1. Kopieer de callback-URL van je werkruimte
Meld je aan als werkruimtebeheerder. Open Tenantbeheer → Eenmalige aanmelding (SSO) → Verbinding toevoegen. Kies Okta en kopieer de Omleidings-URI voor aanmelding.
Gebruik de URL uit je eigen werkruimte. Deze eindigt op /sso/callback. Gebruik niet de publieke Undertitle-homepage of een URL uit een schermafbeelding.
Undertitle-demowerkruimte. Alle voorbeeldgegevens zijn fictief. Selecteer een afbeelding om ze op volledige grootte te bekijken. De providerafbeeldingen tonen de Engelstalige interface.
2. Registreer een Web Application in Okta
Open Applications → Applications in de Okta Admin Console. In sommige versies heet de rubriek Applications and Resources.
- Kies Create App Integration en, als daarom wordt gevraagd, Classic experience.
- Kies OIDC – OpenID Connect en vervolgens Web Application.
- Geef de integratie de naam Undertitle. Schakel de grant Authorization Code in.
- Vervang de voorbeeldwaarde bij Sign-in redirect URIs door de exacte callback-URL uit stap 1.
- Wijs de personen of groepen toe die de toepassing mogen gebruiken, inclusief de persoon die gaat testen. Sla de integratie op.
- Kies bij General → Client Credentials voor Client secret als authenticatiemethode. Kopieer Client ID en Client secret naar Undertitle.
Officieel Okta-voorbeeld: kies OIDC om de optie Web Application te tonen. Deze afbeelding gebruikt oudere menunamen. Bron: Okta Developer.
Kies voor deze integratie App Only bij Login initiated by. Gebruikers beginnen op de aanmeldpagina van Undertitle. Kies niet de vereenvoudigde Okta-flow die een ID-token rechtstreeks naar de toepassing stuurt. Laat verplichte DPoP uitgeschakeld: deze integratie gebruikt een clientgeheim en PKCE. Implicit grants, refresh tokens, CORS Trusted Origins en een afmeld-URI zijn voor deze flow niet nodig.
Raadpleeg de actuele Okta-instructies voor OIDC-integraties voor alle opties in de Admin Console.
3. Sla de verbinding op in Undertitle
| Veld in Undertitle | Waarde |
|---|---|
| Naam van de verbinding | Een herkenbare naam, bijvoorbeeld Company Okta. Deze verschijnt op de aanmeldknop. |
| Provider | Okta. |
| Okta-domein | De aanmeldhostnaam van je organisatie, bijvoorbeeld example.okta.com. Gebruik niet de -admin-hostnaam of een endpoint-URL. |
| Client-ID | De ID uit Client Credentials van de Web Application. |
| Clientgeheim | De geheime waarde van dezelfde toepassing. |
| Aangepaste autorisatieserver | Laat leeg voor de organisatie-autorisatieserver. Vul alleen een ID zoals default in als je Okta-beheerder een aangepaste server vereist. |
Undertitle vraagt de scopes openid, email en profile aan. Groepen en rollen worden niet opgevraagd of gesynchroniseerd. Kies Verbinding opslaan.
Discovery en aangepaste servers
Undertitle vindt de endpoints automatisch. Je hoeft de well-known-URL niet zelf in te voeren:
- Organisatieserver:
https://{jouw-okta-domein}/.well-known/openid-configuration - Aangepaste server:
https://{jouw-okta-domein}/oauth2/{server-id}/.well-known/openid-configuration
De organisatieserver is geschikt voor deze aanmelding. Een aangepaste server kan Okta API Access Management vereisen, plus een toegangsbeleid dat deze client, de authorization-code-flow en de scopes toestaat. Zie Okta-autorisatieservers. Gebruik bij een aangepast domein hetzelfde domein voor de issuer en de bijbehorende endpoints.
4. Test en schakel SSO in
- Kies Aanmelding testen op de opgeslagen verbinding.
- Meld je aan als een toegewezen Okta-gebruiker. Voltooi eventuele MFA.
- Controleer na terugkeer of de test is geslaagd. Kies SSO inschakelen.
- Open de aanmeldpagina van je werkruimte in een apart privévenster. Kies Aanmelden met Company Okta, of de naam die je zelf koos.
De schermafbeelding toont een eerdere interface. Testen is nu optioneel: je kunt SSO inschakelen kiezen zonder geslaagde test. Aanmelding testen blijft beschikbaar.
De test behoudt je Undertitle-beheerderssessie. Hij controleert de verbinding, maar maakt geen gebruiker aan en koppelt je beheerdersaccount niet. Controleer apart een echte aanmelding of profielkoppeling voordat je collega’s uitnodigt.
5. Geef collega’s toegang
Wijs de Undertitle-toepassing alleen toe aan collega’s die de werkruimte mogen gebruiken. Bij de eerste geslaagde SSO-aanmelding wordt een werkruimtegebruiker aangemaakt met toegang tot het werkruimtebeheer.
Bestaat het Undertitle-account al, dan meldt de gebruiker zich eerst aan met het wachtwoord en kiest Instellingen → Profiel → Eenmalige aanmelding (SSO) → [naam van de verbinding] koppelen. Gelijke e-mailadressen koppelen accounts nooit automatisch. Zie het SSO-overzicht voor meer uitleg over accounts en sessies.
Problemen oplossen en onderhoud
| Probleem | Controleer |
|---|---|
| Fout met de redirect-URI | Kopieer de URL opnieuw uit Undertitle. Hostnaam, HTTPS, pad en afsluitende slash moeten exact overeenkomen. |
| Gebruiker krijgt geen toegang | Controleer Assignments en het Okta-aanmeldbeleid, inclusief MFA. |
| SSO-aanmelding mislukt | Controleer domein, client-ID, geldig geheim en autorisatieserver. Controleer bij een aangepaste server ook het toegangsbeleid. Start na wijzigingen een nieuwe test. |
| Er bestaat al een account met dit e-mailadres | Meld je lokaal aan en koppel SSO via Profiel. Gebruik zo nodig wachtwoordherstel. |
| De verbinding werkte eerder wel | Controleer of een geheim is ingetrokken of de issuer, toewijzingen of het Okta-beleid zijn gewijzigd. |
Maak voor geheimrotatie een vervanging in Okta. Kies in Undertitle SSO uitschakelen → Verbinding bewerken, vul het nieuwe geheim in, sla op, test en schakel SSO opnieuw in. Houd het oude geheim geldig tot de test slaagt als je provider overlap toestaat. Uitschakelen beëindigt de sessies die via die verbinding zijn gestart. Wachtwoordaanmelding blijft beschikbaar. Een leeg geheimveld behoudt het opgeslagen geheim.
Een andere issuer of client-ID vereist een nieuwe verbinding en een expliciete koppeling van bestaande accounts. Een verbinding verwijderen wist haar accountkoppelingen. Alleen een Okta-toewijzing verwijderen beëindigt geen bestaande Undertitle-sessie en verwijdert geen wachtwoordtoegang.