Single Sign-On (SSO) is een type authenticatie waarmee gebruikers toegang krijgen tot meerdere applicaties en diensten met één set inloggegevens.

De Enterprise SSO-integratie van DataCamp stelt klanten in staat om de leden van hun organisatie buiten de bestaande login- en accountaanmaakprocessen van DataCamp te beheren.

Enkele voordelen van SSO zijn:

Om SSO in te stellen, moet u een DataCamp Enterprise-abonnement hebben en beheerder zijn van uw organisatie. Informatie over functies en prijzen voor het upgraden naar een DataCamp Enterprise-abonnement vindt u hier.

Op dit moment ondersteunt DataCamp alleen SAML 2.0-integratie. Om SSO in te stellen, moet u een SAML Identity Provider (IdP) geconfigureerd hebben. De IdP is de directory of database die de gebruikers- en organisatieaccounts bevat.

Meld u aan bij DataCamp en ga naar uw Enterprise-organisatie, selecteer vervolgens Instellingen > SSO > Sta SAML 2.0 toe.

Om de integratie te voltooien, moet u de onderstaande informatie invoeren, die uniek is voor uw organisatie:

Daarnaast is het belangrijk om de SAML-attribuutnamen voor belangrijke gebruikersinformatie op elkaar af te stemmen. DataCamp accepteert de volgende claims: voornaam, achternaam en e-mail.

Van deze drie is e-mail verplicht voor een correcte werking van de integratie. Voornaam en achternaam zijn optioneel, maar worden aanbevolen voor de beste gebruikerservaring.

Voor deze drie velden accepteren we een lijst met attribuutnamen:

E-mail

Voornaam:

Achternaam:

Het niet verzenden van een van deze attributen resulteert erin dat de bijbehorende waarde in DataCamp niet wordt bijgewerkt. Dit betekent in feite dat:

Het verstrekken van een lege waarde voor (een van) de attributen zal echter wel de overeenkomstige waarden in DataCamp bijwerken. Hierdoor krijgen gebruikers die voor SSO een voor- of achternaam hadden, na de eerste succesvolle SSO-login een lege voor- of achternaam.

Als u de juiste informatie zowel in DataCamp als in uw IdP hebt ingevoerd, is de laatste stap het selecteren van SSO inschakelen, en dan bent u klaar! SSO is ingeschakeld voor uw organisatie.

DataCamp ondersteunt twee opties voor het configureren van het NameID-formaat:

Als u wilt dat DataCamp uw interne medewerkers-ID gebruikt als unieke identificatie in plaats van e-mail, moet u uw IdP configureren om het nameID-formaat te verzenden als "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" en de "unspecified" waarde instellen op de medewerkers-ID. Vervolgens moet u "unspecified" selecteren in uw DataCamp SSO-instellingen. U moet nog steeds de "emailAddress" als attribuut verzenden, aangezien dit vereist is voor ons platform. Hoewel optioneel, wordt sterk aanbevolen om ook de Voornaam en Achternaam als SAML-attributen te verzenden, omdat dit de enige manier is voor uw cursisten op DataCamp om hun volledige naam ingevuld te krijgen.

Zodra de IdP is geconfigureerd om de "unspecified" waarde te verzenden en de instelling is gemaakt in de DataCamp SSO-instellingen, beginnen we de medewerkers-ID voor elke gebruiker op te slaan bij het inloggen. Als u uw configuratie bijwerkt terwijl u al leden in uw organisatie heeft, hebben we hun medewerkers-ID niet totdat ze de volgende keer inloggen.

Voor bepaalde LMS- of LXP-integraties kan de medewerkers-ID vereist zijn. In dat geval moet u uw SSO-instellingen configureren om de medewerkers-ID te verzenden en op te slaan als het unspecified NameID-formaat. Als we om welke reden dan ook geen medewerkers-ID hebben (bijvoorbeeld als de gebruiker nog niet heeft ingelogd sinds u de configuratie hebt bijgewerkt), kunnen we geen informatie over het voltooien van content voor deze gebruiker verzenden totdat ze inloggen en we hun medewerkers-ID hebben opgeslagen.

