Inloggen bij InfraNest met Google Workspace

Koppel het Google Workspace van je bedrijf aan InfraNest, zodat je team kan inloggen met hun dagelijkse werkaccounts — bedoeld voor InfraNest-beheerders met een Enterprise-abonnement.

Overzicht

• Laat iedereen in je Google Workspace inloggen bij InfraNest met hun bestaande Workspace-account.
• Dit is je eigen koppeling, ingesteld in je eigen Google Cloud-project — alleen accounts in jouw Workspace kunnen deze gebruiken.
• Als iemand in Google Workspace wordt geschorst of verwijderd, verliest diegene meteen ook de toegang tot InfraNest.
• Dit is iets anders dan de gangbare Continue with …-aanmelding met Google die voor iedereen beschikbaar is en met elk Google-account werkt. Voor die optie, zie Single sign-on en aanmeldkoppelingen.
• Duurt ongeveer tien minuten, verdeeld tussen de Google Cloud-console en Instellingen → Inloggen in InfraNest.

NoteGoogle stuurt geen groepsinformatie mee, dus deze koppeling kan geen rollen toewijzen op basis van iemands Google-groepen. Iedereen die lid wordt, krijgt de rol die je tijdens het instellen kiest, en je kunt rollen later altijd wijzigen in InfraNest.

Voordat je begint

• Gebruik een Google Cloud-project dat bij de organisatie van je Workspace hoort. De instelling die externe Google-accounts buitensluit (Internal) verschijnt alleen voor projecten binnen de Google Cloud-organisatie van je bedrijf. Een project dat is aangemaakt terwijl je was ingelogd met je Workspace-account, komt daar normaal gesproken terecht; een project dat met een persoonlijk Google-account is aangemaakt, niet.
• Zorg dat je een project kunt aanmaken binnen de Google Cloud-organisatie van je bedrijf en dat je beheerder bent in InfraNest.

Begin in InfraNest

1. Ga naar Instellingen → Inloggen en kies Set up single sign-on.
2. Kies Google Workspace.
3. Controleer onder Email domain het domein dat InfraNest voorstelt. Het verifiëren ervan wordt aanbevolen — mensen kunnen dan hun werkadres invoeren op de inlogpagina en nieuwe mensen kunnen automatisch toetreden. Je kunt verifiëren overslaan; je team gebruikt dan in plaats daarvan de aanmeldlink van je organisatie, en nieuwe mensen treden toe via een uitnodiging. Als het nog niet is geverifieerd, toont InfraNest de DNS-record die je moet toevoegen — kies Add it for me als InfraNest die DNS-zone al beheert, of voeg de record zelf toe en kies Check now.
4. Kopieer bij de stap Create the app de Redirect URL bovenaan. Houd dit tabblad open — je komt er zo op terug.

De aanmeldscherm instellen in Google Cloud

1. Open in een tweede tabblad de Google Cloud-console en kies je project, of maak er een voor InfraNest aan, binnen de organisatie van je bedrijf.
2. Open het menu en ga naar Google Auth Platform → Branding. Als Google nog niet is ingesteld voor dit project, kies dan Get started.
3. Vul het formulier in:
   • App name: InfraNest — je mensen zien deze naam wanneer ze inloggen.
   • User support email: een adres waar je mensen naartoe kunnen schrijven, bijvoorbeeld dat van je IT-team.
   • Audience: Internal — alleen accounts in jouw Workspace kunnen dan inloggen.
   • Contact information: een adres waar Google over dit project naar kan schrijven.
4. Ga akkoord met het Google API Services User Data Policy en kies Create.

WarningAls Internal niet wordt aangeboden, zit het project niet binnen de organisatie van je Workspace. Maak het project opnieuw aan vanuit je Workspace-account in plaats van External te kiezen — een externe app laat elk Google-account bij de aanmelding toe.

Je hoeft geen scopes toe te voegen onder Data Access. InfraNest vraagt Google alleen om iemands naam en e-mailadres, wat elke app mag opvragen.

De OAuth-client aanmaken

1. Ga naar Google Auth Platform → Clients en kies Create client.
2. Vul het formulier in:
   • Application type: Web application.
   • Name: InfraNest — alleen jij ziet deze naam.
   • Authorized JavaScript origins: laat leeg.
   • Authorized redirect URIs: kies Add URI en plak de Redirect URL die je uit InfraNest hebt gekopieerd.
3. Kies Create.
4. Kopieer meteen de Client ID en het Client secret. Google toont het volledige geheim alleen nu; daarna toont het alleen de laatste paar tekens ervan.

