Identiteit & toegang
SSO · groepssync · rollen
Bee Flow wil niet je identiteitsprovider zijn. Het logt mensen in met OAuth via Google, Microsoft Entra ID - single-tenant of multi-tenant - of Nextcloud, spiegelt je groepen in plaats van te vragen ze opnieuw op te bouwen, en regelt de rest met zes ingebouwde rollen en een rechtenmodel dat alleen toekent en nooit ongemerkt verruimt. Deze pagina loopt de hele keten door: wie binnenkomt, in welke organisatie hij of zij terechtkomt, waar die bij kan, en waar dat is vastgelegd als een auditor ernaar vraagt.
Draai het op je eigen tenant Beveiliging & encryptieDe directory doet het werk
Toegangsbeheer faalt bij de tweede beheerconsole. Daarom leest Bee Flow de console die je al draait.
Zet de periodieke sync aan - standaard zes uur zodra ingeschakeld, en instelbaar - en hij leest de groepen die aan de Bee Flow-enterprise-app zijn toegewezen en spiegelt ze hier, leden inbegrepen. Daarbovenop controleert een Microsoft-login die persoon opnieuw tegen de groepen die al gespiegeld zijn, zodat een wijziging van lidmaatschap in Entra zichtbaar wordt zodra iemand binnenkomt in plaats van bij het volgende interval; bij die loginronde landen ook de verwijderingen, want wie in Entra uit een groep is gehaald, verliest wat de groep verleende. Azure-beheerde groepen helemaal verwijderen is een aparte opt-in, zodat de sync nooit per ongeluk lokale structuur afbreekt. Bij een plan met een seatlimiet stopt het aanmaken van accounts bij die limiet in plaats van er stilzwijgend overheen te gaan.
Webhooks spiegelen Nextcloud-gebruikers en -groepen vrijwel realtime, met een afstemming om de zes uur als vangnet voor wat een webhook miste. Drie modi per organisatie: alles spiegelen, geselecteerde groepen spiegelen, of handmatig. Inloggen met Nextcloud zit in de gratis Community-editie; Google- en Microsoft-SSO horen bij Enterprise.
Organisatiebeheerder, agentbeheerder, agentbewerker en lid dekken het dagelijkse werk. Daarnaast zijn er een rol voor Functionaris Gegevensbescherming en een rol voor ISMS-auditor, omdat AVG-werk en ISO 27001-werk echte banen zijn met eigen rechten en niet "geef ze admin en hoop op het beste". Eigen rollen worden samengesteld uit ongeveer vijfentwintig gedetailleerde rechten als de ingebouwde zes niet de juiste indeling zijn.
Assistenten, kennisbanken, skills en apps zijn privé voor hun eigenaar totdat ze worden gedeeld - met de hele organisatie of met specifieke groepen. Daar loont de directorysync: deel een kennisbank met de Entra-groep van je financiële team, en wijzigingen in lidmaatschap in de directory veranderen de toegang hier, zonder dat iemand een tweede lijst bijhoudt. Apps uit App Studio gaan een niveau dieper, met toegangsregels per rij die binnen de app zelf worden afgedwongen.
De reis
Wie inlogt met het domein van je bedrijf komt in je organisatie terecht. Een gratis mailadres - gmail.com, outlook.com en soortgenoten - wordt bewust nooit automatisch aan een organisatie gekoppeld: die bewaker bestaat omdat we hebben gezien hoe makkelijk een persoonlijk account anders in een tenant kan belanden waar het niets te zoeken heeft. Landenlijsten en uitnodigingslinks maken de deur desgewenst smaller.
