Zo configureert u SSO met Azure AD voor line-of-business applicaties

SSO via Azure AD (tegenwoordig Microsoft Entra ID) laat gebruikers één keer inloggen met hun Azure AD-referenties om toegang te krijgen tot interne en line-of-business (LOB) applicaties. Gebruikers hoeven dus geen meerdere gebruikersnamen te onthouden of steeds opnieuw in te loggen. Dat verbetert de UX, de beveiliging en de toegangscontrole in hybride en cloudomgevingen.

Azure SSO ondersteunt een breed scala aan applicatietypen, zowel moderne als oudere systemen. Veelvoorkomende scenario’s met LOB-applicaties zijn:

• Interne webapplicaties (IIS-gehost, op basis van .NET)
• Aangepaste SaaS-applicaties
• On-premises applicaties die via Azure AD Application Proxy beschikbaar zijn gemaakt
• Legacy-applicaties die header-based of form-based SSO vereisen

In deze gids doorloopt u stap voor stap hoe u Azure SSO voor deze applicaties configureert.

Klik op een stap om direct verder te gaan

Stap 1: registreer de LOB-applicatie in Azure AD

Stap 2: configureer de SSO-opties op basis van het applicatietype

Stap 3: stel Azure AD Application Proxy in (voor on-premises applicaties)

Stap 4: configureer het gedrag van SSO-tokens op clientdevices

Stap 5: handhaaf beleid via GPO

Stap 6: automatiseer toegang en tokenvalidatie met PowerShell

Stappen om SSO met Azure AD te beheren voor line-of-business (LOB) applicaties

Zorg dat aan de volgende voorwaarden is voldaan voordat u begint. Zo voorkomt u problemen tijdens de installatie en verloopt alles soepel:

📌 Algemene vereisten:

• Een Azure AD-tenant met een Premium P1-licentie (vereist voor Application Proxy of Conditional Access)
• Een LOB-applicatie die on-premises of in Azure wordt gehost
• Endpoints die lid zijn van een domein of van Azure AD
• Beheerderstoegang tot Azure Portal en de applicatieserver

Stap 1: registreer de LOB-applicatie in Azure AD

Met deze stap maakt u een identiteit voor uw applicatie aan in Azure AD, zodat deze veilig beheerd kan worden. Zodra de registratie rond is, herkent Azure AD de applicatie en kan het er tokens aan uitgeven.

1. Open de Azure Portal.
2. Ga naar Azure Active Directory > App-registraties > Nieuwe registratie.
3. Voer een naam in voor de applicatie.
4. Stel de omleidings-URI in (bijvoorbeeld https://app.domain.com/auth/callback) (lees punt 1 bij ⚠️ Waar u op moet letten.)
5. Klik op Registreren.
6. Na de registratie:
   • Kopieer de toepassings-id (client).
   • Kies onder Verificatie het platform en voer uw omleidings-URI in.
   • Voeg onder API-machtigingen de Microsoft Graph-machtigingen toe: openid, profile en email.

💡 Wat is een LOB in Azure?

Een line-of-business (LOB) applicatie is een aangepaste of interne applicatie die speciaal is gemaakt voor de behoeften van een bedrijf. Vaak wordt die in eigen huis ontwikkeld en niet openbaar gemaakt.

Stap 2: configureer de SSO-opties op basis van het applicatietype

Elke applicatie ondersteunt een andere authenticatiemethode (SAML, OAuth2 of OIDC). In deze stap geeft u aan Azure AD door welke methode gebruikt moet worden, zodat gebruikers probleemloos kunnen inloggen.

Voor moderne applicaties (OIDC of SAML)

1. Ga naar Azure Active Directory > Bedrijfstoepassingen > [uw applicatie] > Eenmalige aanmelding.
2. Kies:
   • SAML voor applicaties die SAML 2.0 ondersteunen
   • OIDC (OpenID Connect) voor applicaties die met moderne identity providers zijn gebouwd
3. Configureer de vereiste velden:
   • Id (entiteits-id)
   • Antwoord-URL (Assertion Consumer Service)
   • Aanmeldings-URL

(Lees punt 2 bij ⚠️ Waar u op moet letten.)

