Met single sign-on (in de app: eenmalig aanmelden) loggen mensen in je werkruimte in met een account dat ze al hebben: Google, Entree Federatie of jullie eigen identity provider, zoals Microsoft Entra ID. Een beheerder stelt het in onder Accountinstellingen → Inloggen & domeinen. Je biedt het aan naast wachtwoorden, of je verplicht het voor iedereen, leerlingen ook.
Eenmalig aanmelden hoort bij het abonnement Organisatie. Alleen beheerders en eigenaars kunnen het instellen.
Een inlogmethode kiezen
Ga naar Accountinstellingen en open onder Geavanceerd de pagina Inloggen & domeinen. Bij Eenmalig aanmelden kies je een van vier methodes:
| Methode | Geschikt voor | Wat je nodig hebt |
|---|---|---|
| E-mailadres en wachtwoord | De standaard, zonder eenmalig aanmelden | Niets |
| Inloggen met Google | Scholen met Google Workspace | Jullie e-maildomein (niet verplicht) |
| Inloggen met Entree Federatie | Scholen die Entree al gebruiken | Het BRIN-nummer van je school |
| Eigen identity provider | Microsoft Entra ID, Okta of een andere OpenID Connect-provider | Een issuer-URL, client-ID en client secret |
Vul in wat de methode nodig heeft, klik op Inlogmethode opslaan en bevestig.
Aanbieden of verplichten
Kies je een andere methode dan E-mailadres en wachtwoord, dan bepaal je ook of je Iedereen verplichten om zo in te loggen aanzet.
- Uit (standaard): eenmalig aanmelden werkt naast wachtwoorden en codes per e-mail. Wie de inlogpagina van je werkruimte opent, ziet onder het gewone formulier een knop Single sign-on.
- Aan: iedereen in de werkruimte moet inloggen via de identity provider. Wie de inlogpagina van je werkruimte opent, gaat meteen door naar de provider.
Verplicht je eenmalig aanmelden, dan werken wachtwoorden, magische codes en magische links voor niemand in de werkruimte meer, ook niet voor leerlingen. Leerlingen die met een code zijn ingelogd, worden binnen een uur uitgelogd. Zorg dat iedereen bij de identity provider kan voordat je het aanzet.
E-mails met een uitnodiging of resultaten komen gewoon aan. De link erin opent de inlogpagina, en die stuurt door naar de identity provider.
Inloggen met Google
Kies Inloggen met Google en vul eventueel bij E-maildomein het domein van je school in, bijvoorbeeld jouwschool.nl.
Met een domein kunnen alleen Google-accounts op dat domein inloggen, en wie nieuw is en inlogt, komt vanzelf in je werkruimte. Zonder domein kan elk Google-account inloggen, maar wie nog geen lid is, wordt niet aan je werkruimte toegevoegd: die komt in een eigen, persoonlijke werkruimte terecht.
Google geeft niet door wie leerling is, dus iemand die nieuw is, komt binnen als leraar. Importeer je leerlingen daarom eerst, zodat ze al een leerlingaccount hebben als ze met Google inloggen.
Inloggen met Entree Federatie
Kies Inloggen met Entree Federatie en vul het BRIN-nummer van je school in, bijvoorbeeld 01AB.
Je zet Examplary ook voor je school aan in het dashboard van Entree. Hoe dat gaat, en welke rollen en groepen Entree meestuurt, lees je in Koppelen met Entree Federatie.
Jullie eigen identity provider gebruiken
Elke identity provider die OpenID Connect ondersteunt werkt, zoals Microsoft Entra ID, Okta, Google Cloud Identity en Keycloak.
1. Maak een applicatie aan bij je identity provider
Maak in de beheeromgeving van je provider een OpenID Connect-applicatie (of "web"-applicatie) aan. Stel als redirect-URI het adres in dat Examplary op de instellingenpagina laat zien:
https://auth.examplary.ai/oauth2/callbackZorg dat de applicatie de scopes openid, profile en email mag gebruiken.
2. Vul de gegevens in Examplary in
Kies Eigen identity provider en neem drie waarden over van je provider:
- Issuer-URL: het basisadres van je provider, bijvoorbeeld
https://login.microsoftonline.com/<tenant-id>/v2.0. Het moet de issuer zijn, niet de inlogpagina. - Client-ID: de ID van de applicatie die je net hebt aangemaakt.
- Client secret: het geheim dat daarbij hoort. Examplary laat het daarna nooit meer zien. Pas je later iets anders aan, laat het veld dan leeg: het huidige geheim blijft staan.
Klik op Inlogmethode opslaan en bevestig.
Open de inlogpagina van je werkruimte in een privévenster en log één keer in voordat je het iedereen vertelt. Klopt de issuer-URL of het geheim niet, dan ben je zelf nog ingelogd om het te herstellen.