Mensen die via SSO inloggen komen binnen als in afwachting totdat een organisatiebeheerder ze goedkeurt - of, met automatisch goedkeuren aan voor een domein dat je vertrouwt, komen ze direct in de standaardgroepen die je koos. Een wachtlijstmodus bestaat voor als de deur helemaal dicht moet blijven. Twee dingen om te weten: oprichters en platformbeheerders worden nooit buitengesloten door hun eigen goedkeuringsflow, en collega's die door de directorysync zelf worden aangemaakt zijn meteen actief, tenzij je dat uitzet.
in afwachting → goedgekeurd · auto-goedkeuren + standaardgroepen · wachtlijst
Toegang wordt in vier lagen bepaald: wat de licentie toestaat, wat de platformbeheerder beschikbaar maakte, wat je organisatiebeheerder toekende en wat een groep daarbovenop verleent. Elke laag kan alleen toevoegen - niets wat een groep doet kan ongemerkt iets afnemen, en niets wat een beheerder vergeet kan ongemerkt verruimen. Dit is het "ene rechtenmodel" dat de rest van deze site steeds noemt, en dit is de pagina waar het wordt uitgeschreven.
licentie → beschikbaarheid → organisatietoekenning → groepstoekenning
Op papier
De grens
FAQ
Ja - OAuth-login met Google, Microsoft Entra ID en Nextcloud, waarbij zowel single-tenant als multi-tenant Microsoft-opstellingen worden ondersteund. Inloggen met Nextcloud zit in de gratis Community-editie; Google- en Microsoft-SSO zijn Enterprise-functies. SAML is niet geïmplementeerd, en dat zeggen we hardop in plaats van in een voetnoot.
Ja. Een optionele periodieke sync - standaard zes uur zodra je hem aanzet, en instelbaar - spiegelt de groepen die aan de Bee Flow-enterprise-app zijn toegewezen. Daarbovenop controleert een Microsoft-login die persoon opnieuw tegen de groepen die hier al gespiegeld zijn, waar lidmaatschappen die iemand kwijt is worden weggehaald. Groepen verwijderen die uit Entra zijn verdwenen is een verdere opt-in, destructieve sync genoemd, standaard uit. Een kanttekening: een gloednieuwe groep die in Entra wordt toegewezen komt binnen met de periodieke of een handmatige sync, niet doordat iemand inlogt.
Nee, en deze pagina bestaat deels zodat niemand dat laat ontdekt. Wat er is: OAuth/OIDC-SSO met drie providers, plus groepssync vanuit Entra ID en Nextcloud - wat het meeste dekt waarvoor teams naar SCIM grijpen: lidmaatschap actueel houden zonder tweede beheerconsole. Als SAML een harde eis is, zijn wij vandaag de verkeerde keuze.
Ja: koppel logins aan je e-maildomein, houd nieuwe leden in afwachting tot ze zijn goedgekeurd, keur automatisch goed met standaardgroepen op een domein dat je vertrouwt, draai een wachtlijst, beperk aanmeldingen per land, of nodig expliciet uit. Gratis mailadressen sluiten zich nooit automatisch bij een organisatie aan, wat de andere instellingen ook zeggen.
Zes ingebouwde organisatierollen - waaronder een rol voor Functionaris Gegevensbescherming en een voor ISMS-auditor - plus eigen rollen uit ongeveer vijfentwintig gedetailleerde rechten. Bronnen worden per organisatie of per groep gedeeld, vier lagen die alleen toekennen bepalen welke mogelijkheden voor wie bestaan, en elke toegangswijziging komt in een auditlog dat is ontworpen als bewijs voor AVG-artikel 30.
Ja - TOTP met elke authenticator-app, geregistreerd via een QR-code, met tien gehashte herstelcodes en een resetroute door een beheerder voor verloren apparaten. Het wordt afgedwongen bij de standaard wachtwoordlogin; accounts die naar het OPAQUE-sleuteluitwisselingspad zijn gemigreerd hebben de tweede factor nog niet afgedwongen, en dat schrijven we liever hier op dan dat je het zelf ontdekt.
De snelste manier om het identiteitsverhaal te beoordelen is het draaien: koppel je Entra-tenant of Nextcloud op een testinstallatie, kijk hoe de groepen binnenkomen en lees daarna het auditlog.
Host het zelf Neem contact op