U kunt de laatst gesynchroniseerde naam-ID-koppelingen zien binnen het SSO-configuratie-tabblad. Zodra we koppelingen beginnen te ontvangen, ziet u recent toegevoegde koppelingen zoals deze:

Geconfigureerd om NameID-koppelingen te ontvangen. Recent ontvangen koppelingen:

De linkerwaarde is de medewerkers-ID (bijv. 10101010) en de rechterwaarde is de e-mail.

Als de koppelingen onjuist zijn, neem dan contact op met ons ondersteuningsteam om ze te resetten.

Als JIT Provisioning is ingeschakeld, maakt DataCamp automatisch een account aan en wijst een licentie toe aan nieuwe leden wanneer ze via SSO inloggen (via hun IdP of LMS). Anders worden nieuwe leden aan de wachtlijst toegevoegd, waarvoor goedkeuring van een beheerder vereist is voordat een licentie wordt toegewezen.

Optie “JIT provisioning inschakelen”

Als u DataCamp alleen beschikbaar wilt maken voor een specifieke doelgroep binnen uw organisatie, wordt aanbevolen om JIT provisioning uit te schakelen en in plaats daarvan een van de andere uitnodigingsmethoden te gebruiken, zoals Uitnodigingslinks. Let op: JIT treedt nooit in werking totdat u expliciet toegang geeft aan uw gebruikers in de IdP of een aangepaste SSO deep link maakt en deelt (zie hieronder voor meer info).

Als SSO verplicht is, moeten alle leden en beheerders inloggen via de Identity Provider. Als SSO optioneel is, kunnen leden en beheerders inloggen via de Identity Provider of met het e-mailadres en wachtwoord dat aan hun DataCamp-account is gekoppeld.

Als u leden in uw organisatie heeft wanneer uw SSO-integratie start met SSO verplicht, of wanneer SSO wordt gewijzigd naar verplicht, worden ze onmiddellijk uitgelogd bij DataCamp en gedwongen opnieuw in te loggen via SSO.

We raden sterk aan om SSO af te dwingen om meerdere redenen, waarbij het belangrijkste voordeel is dat gebruikers automatisch worden geleid om SSO te gebruiken voor authenticatie, in plaats van de optie te hebben om een alternatieve authenticatiemethode te kiezen.

Opmerking: Hoewel we sterk aanraden om SSO af te dwingen, is het belangrijk om ervoor te zorgen dat uw SSO-configuratie correct werkt voordat u het verplicht maakt. Als voorzorgsmaatregel raden we aan de instelling optioneel te laten totdat u zeker weet dat het werkt, om te voorkomen dat u wordt buitengesloten van het account. Momenteel is er geen alternatieve methode voor organisatiebeheerders om in te loggen; iedereen moet dezelfde flow doorlopen.

Als u klaar bent met het configureren van uw SSO-instellingen, bent u klaar om SSO in te schakelen. Klik op "SSO inschakelen" onderaan het formulier om SSO in te schakelen.

Wanneer SSO is ingeschakeld, ontvangen gebruikers een e-mail waarin wordt uitgelegd dat de organisatie SSO heeft ingeschakeld en dat ze opnieuw moeten inloggen met hun SSO-gegevens.

Er staat een link in de e-mail die hen doorverwijst naar de aanmeldpagina van DataCamp. Op deze pagina moeten ze hun e-mailadres invoeren en op Volgende klikken. Als dit e-mailadres gekoppeld is aan een lid dat behoort tot een groep met ingeschakelde SSO, worden ze doorgestuurd naar de IdP-loginpagina om het aanmeldproces te voltooien. Hier moeten ze inloggen met hun SSO-gegevens. Als dit succesvol is, worden ze teruggeleid naar DataCamp met toegang tot het platform.

Gebruikers ontvangen een e-mail wanneer hun organisatie SSO inschakelt en uitschakelt

Op dezelfde manier, als een lid uit de organisatie wordt verwijderd of als SSO binnen de organisatie wordt uitgeschakeld, ontvangen ze e-mailinstructies om hun wachtwoord op DataCamp opnieuw in te stellen, zodat ze kunnen inloggen zonder SSO.

