XFA instellen als identity provider voor Proton Pass en Proton VPN Beta

Anders dan bij de andere identity-provider-gidsen is XFA hier zelf de identity provider: Proton laat het aanmelden over aan XFA, dat gebruikers aanmeldt met een passkey en hun toestel controleert.

Let op: deze gids gaat ervan uit dat je organisatie een XFA-account heeft, dat jij daar beheerder van bent in XFA en dat je beheerder bent van een Proton for Business-organisatie met een abonnement met single sign-on (Proton Pass Professional, Proton VPN Professional of Enterprise, of VPN and Pass Professional). Heb je nog geen XFA-account, maak er dan een aan op https://dashboard.xfa.tech/signup.

Proton als identity provider is in bèta en blijft uitgeschakeld tot XFA het aanzet voor je organisatie. Zie je Proton koppelen niet onder Identity provider, en ook de tegel Proton niet op de pagina Enforcement, dan heeft je organisatie het nog niet: neem contact op met support@xfa.tech en we zetten het voor je aan.

Hoe het werkt

Meldt een gebruiker zich bij Proton Pass of Proton VPN aan met Sign in with SSO, dan stuurt Proton hem naar XFA. XFA authenticeert hem met een passkey op een toestel dat hij bij XFA koppelde (Built-in passkey), controleert de beveiligingsstatus van het toestel en stuurt een ondertekende SAML-assertion naar Proton. Proton vertrouwt die en laat hem binnen.

Omdat XFA het aanmelden overneemt, typt de gebruiker nooit een Proton-wachtwoord. Zijn eerste toestel komt op gang via een herstelstap die een beheerder instelt (hieronder). Daarna is aanmelden één tik op de passkey op een vertrouwd toestel.

Single sign-on in Proton geldt per geverifieerd domein. Proton Pass en Proton VPN delen de single-sign-on-configuratie van de organisatie, en deze handleiding behandelt die twee.

Maak een Proton-koppeling aan in het XFA-dashboard

Meld je aan bij het XFA-dashboard, open Identity provider in de zijbalk en klik op Proton koppelen. (Je kunt ook naar de pagina Enforcement gaan, op New klikken en de tegel Proton kiezen.) XFA maakt de koppeling aan en opent de begeleide setup: vier stappen die je in willekeurige volgorde doorloopt tussen XFA en je Proton-beheerpaneel.

Stel onder Basis in:

een naam voor de koppeling en het beleid waarvan de toestelcontroles gelden bij het aanmelden;
Toegestane e-maildomeinen: het domein of de domeinen die je in Proton aan single sign-on toevoegt (bijvoorbeeld example.com). XFA authenticeert en bevestigt alleen e-mailadressen in die domeinen of in de e-maildomeinen van je organisatie; alles daarbuiten wordt geweigerd. Staan er hier noch in de e-maildomeinen van de organisatie domeinen, dan kan niemand zich aanmelden (fail-closed), dus stel dit in voor je live gaat.

Stap 1, XFA toevoegen als identity provider in Proton, toont de waarden die Proton nodig heeft om XFA te vertrouwen:

Metadata-URL: de SAML-metadata van XFA voor deze koppeling. Proton importeert die in één keer.
Entity ID (Proton noemt dit ook de Issuer), Aanmeld-URL en een certificaat dat je kunt downloaden, voor als Proton om tekstvelden vraagt.

Laat dit tabblad openstaan; je komt erop terug zodra Proton zijn eigen waarden toont.

Eén identity-provider-koppeling per organisatie

XFA ondersteunt één identity-provider-koppeling per organisatie. Heb je al Google Workspace of een generieke SAML identity provider gekoppeld, verwijder die koppeling dan eerst; tot dan is de tegel Proton uitgeschakeld.

Klik voor je verdergaat op Opslaan en later verdergaan om de koppeling op te slaan. Onboarding links en aanmeldingen gebruiken de opgeslagen Toegestane e-maildomeinen en het opgeslagen beleid, niet wat nog onopgeslagen op de pagina staat.

Gebruikers klaarzetten voor hun eerste toestel

Omdat XFA nu het aanmelden verzorgt, heeft een gloednieuw toestel nog geen passkey, en zodra single sign-on aanstaat voor een domein kunnen zijn leden Proton alleen nog via XFA bereiken. Daarom zet een beheerder het eerste toestel op gang, voordat je single sign-on in Proton inschakelt.

Geef op de pagina Personen (onder Identiteit) elke gebruiker die zich via XFA gaat aanmelden een secondary email: een persoonlijk of ander adres dat hij kan bereiken. Daarna kun je hem op dat adres een onboarding link sturen, waarmee hij zijn passkey registreert zonder ooit een wachtwoord te typen. De link werkt maar één keer en is 7 dagen geldig.

Klik op Nieuwe gebruiker om gebruikers toe te voegen. Wil je liever geen link mailen, dan kun je in plaats daarvan een one-time onboarding password voor een gebruiker genereren en die via een kanaal naar keuze aan hem bezorgen.

