Met Seamless Single Sign-On (naadloze eenmalige aanmelding) melden gebruikers op een domeincomputer zich automatisch aan bij Microsoft 365, zonder hun wachtwoord opnieuw te typen. Het is een functie van Microsoft Entra Connect en je zet ze op in ongeveer een halfuur.
Wanneer heb je Seamless SSO nog nodig?
- Je hebt Windows-computers die alleen lid zijn van je lokale domein, niet van Entra ID.
- Je hebt oudere toestellen of scenario's waarin hybrid join niet mogelijk is.
Zijn al je toestellen Entra-joined of hybrid joined? Dan krijgen gebruikers al SSO via de PRT. Lees toestellen toevoegen met Entra join of hybrid join.
Vereisten
- Je synchroniseert je gebruikers al met Microsoft Entra Connect Sync. Nog niet? Volg Entra Connect configureren in 4 stappen.
- Je gebruikt wachtwoord-hashsynchronisatie (PHS) of pass-through-verificatie (PTA). Seamless SSO werkt met allebei. Je hoeft dus niet over te schakelen naar PTA.
- Je hebt een account met domeinbeheerdersrechten en een beheerder in Entra ID.
1. Seamless SSO inschakelen in Entra Connect
- Open Microsoft Entra Connect op je synchronisatieserver en klik op Configureren.
- Kies Aanmelding van gebruikers wijzigen (Change user sign-in).
- Meld je aan met je beheerdersaccount van Entra ID.
- Hou je huidige aanmeldmethode (wachtwoord-hashsynchronisatie of pass-through-verificatie).
- Vink Eenmalige aanmelding inschakelen (Enable single sign-on) aan en klik op Volgende.
- Vul de gegevens van een domeinbeheerder in. Entra Connect maakt een computeraccount AZUREADSSOACC aan in je Active Directory.
- Klik op Configureren.
2. De groepsbeleidsinstellingen
De browser moet de aanmeldings-URL als intranetsite zien. Dat doe je met een GPO voor je gebruikers.
- Open Group Policy Management en maak een nieuw GPO aan.
- Ga naar Gebruikersconfiguratie > Beleid > Beheersjablonen > Windows-onderdelen > Internet Explorer > Configuratiescherm Internet > Beveiligingspagina.
- Open Lijst met toewijzingen van sites aan zones en voeg toe:
- Waardenaam:
https://autologon.microsoftazuread-sso.com - Waarde:
1(intranetzone)
- Waardenaam:
- Ga naar Beveiligingspagina > Intranetzone en schakel Updates toestaan van statusbalk via script in.
- Koppel het GPO aan de OU met je gebruikers.
Deze instellingen gelden ook voor Microsoft Edge en Google Chrome op Windows. Voor Firefox en voor browsers op macOS zijn aparte instellingen nodig. Die staan in de documentatie van Microsoft.
3. Testen
- Meld je aan op een domeincomputer met een gesynchroniseerde gebruiker.
- Open een privévenster en ga naar myapps.microsoft.com.
- Typ je gebruikersnaam. Je wordt aangemeld zonder wachtwoord te typen.
Onderhoud: de Kerberos-sleutel vernieuwen
Het computeraccount AZUREADSSOACC heeft een Kerberos-sleutel. Microsoft raadt aan die regelmatig te vernieuwen, minstens elke 30 dagen. Dat doe je met de PowerShell-module die met Entra Connect wordt geïnstalleerd. Bescherm dit computeraccount ook zoals een domeincontroller.