Wilt u een integratie instellen met een van de volgende IdP's? Bekijk dan onze Help-documentatie hier:

We zijn ook beschikbaar als applicatie in de Microsoft Azure Gallery.

Zoals eerder vermeld, raden we sterk aan om SSO af te dwingen om meerdere redenen, waarbij het belangrijkste voordeel is dat gebruikers automatisch worden geleid om SSO te gebruiken voor authenticatie, in plaats van de optie te hebben om een alternatieve authenticatiemethode te kiezen. We behandelen echter ook de optie om alternatieve authenticatiemethoden te gebruiken in onze documentatie, voor het geval er omstandigheden zijn waarin SSO mogelijk niet geschikt of beschikbaar is.

Opmerking: Om veiligheidsredenen, als een gebruiker al een bestaand DataCamp-account heeft voordat hij wordt uitgenodigd voor uw organisatie, moet u een van de onderstaande methoden gebruiken. Beide opties bevatten een extra verificatiestap om te bevestigen dat de gebruiker die al op het platform staat dezelfde is als in uw IdP.

U kunt een specifiek lid uitnodigen via hun e-mailadres. Het voordeel van deze uitnodigingsmethode is dat u tijdens het uitnodigingsproces ook hun rechten kunt aanpassen (bijv. ze als beheerder aanstellen).

Opmerking: Als de persoon die u probeert uit te nodigen al een account op DataCamp heeft, moet u hen uitnodigen met het e-mailadres dat ze al op het platform gebruiken, zodat hun leerprogressie wordt overgedragen.

U kunt een standaard uitnodigingslink genereren en de link aanpassen om leden automatisch aan specifieke teams toe te voegen wanneer ze op deze manier lid worden.

Enkele andere voordelen van deze uitnodigingsmethode:

Een SSO Deep Link is elke link naar een pagina op DataCamp die een bedrijfs-SSO-identificatie bevat. Wanneer een gebruiker op deze link klikt, wordt hij automatisch doorgestuurd naar de IdP om in te loggen met SSO (als ze nog niet ingelogd zijn) en vervolgens teruggeleid naar de pagina waar ze oorspronkelijk naartoe wilden. Als Just-in-time provisioning is ingeschakeld en ze nog geen DataCamp-account hebben, maken we automatisch een nieuw account voor hen aan.

Het formaat van een SSO Deep Link is: https://www.datacamp.com/groups/<GROUP_IDENTIFIER>/sso/saml/login?path=<PATH>

Een voorbeeld van een <PATH> zou "/home" zijn om naar onze startpagina te linken. U kunt SSO Deep Links naar specifieke cursussen en trackpagina’s sturen.

Als Just-in-time provisioning is ingeschakeld, kan deze uitnodigingsmethode worden gebruikt om nieuwe accounts op DataCamp aan te maken. Deze methode kan altijd worden gebruikt om in te loggen op accounts die al aan uw organisatie zijn toegevoegd. Als een gebruiker een bestaand account heeft en nog niet in de organisatie zit, worden ze automatisch als lid toegevoegd bij het inloggen.

Afhankelijk van de specifieke IdP-configuratie kunnen leden zich ook direct vanuit de IdP inschrijven door de DataCamp-applicatie in de directory te selecteren.

Als Just-in-time provisioning is ingeschakeld, kan deze uitnodigingsmethode worden gebruikt om nieuwe accounts op DataCamp aan te maken. Deze methode kan altijd worden gebruikt om in te loggen op accounts die al aan uw organisatie zijn toegevoegd. Als een gebruiker een bestaand account heeft en nog niet in de organisatie zit, worden ze automatisch als lid toegevoegd bij het inloggen.

Opmerking: sommige Identity Providers, zoals Degreed, ondersteunen geen IdP-geïnitieerde login.

Als u een van onze bestaande LMS- of LXP-integraties gebruikt, is het ook mogelijk om SSO te combineren zodat gebruikers naadloos toegang hebben tot DataCamp via SSO direct vanuit de IdP. Voor meer informatie, lees onze LMS- en LXP-documentatie.