4. Wijs gebruikers of groepen toe op het tabblad Gebruikers en groepen.

Voor legacy- of header-based applicaties

Gebruik Azure AD Application Proxy met pre-authenticatie (zie stap 3).

💡 Wat is SSO in Azure?

Single sign-on (SSO) in Azure is een functie waarmee gebruikers met één keer inloggen toegang krijgen tot meerdere applicaties. Het vereenvoudigt de authenticatie en versterkt de beveiliging door identiteitsbeheer te centraliseren.

Stap 3: stel Azure AD Application Proxy in (voor on-premises applicaties)

Als uw applicatie on-premises wordt gehost, kan Azure AD die niet rechtstreeks bereiken. Application Proxy fungeert dan als een veilige tunnel tussen Azure en uw interne netwerk. (Lees punt 3 bij ⚠️ Waar u op moet letten.)

📌 Vereisten:

• Een Windows Server 2016 of hoger binnen het netwerk
• De Application Proxy Connector is op die server geïnstalleerd

Instructies:

1. Download of installeer de Application Proxy Connector van Azure.
2. Log in met een Azure AD Global Admin-account.
3. Ga in Azure Portal naar Azure AD > Bedrijfstoepassingen > + Toevoegen > On-premises toepassing.
4. Voer het volgende in:
   • Interne URL – http://internalapp.local
   • Externe URL – https://app-tenant.msappproxy.net
   • Schakel pre-authenticatie via Azure AD in

Verbinding valideren

1. Druk op Win + R, typ cmd en druk op Enter om de opdrachtprompt te openen.
2. Voer uit: netstat -ano | findstr :443

Stap 4: configureer het gedrag van SSO-tokens op clientdevices

Clientdevices moeten weten hoe ze met SSO-tokens moeten omgaan: hoe ze die opvragen, opslaan en vernieuwen wanneer dat nodig is. Gebruik deze stap om het gedrag van SSO-tokens op clientdevices te configureren.

Seamless SSO en Pass-through Authentication inschakelen

1. Stel Azure AD Connect in, schakel Seamless SSO in en eventueel ook Pass-through Authentication (PTA).
2. Bevestig de configuratie in PowerShell: Get-AzureADSSOStatus

Registervalidatie (caching van SSO-tokens aan de clientzijde)

1. Controleer de tokeninstellingen in:

HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity

Sleutels als EnableADAL of Version kunnen invloed hebben op moderne authenticatie in applicaties die met Office zijn geïntegreerd.

CMD-controle (aanwezigheid van tokens)

1. Voer het volgende uit om Kerberos-tickets te bekijken of opnieuw in te stellen: klist

Gebruik klist purge om oude Kerberos-tickets te wissen als er problemen ontstaan.

Stap 5: handhaaf beleid via GPO

Gebruik Groepsbeleid om het Kerberos-gedrag, de levensduur van tokens en de browsercompatibiliteit te regelen. Zo blijft alles consistent op al uw devices. (Lees punt 4 bij ⚠️ Waar u op moet letten.)

Kerberos-beleid configureren

1. Druk op Win + R, typ gpedit.msc en druk op Enter om de Editor voor lokaal groepsbeleid te openen.
2. Ga naar:

Computerconfiguratie > Beheersjablonen > Systeem > Kerberos

📌 Zorg dat de tijdsynchronisatie en de Kerberos-instellingen aansluiten op uw authenticatiebeleid.

Voor browserapplicaties (SSO via de browser)

1. Ga naar:

Gebruikersconfiguratie > Beheersjablonen > Windows-onderdelen > Internet Explorer > Configuratiescherm voor Internet > Beveiligingspagina > Zone Lokaal intranet

2. Voeg de URL van de applicatie toe aan de vertrouwde sites met PowerShell:

Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\
CurrentVersion\Internet Settings\ZoneMap\Domains\app.domain.com" -Name https -Value 1

3. Gebruik beleidssjablonen voor browsers om SSO af te dwingen in Edge of Chrome.

Stap 6: automatiseer toegang en tokenvalidatie met PowerShell

PowerShell is uw gereedschapskist om tokens te valideren, toegang te automatiseren en te controleren of uw configuratie werkt zoals bedoeld.

