---
title: "Enterprise SSO"
description: "Laat je team inloggen bij ThunderPhone via de identiteitsprovider van je bedrijf, met just-in-time-provisioning en een organisatiebreed beveiligingsbeleid dat jij beheert."
---

Enterprise SSO vind je onder **Instellingen → Organisatie** (tabblad Algemeen), in
de kaart **Enterprise SSO**. Zet de schakelaar **Eenmalige aanmelding** aan om
de configuratie weer te geven. Alleen **beheerders** en **eigenaren** van de
organisatie kunnen deze instellingen bekijken of wijzigen.

## Beveiligingsbeleid

Drie organisatiebrede schakelaars, samen opgeslagen met **Beleid opslaan**:

- **SSO vereisen voor inloggen** — leden moeten zich verifiëren via je
  identiteitsprovider.
- **Noodaanmelding met wachtwoord toestaan voor beheerders** — een noodroute
  met wachtwoord voor beheerders terwijl SSO wordt afgedwongen (alleen
  configureerbaar wanneer afdwinging is ingeschakeld).
- **Passkeys vereisen voor toegang tot de organisatie** — elk lid moet een
  [passkey](/nl/guides/account-and-security) registreren en na het inloggen een
  passkeycontrole doorlopen. Leden zonder passkey krijgen een **respijtperiode
  van 3 dagen** om deze in te stellen; het beleidspaneel toont hoeveel leden er
  nog een nodig hebben.

<Note>
  **API-sleutels van de organisatie [API keys](/nl/guides/api-keys) zijn vrijgesteld van deze vereiste.**
  Passkeys zijn een menselijke 2FA-controle gekoppeld aan een inlogsessie;
  server-API-sleutels (`sk_live_...`) zijn machinegegevens zonder sessie waaraan
  een passkeycontrole kan worden gekoppeld, dus ze blijven zich verifiëren
  wanneer dit beleid is ingeschakeld — bewust zo ontworpen, niet door een
  omissie. Wanneer de vereiste is ingeschakeld en je organisatie actieve
  API-sleutels heeft, toont het beleidspaneel hoeveel daarvan zijn vrijgesteld,
  met een link naar **Organisatie → Sleutels** zodat beheerders kunnen
  controleren of intrekken welke niet langer actief zouden moeten zijn.
</Note>

## SSO-verbindingen

De SSO van ThunderPhone wordt ondersteund door Stytch. **Verbinding toevoegen**
maakt er een aan met:

| Veld | Functie |
| --- | --- |
| **Naam van verbinding** | Een label, bijvoorbeeld "Acme Workspace SSO". |
| **Standaardrol voor nieuwe gebruikers** | Lid, Beheerder of Eigenaar voor accounts die via SSO worden aangemaakt. |
| **Stytch-organisatieslug / ID** | Identificeert je Stytch-organisatie die de verbinding ondersteunt. |
| **Toegestane e-maildomeinen** | Door komma's gescheiden domeinen die via deze verbinding mogen inloggen. |
| **Groep-naar-roltoewijzingen** | JSON-array die IdP-groepen aan rollen koppelt, bijvoorbeeld `[{"group":"it-admins","role":"admin"}]`. |
| **JIT-provisioning inschakelen** | Maak ThunderPhone-accounts automatisch aan bij de eerste SSO-aanmelding. |
| **Verbinding actief** | Deactiveer zonder te verwijderen. |

Een verbinding verwijderen verwijdert deze permanent — gebruikers die via deze
verbinding hebben ingelogd, kunnen deze niet langer gebruiken.

<Note>
  Voor het instellen van de kant van de identiteitsprovider is een
  Stytch-organisatie vereist; als je deze identificatiegegevens niet hebt, neem
  dan contact op met [support](mailto:support@thunderphone.com) om je organisatie
  te laten provisionen.
</Note>

## Volgende stappen

<CardGroup cols={2}>
  <Card title="Nodig je team uit" icon="user-plus" href="/nl/guides/invite-your-team">
    Rollen en uitnodigingen voor leden die buiten SSO toetreden.
  </Card>
  <Card title="Account en beveiliging" icon="shield" href="/nl/guides/account-and-security">
    Hoe de passkeyvereiste er voor elk lid uitziet.
  </Card>
</CardGroup>