de Application (client) ID en de Directory (tenant) ID.

Stap 3: Maak een Client Secret aan

Ga naar Certificates & secrets > Client secrets > New client secret.
Voer een beschrijving in, bijvoorbeeld deskbird production, en kies een verloopduur.
Klik op Add en kopieer direct de Value — deze wordt daarna niet meer getoond.

Stap 4: API-permissies instellen

Ga naar API permissions > Add a permission > Microsoft Graph > Delegated permissions.
Voeg de volgende permissies toe: openid, profile, email, User.Read.
Klik op Grant admin consent for [Organization].

Stap 5: Deel de gegevens met deskbird

Neem contact op met deskbird support en geef de volgende drie waarden door:

Directory (tenant) ID
Application (client) ID
Client Secret value

Stuur alle drie de waarden in één bericht zodat de setup zonder vertraging kan worden afgerond: Directory (tenant) ID, Application (client) ID en Client Secret value.

Het supportteam van deskbird rondt de configuratie verder af.

⚠️ Let op: De Client Secret value is gevoelig. Deel deze veilig en vermijd verzending via onbeveiligde kanalen.

3. Toestemmingen beperken via Application Assignment

Je kunt beperken welke gebruikers of groepen toegang krijgen tot deskbird via SSO.

Open in het Entra admin center de deskbird Enterprise App.
Stel onder Properties Assignment required in op "Yes".
Voeg specifieke gebruikers of groepen toe onder Users and groups.

💡 Application Assignment is niet hetzelfde als Conditional Access policy scoping. Application Assignment bepaalt wie mag inloggen. Conditional Access bepaalt onder welke voorwaarden iemand mag inloggen (apparaatcompliance, locatie, MFA). Voor Conditional Access, zie de opmerking bij SSO instellen met Entra ID en de Veelgestelde vragen.

⚠️ Application Assignment beperkt alleen de toegang tot inloggen, maar regelt geen provisioning van gebruikers. Voor automatische provisioning is een aparte SCIM-configuratie nodig.

⚠️ AADSTS50105-fout: Deze fout verschijnt als iemand probeert in te loggen die niet is toegewezen aan een groep met toegang. Vraag je interne IT-team om de gebruiker toe te voegen aan de juiste toegangsgroep (of hun rechten aan te passen) en probeer het opnieuw.

4. Veelgestelde vragen

Dit scherm wordt niet veroorzaakt door Conditional Access. Het betekent dat de deskbird-app (uitgever deskbird AG, geverifieerd) nog niet is goedgekeurd voor je Microsoft Entra ID-tenant, en dat je organisatie gebruikers niet toestaat zelf apps goed te keuren.

Goedkeuring vereist: je organisatie gebruikt het admin consent workflow van Microsoft. Gebruikers kunnen een motivatie invullen en een verzoek naar je IT-team sturen.
Beheerderstoestemming nodig: de admin consent workflow staat niet aan. Gebruikers kunnen niet verder tot een beheerder de app goedkeurt.

Om dit op te lossen verleent een IT-beheerder eenmalig admin consent voor de hele organisatie:

Open de installatielink bij SSO instellen met Entra ID, log in met een beheerdersaccount en accepteer de toestemmingen namens je organisatie, of
Als gebruikers al een verzoek hebben gestuurd, ga naar Microsoft Entra admin center > Entra ID > Enterprise apps > Activity > Admin consent requests, open het deskbird-verzoek op het tabblad My Pending en kies Approve.

Admin consent verlenen vereist een functie zoals Cloud Application Administrator, Application Administrator of Algemene beheerder. Zodra toestemming is verleend, kunnen gebruikers opnieuw inloggen en zien ze het scherm niet meer.

Microsoft-documentatie: Tenant-brede admin consent verlenen aan een applicatie, Admin consent-verzoeken beoordelen en actie ondernemen, De admin consent workflow configureren.

Ga naar Microsoft Entra admin center > Entra ID > Enterprise apps > All applications en zoek op deskbird. Als de app niet wordt weergegeven, is de toestemming niet afgerond. Open de installatielink bij SSO instellen met Entra ID opnieuw.
Open de deskbird-app en ga naar Security > Permissions. Controleer of User.Read en Group.Read.All onder admin consent staan. Zo niet, kies Grant admin consent for [Organization].
Zorg dat de toestemming is verleend in dezelfde tenant waar je gebruikers mee inloggen (dus niet per ongeluk in een testtenant).
Vraag getroffen gebruikers het browservenster of de app volledig te sluiten en opnieuw in te loggen.

Ga naar Microsoft Entra admin center > Entra ID > Monitoring & health > Sign-in logs, open de betreffende deskbird-aanmelding en bekijk het tabblad Conditional Access. Hier zie je welk beleid is toegepast en welke controle vereist was.
Fout AADSTS53003 betekent dat een Conditional Access-beleid de aanmelding heeft geblokkeerd. Je IT-team moet het beleid aanpassen of het apparaat/locatie van de gebruiker moet aan de voorwaarden voldoen.
Als het beleid Alle resources target en resource-uitsluitingen heeft, geldt Microsoft-wijziging MC1223829 voor deskbird-aanmeldingen (zie de opmerking bij SSO instellen met Entra ID). Microsoft geeft de opties in Enforcement for baseline scopes in Conditional Access.
Als je IT-team het beleid niet kan aanpassen, stel deskbird dan in met Handmatige OIDC-configuratie of SSO met SAML 2.0 in plaats van de gedeelde Enterprise Application.
Fout AADSTS50105 is geen Conditional Access-kwestie: de gebruiker is niet toegewezen aan de deskbird-app. Zie Toestemmingen beperken via Application Assignment.
Voor een algemene checklist, zie Microsofts Problemen met aanmelden via Conditional Access oplossen.