De koppeling afronden in InfraNest

1. Plak terug in het InfraNest-tabblad, bij de stap Create the app, de Client ID en het Client secret.
2. Er is verder niets in te vullen — InfraNest leest al het andere zelf uit bij Google.

Uitproberen, bepalen wie toegang krijgt, en inschakelen

1. Kies bij de stap Try it de optie Sign in with Google Workspace to test. Er opent een nieuw tabblad bij Google — log in met je eigen Workspace-account. Als het werkt, wordt de stap groen. Een test is verplicht voordat je de koppeling kunt inschakelen.
2. Kies bij de stap Who gets in wat er gebeurt When somebody new signs in:
   • Add them straight away staat al vooraf geselecteerd. Nieuwe mensen treden toe met de rol onder Role for new members, die standaard op Member (alleen-lezen) staat.
   • Ask an admin maakt van elke nieuwe aanmelding een toetredingsverzoek dat een beheerder moet goedkeuren.
   • Do nothing betekent dat mensen nog steeds een uitnodiging nodig hebben.
3. Kies Switch on. De statuslijst van de koppeling zou nu moeten tonen: Connected to Google Workspace · Email domain verified · Test sign-in passed · Switched on.

WarningIn tegenstelling tot Okta of Entra ID heeft een Google Workspace-koppeling geen lijst van mensen die aan de app zijn toegewezen — elk actief account in jouw Workspace kan inloggen, inclusief gedeelde accounts en contractanten met een Workspace-account. Als dat breder is dan wie je infrastructuur zou moeten kunnen zien, kies dan in plaats daarvan Ask an admin.

De beheerder van je Workspace kan dit mogelijk verder beperken in de Google Admin-console, onder Security → Access and data control → API controls, waarmee een app kan worden beperkt tot bepaalde organisatie-eenheden. We hebben niet gecontroleerd hoe die instelling omgaat met een app die mensen alleen laat inloggen.

Je team logt in via de normale InfraNest-inlogpagina: ze typen hun werkadres en kiezen Continue with ….

Goed om te weten

• Begin vanuit InfraNest. Mensen loggen in vanaf de InfraNest-inlogpagina met hun werkadres. Er is geen InfraNest-tegel om vanuit Google te starten.
• Het client secret vervangen. Als je in Google Cloud een nieuw geheim voor de client aanmaakt, plak het dan bij de koppeling onder Credentials and claim names en kies Replace. Tot je dit doet, kan niemand inloggen via Google Workspace.
• Meer dan één e-maildomein. Mensen kunnen inloggen met elk adres op een domein dat je in InfraNest hebt geverifieerd. Als je Workspace meerdere domeinen heeft, verifieer dan elk domein waarmee mensen inloggen.
• Gevoelige acties bevestigen. Wanneer je organisatie mensen vraagt om verwijderingen te bevestigen door opnieuw in te loggen, is Google Workspace daarvoor geen van de mogelijke manieren. Google biedt geen manier om een nieuwe aanmelding af te dwingen, dus mensen bevestigen in plaats daarvan met een passkey, een authenticator-app of hun wachtwoord.
• Google Workspace verplicht stellen voor iedereen. Zodra inloggen werkt, kun je single sign-on verplicht stellen voor je hele organisatie onder Instellingen → Inloggen. InfraNest vraagt eerst om minstens één eigenaar met een passkey, zodat een probleem bij Google je nooit kan buitensluiten. Zie Single sign-on en aanmeldkoppelingen.

We hebben deze stappen geschreven op basis van de huidige documentatie van Google, maar nog niet zelf doorlopen in een live Google Workspace. Als een scherm in jouw console er anders uitziet, zijn de namen hierboven hoe Google deze instellingen vandaag de dag noemt.

Problemen oplossen

• Google toont "Error 400: redirect_uri_mismatch": het adres onder Authorized redirect URIs komt niet overeen met de Redirect URL in InfraNest. Kopieer deze opnieuw — hij moet exact overeenkomen, inclusief https:// en een eventuele afsluitende schuine streep. Een wijziging aan de client kan enkele minuten, soms langer, duren voordat deze bij Google wordt toegepast.
• Google toont "Error 403: org_internal": het account waarmee is ingelogd, zit niet in jouw Workspace. Log in met een Workspace-account, of controleer of het project bij de juiste organisatie hoort.
• Google toont "Error 401: invalid_client": de Client ID in InfraNest is verkeerd getypt, of de client is verwijderd in Google Cloud.
• Iemand logt in bij Google, maar InfraNest laat diegene niet binnen: het adres van die persoon zit niet op een domein dat je in InfraNest hebt geverifieerd.
• Je beheerders kunnen elke mislukte poging, met de reden, bekijken in Instellingen → Auditlog.