Deze uitnodigingsmethode kan worden gebruikt om nieuwe accounts op DataCamp aan te maken (als Just-in-time provisioning is ingeschakeld) of om in te loggen op accounts die al aan uw organisatie zijn toegevoegd. Als een gebruiker een bestaand account heeft en nog niet in de organisatie zit, worden ze automatisch als lid toegevoegd bij het inloggen.

Er zijn meerdere manieren waarop uw beheerder u kan uitnodigen voor een organisatie wanneer SSO is ingeschakeld en verplicht is.

Uw beheerder kan u uitnodigen om lid te worden van hun DataCamp-organisatie via e-mail.

Opmerking: Als u al een DataCamp-account heeft onder een ander e-mailadres en u wilt dat uw cursusvoortgang wordt weergegeven in de groep, kunt u uw e-mailadres in uw profiel bijwerken voordat u de uitnodiging accepteert, en vervolgens uw beheerder vragen de uitnodiging opnieuw te verzenden (hun e-mailadres wordt opgenomen in de uitnodigingsmail). Anders maakt u een apart account aan.

Wanneer u klaar bent om te accepteren, selecteert u eenvoudig 'Groep joinen' in uw e-mail of in uw in-app meldingen als u al een account heeft. U wordt doorgestuurd naar de Identity Provider (IdP) om in te loggen met uw SSO-gegevens. Als de login succesvol is, wordt u teruggeleid naar DataCamp en krijgt u toegang tot de organisatie in DataCamp.

Opmerking: Als SSO optioneel is, wordt u doorgestuurd naar het aanmeldformulier. Omdat het optioneel is, hoeft u niet via uw IdP in te loggen!

Als SSO is ingeschakeld en verplicht, worden leden die op een uitnodigingslink klikken automatisch doorgestuurd naar de Identity Provider (IdP) om in te loggen met hun SSO-gegevens.

Na succesvolle authenticatie:

Leden kunnen zichzelf ook aan de organisatie toevoegen door eerst in te loggen bij uw IdP, de DataCamp-applicatie te vinden en op de applicatie te klikken om lid te worden. Evenzo is het meestal mogelijk om lid te worden via uw LMS- of LXP-systeem (als uw beheerder dit heeft geconfigureerd) of via een aangepaste SSO Deep Link die door uw beheerder is gemaakt. Als de organisatie Just-in-time provisioning heeft ingeschakeld en u nog geen DataCamp-account heeft, wordt er via deze uitnodigingsmethode een account voor u aangemaakt.

Opmerking: Om veiligheidsredenen, als u al een DataCamp-account heeft en nog niet in de organisatie zit, moet uw beheerder u uitnodigen met een van de alternatieve uitnodigingsmethoden die hierboven zijn genoemd.

Als u probeert lid te worden via een DataCamp-uitnodigingslink, maar uw organisatie heeft geen beschikbare licenties meer, wordt u aan een wachtlijst toegevoegd. Uw beheerder wordt geïnformeerd dat u probeert toegang te krijgen tot de organisatie. Als ze uw verzoek op de wachtlijst goedkeuren, wordt u aan de organisatie toegevoegd en ontvangt u een bevestigingsmail.

Als u eenmaal een DataCamp-account heeft aangemaakt en bent ingeschreven bij uw organisatie, kunt u op meerdere manieren met SSO inloggen bij DataCamp.

U kunt naar onze normale aanmeldpagina gaan via: https://www.datacamp.com/users/sign_in.

Voer uw e-mailadres in (dit moet hetzelfde e-mailadres zijn dat aan uw SSO-gegevens is gekoppeld). Zolang u lid bent van de organisatie, detecteren wij dat u met SSO moet inloggen en sturen u door naar uw IdP om het aanmeldproces te voltooien. Zodra dit is voltooid, wordt u teruggeleid naar DataCamp om verder te leren.

Als SSO is ingeschakeld voor uw organisatie, maar niet verplicht is, kunt u inloggen met SSO (door op de knop "Gebruik SSO" hieronder te klikken) of met uw DataCamp e-mail en wachtwoord.