📌 Vereisten:

• PowerShell geïnstalleerd
• Toegang tot de Microsoft Graph API (optioneel voor automatisering)

Instructies:

1. Druk op Win + S, zoek naar PowerShell en selecteer Windows PowerShell in de resultaten.
2. Voer dit script uit om handmatig een token op te vragen: (lees punt 5 bij ⚠️ Waar u op moet letten.)

$tenantId = "your-tenant-id" $clientId = "app-client-id" $clientSecret = "your-client-secret" $scope = "https://graph.microsoft.com/.default"$body = @{ client_id = $clientId scope = $scope client_secret = $clientSecret grant_type = "client_credentials" } $tokenResponse = Invoke-RestMethod -Uri "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token" -Method POST -Body $body $token = $tokenResponse.access_token $token

Hiermee bevestigt u dat de communicatie tussen applicaties en de toegang via het serviceaccount correct werken.

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Herstelacties
1. De applicatie registreren met een verkeerde omleidings-URI of een verkeerd platformtype	Gebruikers kunnen zich niet authenticeren en tokenaanvragen mislukken.	Pas de app-registratie aan: Azure AD > App-registraties > [applicatie] > Verificatie
2. Onjuiste of ontbrekende SAML/OIDC-metadata toewijzen	De SSO-handshake mislukt, waardoor inloggen niet lukt.	Werk de juiste metadata bij of upload die opnieuw onder Bedrijfstoepassingen > Eenmalige aanmelding.
3. De installatie van Application Proxy overslaan bij on-premises applicaties	Azure AD kan de applicatie niet bereiken en SSO werkt extern niet.	Installeer de Application Proxy Connector en configureer de publicatie van de applicatie.
4. Bestaande GPO-instellingen overschrijven tijdens de beleidshandhaving	Verstoort het bestaande browser- of authenticatiegedrag op endpoints	Exporteer het bestaande GPO vóór de wijzigingen en draai terug via een back-up of via versiebeheer van GPO’s.
5. Verkeerde PowerShell-syntaxis of onjuiste referenties gebruiken bij het testen van tokens	De tokentest mislukt of geeft misleidende foutmeldingen.	Valideer de parameters en secrets voordat u het script uitvoert en test eerst in de ontwikkelomgeving.

Aanvullende overwegingen

Met deze aanbevelingen versterkt, beveiligt en onderhoudt u uw SSO-configuratie met Azure AD voor LOB-applicaties:

MFA en device trust afdwingen (Conditional Access)

Gebruik Conditional Access om MFA (Multi-Factor Authentication) te vereisen en alleen toegang toe te staan vanaf vertrouwde of compliant devices. Dat voegt een extra beveiligingslaag toe en helpt ongeautoriseerde toegang te voorkomen, zelfs als referenties of tokens zijn gestolen.

💡 Tip: lees Conditional Access-beleid configureren in Azure AD.

Machtigingen beheren met app-rollen

Geef niet iedereen hetzelfde toegangsniveau, maar gebruik app-rollen om te bepalen wat gebruikers binnen de LOB-applicatie mogen doen. Wijs rollen toe als Admin, Editor of Viewer om het principe van minste voorrecht af te dwingen en beveiligingsrisico’s te beperken.

De gezondheid van SSO monitoren

Gebruik de aanmeldingslogboeken van Azure AD om te controleren wie wanneer welke applicatie heeft geopend, wat de slagings- en foutpercentages zijn bij aanmeldingen en MFA en of er mogelijke beveiligingsproblemen zijn. Dat helpt bij audits, probleemoplossing en het voldoen aan compliance-eisen.

