Inschakelen SSO (OIDC)

Single sign-on ("SSO") kan binnen jullie Physitrack Direct (PT Direct) account ingeschakeld worden. Hiermee loggen aangesloten zorgverleners via een OIDC-compatible authenticatie service in, zoals Azure AD, Okta, Auth0, and SURFconext.

Physitrack in de OIDC flow

In de OIDC flow is Physitrack een "Vertrouwende Partij (Relying party)", zoals hieronder weergegeven.

1. Voeg Physitrack toe aan uw OIDC leverancier

1. Ga naar uw OIDC-platform
2. Voeg Physitrack toe als een "applicatie". De redirect URI is https://(instance_name).physitrack.com/process_sso
3. U zou een client id en client secret moeten ontvangen. Deze heeft u nodig voor de volgende stap.

2. Configureer OIDC binnen uw PT Direct account

1. Log in op uw Physitrack Direct account. Dit kan als accountbeheerder, of als gemachtigde - mits deze rechten heeft om de "Authenticatie" module in te komen.
2. Ga naar Authenticatie en vul het hieronder weergegeven formulier in.
   (Bijna) alle informatie zou beschikbaar moeten zijn binnen uw OIDC-platform. Alle velden zijn verplicht.
   
   
   U zou deze informatie moeten kunnen vinden vanuit: https://(domain.of.your.oidc.provider)/.well-known/openid-configuration 
   U kunt eventueel een JSON-formatting tool gebruiken om de waarden makkelijker te kunnen zien. 
   Als u koppelt met SurfConext, hoeft u de onderstaande gegevens niet in te vullen (de koppeling met SurfConext is reeds door Physitrack ingesteld).

   

   • Cliënt id
     De id dat gegenereerd wordt voor de cliënt door uw OIDC leverancier (Physitrack is een  cliënt van de OIDC leverancier).
   • Geheim
     Het geheim dat voor deze cliënt wordt gegenereerd door uw OIDC leverancier. 
   • Gebruiker
     Het  domein van de token-gebruiker 
   • Autorisatie eindpunt
     URL zoals gegeven door de OIDC leverancier. 
   • Token eindpunt
     URL zoals gegeven door de OIDC leverancier.
   • JWKS uri
     URL zoals gegeven door de OIDC leverancier.
   • Gebruikersinfo endpoint
     URL zoals gegeven door de OIDC leverancier.
   • Beperk de gebruiker tot uitsluitend inloggen via SSO
     Wanneer dit is ingeschakeld, kunnen zorgverleners in dit PT Direct account alleen inloggen via SSO, en niet via de email + wachtwoord combinatie.  
     Dit betekent dat zorgverleners niet kunnen inloggen in Physitrack voor iOS. 

3. Toevoegen van zorgverleners aan uw PT Direct account

Dit kan ook gedaan worden onafhankelijk van het opzetten van OIDC.

Let op:

• Voordat een zorgverlener kan inloggen met SSO, moet er een account voor de zorgverlener zijn aangemaakt in Physitrack. Dit kan zowel handmatig als via een API. 
  Onze OIDC implementatie laat het niet toe om zorgverlenersaccounts aan te maken of te verwijderen. Voor grote praktijken bieden we een API aan om dit niet handmatig te hoeven doen.
• Elk zorgverlener moet een uniek e-mailadres hebben binnen Physitrack. 
• Het e-mailadres van de zorgverlener binnen Physitrack hoeft niet hetzelfde te zijn als het e-mailadres van de zorgverlener binnen het identiteitsvoorzieningssysteem (bijvoorbeeld Azure AD of SURFconext). 
• Wanneer een zorgverlener SSO heeft ingeschakeld voor zijn of haar Physitrack account, ontvangt hij/zij een e-mail met een éénmalig wachtwoord dat zij geregistreerd zijn bij Physitrack. De zorgverlener zal dit wachtwoord moeten invoeren om de SSO connectie te activeren. 

4. Klaar. Zorgverleners kunnen nu inloggen middels SSO

Zorgverleners in uw PT Direct account kunnen zich nu vanuit de Physitrack inlogpagina aanmelden door te klikken op de "Single Sign On" knop om de authenticatie via uw OIDC leverancier te starten.