De knop “Gebruik SSO” wordt weergegeven als SSO optioneel is voor uw organisatie

Leden kunnen ook inloggen bij DataCamp door eerst in te loggen bij uw IdP, de DataCamp-applicatie te vinden en op de applicatie te klikken. Evenzo kunt u meestal inloggen bij DataCamp via uw LMS- of LXP-systeem (als uw beheerder dit heeft geconfigureerd) of via een aangepaste SSO Deep Link die door uw beheerder is gemaakt. Als u al een DataCamp-account heeft en lid bent van de groep, zou dit slechts één klik vereisen om in te loggen bij DataCamp.

Voor klanten die een LMS-integratie met DataCamp hebben, bieden we een optie om gebruikers te identificeren met een LMS-identificatie, die kan verschillen van hun e-mailadres of hun NameID. Dit is handig in gevallen waarin uw leden verschillende identificaties kunnen hebben voor alle drie (e-mail, NameID en hun LMS-ID) en u een specifieke identificatie wilt gebruiken voor LMS-integraties.

Om deze functie te ondersteunen, accepteren we de LMS-identificatie als een SAML-attribuut in de SAML-respons met een van de volgende namen:

Wanneer dit naar ons wordt verzonden, registreren we het en kunnen we het gebruiken in uw LMS-integraties met DataCamp, bijvoorbeeld als gebruikersidentificatie in gebruikersvoltooiingsevenementen.

We ondersteunen het automatisch toevoegen van gebruikers aan de teams van uw DataCamp-groep via SAML-attributen door gebruik te maken van het dc_groups SAML-attribuut. Om deze functie te gebruiken, configureert u het dc_groups attribuut in uw Identity Provider (IdP) om een of meer teamnamen als waarden op te nemen, waarbij elke teamnaam een string/tekstwaarde is.

Voor meerdere teams levert u een multi-value attribuut, bijvoorbeeld:

Voor een enkel team kunt u een single-value attribuut leveren, bijvoorbeeld:

Om een gebruiker aan een bestaand team toe te voegen, is het essentieel dat de opgegeven teamnaam precies overeenkomt met de teamnaam die in DataCamp is geconfigureerd (hoofdletterongevoelig). Als een opgegeven team niet bestaat, maken we automatisch een nieuw team aan en voegen de gebruiker eraan toe.

Belangrijke opmerking (#1): Deze functie is momenteel strikt alleen aanvullend. Dit betekent dat we gebruikers nooit uit een team verwijderen. Als een gebruiker tot een of meer teams behoort, zal het verzenden van een lege dc_groups-waarde of het volledig weglaten ervan de gebruiker niet uit enig team verwijderen.

Belangrijke opmerking (#2): Momenteel wordt een gebruiker niet aan het team/de teams toegevoegd als ze tijdens de SSO-flow op de wachtlijst komen te staan of het eigendom van het account moeten bevestigen tijdens de flow. Dit komt door een beperking aan onze kant.

E-maildomein whitelist stelt uw organisatie in staat om een of meer e-maildomeinen (bijv. uwbedrijf.com) te claimen en gebruikers met overeenkomende e-mailadressen automatisch door te sturen naar uw Single Sign-On Identity Provider (IdP) tijdens zowel het aanmeld- als registratieproces.

Zodra uw domein op de whitelist staat:

Om het proces van e-maildomein whitelist te starten, neemt u contact op met uw Customer Success Manager of DataCamp Support. Als onderdeel van dit proces verifiëren we dat uw organisatie controle heeft over het/de domein(en) dat/die u wilt claimen.

Zodra SSO is ingeschakeld, ontvangen uw bestaande leden een e-mail waarin ze worden gevraagd in te loggen met hun IdP-gegevens. Nadat dit is voltooid, moeten uw leden altijd inloggen met hun IdP-gegevens zolang ze lid zijn van een organisatie met ingeschakelde SSO.

Het lid wordt toegevoegd aan de wachtlijst en er wordt een e-mail over verstuurd naar alle beheerders. Na goedkeuring van een van deze beheerders wordt een licentie toegevoegd en kan de gebruiker DataCamp gebruiken.