SSO-compatibiliteit afdwingen via Intune

Als u Microsoft Intune gebruikt om devices te beheren, kunt u configuratieprofielen uitrollen om browserinstellingen, applicatiespecifiek beleid en compliance-regels voor devices toe te passen. Zo houdt u de SSO-ervaring soepel en consistent op alle ingeschreven devices.

Probleemoplossing

Dit zijn veelvoorkomende problemen bij het configureren van SSO met Azure AD voor LOB-applicaties, met hun oorzaken en de bijbehorende oplossing:

Probleem	Oorzaak	Oplossing
SSO mislukt op de client	De klok van het device loopt niet synchroon of de Kerberos-tickets zijn verlopen of beschadigd.	Synchroniseer de systeemtijd en gebruik klist purge om Kerberos-tickets te wissen en te vernieuwen.
De applicatie geeft een 403 terug	De gebruiker is niet aan de applicatie toegewezen in Azure AD.	Ga naar Bedrijfstoepassingen > [uw applicatie] > Gebruikers en groepen en wijs de gebruiker of groep toe.
Er wordt geen token uitgegeven	Een onjuiste omleidings-URI of een onjuist clientgeheim in de app-registratie.	Controleer de omleidings-URI en het clientgeheim in App-registraties > Verificatie / Certificaten en geheimen.
De applicatie ondersteunt geen SAML of OIDC	De applicatie is verouderd en ondersteunt geen moderne authenticatieprotocollen.	Gebruik Azure AD Application Proxy met header-based SSO om veilige toegang mogelijk te maken via pre-authenticatie door Azure AD.

De tabel met probleemoplossingen wordt in context getoond in de video: SSO configureren met Azure AD voor line-of-business applicaties.

NinjaOne-diensten

NinjaOne ondersteunt de uitrol en monitoring van SSO in klantomgevingen met:

Validatie op afstand

PowerShell-scripts op afstand uitvoeren om te controleren op de aanwezigheid van een tokencache, registersleutels en netwerktoegang.

Beleid uitrollen

Configuraties uitrollen die gelijkstaan aan GPO’s om browsercompatibiliteit en instellingen voor Kerberos-authenticatie af te dwingen.

SSO-notificaties

Notificaties bij wijzigingen in de status van een device of applicatie die verband houden met SSO of het verlopen van tokens.

SSO-tagging

Devices en gebruikers taggen op basis van hun SSO-configuratiestatus, ter ondersteuning van audits, compliance-tracking en inzicht in de gezondheid van de omgeving.

Automatisch herstel

Beleidsherstel automatiseren op endpoints die de SSO-controles vooraf niet doorstaan.

Met deze tools kunnen MSP’s een veilige en consistente SSO-ervaring leveren in hun hele klantenbestand, met minder operationele overhead.

💡 Tip: lees ook SSO inschakelen.

Configureer SSO met Azure AD voor LOB-applicaties om toegang te stroomlijnen en de beveiliging te versterken

Met SSO via Azure AD moderniseren organisaties hun toegangscontrole en vereenvoudigen ze tegelijk de UX voor interne en LOB-applicaties. Azure AD ondersteunt zowel moderne cloudapplicaties als oudere on-premises webservices, zodat u flexibel kunt beveiligen wat uw omgeving nodig heeft.

Deze gids behandelde alles wat u nodig hebt om te beginnen: van het registreren van uw applicatie in Azure AD en het instellen van SAML, OIDC of proxy-gebaseerde authenticatie tot het aanscherpen van clientinstellingen via Groepsbeleid, PowerShell en wijzigingen in het register. Daarnaast liet de gids zien hoe NinjaOne SSO-omgevingen voor MSP’s versterkt en monitort.

Gerelateerde onderwerpen:

• SAML versus SSO: wat is het verschil?
• Azure AD Connect: wat het is en hoe u het configureert
• On-premises en cloud integreren met Microsoft Entra Hybrid Join
• On-premises en cloud integreren met Hybrid Azure AD Join
• Active Directory-authenticatie: een volledig overzicht
• SSO- en SCIM-integratie in NinjaOne
• Wat kost SSO-software? Prijsstelling van SSO