3. Niet verplicht: rollen en groepen meesturen
Zet je identity provider een of meer van deze claims in het token, dan gebruikt Examplary ze. Geen ervan is verplicht. Zonder deze claims komt iedereen die nieuw is binnen als leraar, zonder groepen.
| Claim | Wat het doet |
|---|---|
role | Bepaalt de rol in Examplary als het account wordt aangemaakt. |
groups | Namen van groepen. Groepen die nog niet bestaan, worden aangemaakt, en het lidmaatschap wordt bij elke keer inloggen bijgewerkt. |
group_ids | ID's van bestaande groepen in Examplary, als je liever daarop koppelt. Gaat voor groups. |
De claim role kent deze waarden, met hoofd- of kleine letters:
| Waarde in de claim | Rol in Examplary |
|---|---|
admin, manager | Beheerder |
teacher, employee, staff | Leraar |
student, member, participant | Leerling |
Een andere waarde wordt genegeerd, en dan komt iemand binnen als leraar. Stuur groups en group_ids mee als lijst, zoals ["Klas 3A", "Klas 4B"]; de meeste providers doen dat al. Eén tekstwaarde telt als één groep, ook als er komma's in staan.
De rol wordt alleen ingesteld als iemands account in Examplary wordt aangemaakt. Verander je de rol later in jullie eigen systeem, dan past een beheerder hem in Examplary ook aan, bij Gebruikers & groepen. Het lidmaatschap van groepen wordt wel bij elke keer inloggen bijgewerkt.
Bestaande accounts worden gekoppeld
Wie Examplary al met een wachtwoord gebruikte, houdt zijn account. De eerste keer dat hij via eenmalig aanmelden inlogt, koppelt Examplary dat aan zijn bestaande account met hetzelfde e-mailadres, zodat zijn toetsen meegaan:
- Google: als Google het e-mailadres heeft geverifieerd.
- Entree Federatie: als zijn school Entree in haar werkruimte heeft ingesteld.
- Jullie eigen identity provider: meteen, als het adres op een van jullie geverifieerde e-maildomeinen staat. Anders mailt Examplary eerst een code naar het account, die hij in hetzelfde tabblad invult.
Mensen naar de inlogpagina sturen
Deel het eigen adres van je werkruimte: jullie eigen domein als je dat hebt, of https://app.examplary.ai/org_12345, met het ID van je organisatie in plaats van org_12345. Dat ID zie je in de adresbalk als je bent ingelogd.
Als je jezelf buitensluit
Een verkeerde issuer-URL of een verlopen client secret kan ervoor zorgen dat niemand meer kan inloggen. Zolang eenmalig aanmelden verplicht is, kan een eigenaar van de werkruimte zonder onze hulp weer binnenkomen, via:
https://app.examplary.ai/org_12345?recovery=1Dat adres staat ook bij Als je jezelf buitensluit op de instellingenpagina zodra eenmalig aanmelden verplicht is. Schrijf het op voordat je het nodig hebt. Op die pagina vult de eigenaar zijn e-mailadres in en klikt op Stuur me een code. Met die code sla je de identity provider één keer over, lang genoeg om de instellingen te herstellen of terug te gaan naar E-mailadres en wachtwoord.
De code werkt 15 minuten en houdt je een uur ingelogd. Hij werkt alleen voor eigenaars, en alle andere beheerders en eigenaars krijgen een e-mail als er een wordt aangevraagd. Zo kan niemand ongemerkt om jullie inloginstellingen heen.
Heeft de eigenaar ook geen toegang meer tot zijn mailbox, mail dan naar hi@examplary.ai. Dan helpen we je weer binnen.
Terug naar wachtwoorden
Kies bij Eenmalig aanmelden voor E-mailadres en wachtwoord en klik op Inlogmethode opslaan. Iedereen logt dan weer in met een wachtwoord, en leerlingen met codes en links per e-mail.
Accounts blijven zoals ze zijn, met alles erin. Wie altijd via jullie eigen identity provider inlogde, heeft nog geen wachtwoord: die stelt er een in via Wachtwoord vergeten? op de inlogpagina.
Als het niet lukt
Leerlingen krijgen nog steeds een code per e-mail. Eenmalig aanmelden wordt aangeboden, niet verplicht. Zet Iedereen verplichten om zo in te loggen aan als iedereen het moet gebruiken.
Ik krijg een Engelse melding: "This domain is already in use by another workspace". Een e-maildomein voor Google, of een BRIN-nummer, kan maar bij één werkruimte horen. Mail naar hi@examplary.ai als dat niet klopt.
Iemand ziet "We konden je niet inloggen". Daaronder staat waarom, bijvoorbeeld dat het inloggen bij de identity provider is geannuleerd of dat zijn account daar geen e-mailadres heeft.
Ik zie het herstel-adres niet. Dat staat er alleen, en werkt alleen, zolang eenmalig aanmelden verplicht is.