DataCamp ondersteunt zowel IdP- als SP (Service Provider) geïnitieerde Single Sign-On.

Ja, SSO wordt ondersteund in de mobiele app.

Er is geen DataCamp-instelling om toegang tot mobiel te blokkeren met Single Sign-On. Klanten hebben in het verleden echter toegang op mobiel kunnen blokkeren via hun IdP-configuratie.

Als een lid in uw organisatie wordt verwijderd als lid in DataCamp, ontvangt diegene een e-mail waarin wordt gevraagd nieuwe inloggegevens aan te maken. Ze worden ook gevraagd hun e-mailadres te bevestigen en een nieuw wachtwoord aan te maken. Ze hebben dan geen toegang meer tot uw organisatie of premium content als onderdeel van uw abonnement.

Als u een lid uit uw IdP verwijdert en hun IdP-inloggegevens deactiveert, kunnen ze niet meer inloggen bij DataCamp. Houd er rekening mee dat het lid niet automatisch uit de Leden-lijst van de DataCamp-organisatie wordt verwijderd; dit moet handmatig op de Ledenpagina gebeuren. Neem contact op met ons ondersteuningsteam als u hulp nodig heeft bij het verwijderen van een lid uit uw organisatie.

We vertrouwen sterk op het NameID-formaat om gebruikers uniek te identificeren op basis van de logininformatie die hun organisatie verstrekt.

Als het NameID-formaat is ingesteld op email, betekent het wijzigen van het e-mailadres in feite dat er een nieuwe gebruikersidentiteit wordt gemaakt, waardoor ze de toegang tot hun oorspronkelijke account verliezen.

Als het NameID-formaat is ingesteld op unspecified, is het wijzigen van het e-mailadres helemaal geen probleem — we werken het automatisch bij in ons systeem zolang we de gebruiker kunnen matchen op basis van hun NameID. Dit werkt echter niet als het nieuwe e-mailadres al aan een ander account is gekoppeld.

Alle certificaten zijn standaard zelfondertekend. Neem contact op met ons ondersteuningsteam als u CA-ondertekende certificaten nodig heeft.

Als u een foutmelding krijgt dat de DataCamp-link niet werkt, zoals in de onderstaande screenshot:

Of misschien een meer beschrijvende, zoals deze bij Azure AD:

Deze fouten vinden plaats bij de IdP, dus u moet contact opnemen met uw beheerder en vragen om toegang tot de DataCamp-applicatie. Helaas is dit iets wat DataCamp niet kan oplossen.

We vereisen twee ACS-URL's om zowel SP-geïnitieerde als IdP-geïnitieerde loginflows volledig te ondersteunen. Beide URL's moeten worden geconfigureerd om ervoor te zorgen dat authenticatie correct werkt, ongeacht of gebruikers het inlogproces starten vanaf de DataCamp-aanmeldpagina of rechtstreeks vanaf uw Identity Provider (IdP).

Wanneer u het SSO-certificaat bijwerkt (bijvoorbeeld vanwege verlopen), is het cruciaal dat deze update wordt gecoördineerd tussen zowel DataCamp als uw Identity Provider (IdP) om inlogonderbrekingen te voorkomen.

U heeft twee opties:

Wanneer een gebruiker probeert in te loggen via de SSO van een DataCamp-groep en we merken dat er al een bestaand DataCamp-account met dat e-mailadres is, kunnen we de gebruiker niet aan de groep toevoegen totdat ze bewijzen dat ze eigenaar zijn van het bestaande DataCamp-account. Dit wordt de Confirm Account Ownership flow genoemd.

In deze flow leiden we de gebruiker om naar het standaard aanmeldformulier waar ze het eigendom moeten bewijzen door in te loggen met hun wachtwoord (of een sociale loginprovider zoals Google). Ze kunnen het eigendom niet bewijzen door in te loggen met de SSO van de groep. Ze moeten inloggen met een van de authenticatiemethoden die op het bestaande DataCamp-account bestaan.

Zodra ze het eigendom bewijzen door in te loggen, voegen we ze toe aan de groep en kunnen ze voortaan hun groep’s SSO gebruiken om te authenticeren.