Mensen die Proton Pass of Proton VPN al gebruiken, behouden hun gegevens. Vanaf het moment dat single sign-on aanstaat voor hun domein, melden ze aan met Sign in with SSO.

Onboarding links versturen

Wil je later links sturen, selecteer dan de gebruikers op de pagina Personen en klik op Onboardinglink versturen. XFA zet de e-mails in de wachtrij en verstuurt ze in de komende minuten; daarna toont de pagina Personen Link verstuurd op met de datum.

XFA slaat over, en vertelt je waarom:

gebruikers die al ingeschreven zijn,
gebruikers zonder secondary email,
gebruikers die minder dan 7 dagen geleden een link kregen. Klik op Toch opnieuw versturen om een nieuwe te sturen; die vervangt de eerdere link.

De onboardingstatus van elke gebruiker staat op de pagina Personen: Ingericht, Link verstuurd op, Ingeschreven, of Inschrijving onbekend als XFA het niet kon nagaan.

Single sign-on instellen in Proton

Ga in je Proton-beheerpaneel (het beheerpaneel van Proton Pass, of account.protonvpn.com voor Proton VPN for Business) naar Single sign-on > SAML authentication > Configure SAML:

Voer je bedrijfsdomein in en klik op Add domain.
Zet het DNS TXT-record dat Proton toont bij je domeinprovider en klik op Continue. Proton verifieert het domein voordat het de identity provider aanvaardt; een nieuw DNS-record kan even duren om te verspreiden.
Importeer de identity-provider-metadata via URL, met de Metadata-URL uit XFA, en klik op Continue. Vraagt Proton om Text fields, voer dan de Entity ID van XFA in als entity ID, de Aanmeld-URL als single-sign-on-URL, en upload of plak het XFA-certificaat.
Proton toont nu zijn Assertion Consumer Service (ACS) URL en Issuer ID. Klik op Done en daarna op See details om de configuratie na te kijken.

De waarden van Proton zijn voor elke organisatie dezelfde:

Issuer ID: https://sso.proton.me/sp
Assertion Consumer Service (ACS) URL: https://sso.proton.me/auth/saml

XFA stuurt het e-mailadres van de persoon als NameID, in het emailAddress-formaat dat Proton vraagt. Proton koppelt het aan het lid met dat adres.

Een organisatie kan tot vijf domeinen instellen. Elk domein wordt apart in Proton ingesteld en moet naar dezelfde identity provider verwijzen; voeg ze allemaal ook toe aan Toegestane e-maildomeinen in XFA.

Rond de integratie af in het XFA-dashboard

Terug in het XFA-dashboard:

Stap 2, Waarden van Proton bevestigen: XFA heeft de Issuer ID en ACS URL van Proton al ingevuld, want die veranderen nooit. Vergelijk ze met wat Proton toont onder See details en klik op Markeren als klaar. Is een waarde ooit aangepast en verschilt die, dan zet Waarden van Proton gebruiken die terug.
Stap 3, Single sign-on inschakelen voor je mensen: controleer dat je domein als geverifieerd staat in Proton, dat elk domein in Toegestane e-maildomeinen staat en dat elke persoon een XFA-identiteit heeft (zie Gebruikers klaarzetten voor hun eerste toestel). Klik op Markeren als klaar zodra dat in orde is.
Stap 4, Controleren en testen: klik op Mijn invoer controleren, test dan een aanmelding met een lid van je domein en vink Ik heb het getest en het werkt aan.

Klik op Instellen afronden om de koppeling op te slaan.

Ondertekende aanvragen

Proton ondertekent de aanmeldaanvragen die het naar XFA stuurt. Standaard aanvaardt XFA die zonder de handtekening te controleren. Wil je dat XFA ze wel verifieert, open dan de koppeling, zet Ondertekende aanvragen vereisen aan en plak het ondertekeningscertificaat van Proton in Ondertekeningscertificaat van de service provider. Het certificaat staat in de SAML-metadata van Proton op https://sso.proton.me/saml/metadata; Proton kan het vernieuwen, en aanmelden werkt dan pas weer zodra je het nieuwe certificaat plakt.

Het eerste toestel: de gebruiker opent de onboarding link uit zijn secondary email (of voert het onboarding password in dat je hem gaf) en registreert een passkey op zijn toestel. XFA controleert daarbij de beveiliging van het toestel, en die passkey is vanaf dan zijn aanmelding bij Proton.
Elk volgend toestel: in een Proton Pass- of Proton VPN-app, of op account.proton.me, klikt de gebruiker op Sign in with SSO en voert hij zijn e-mailadres in. Hij tikt op zijn passkey, zonder wachtwoord en zonder verder iets te typen, en XFA laat het nieuwe toestel bevestigen op een toestel dat hij al gekoppeld heeft, voordat hij wordt aangemeld.

Hoe zit het met een tweede factor?

XFA vervangt het aanmelden met een Proton-wachtwoord volledig, dus er is geen aparte tweede factor die je kunt verliezen: de passkey op een toestel dat je in XFA uitdrukkelijk vertrouwt, is de sterke factor. Dat is de Built-in passkey van XFA. Lees meer in de documentatie over Built-in passkey.