Connect activeren – je logt in met Single Sign-On (SSO)
De informatie hier is van toepassing als jouw organisatie nog geen gebruik maakt van Connect en medewerkers in Elari inloggen via Single Sign-On (SSO), bijvoorbeeld automatisch via het Microsoft- of Google-account van jullie organisatie.
Log je niet in via SSO maar met een e-mailadres en zelfgekozen wachtwoord? Ga dan naar Connect activeren – je logt in met e-mailadres en wachtwoord. Gebruikt jouw organisatie Connect al bij een andere Visma-toepassing? Ga dan naar Connect activeren – je gebruikt Connect al bij een andere Visma-toepassing.
Wat heb je nodig voor het doorlopen van de 4 stappen?
- Toegang tot Applicatiebeheer in Elari.
- De hulp van je IT-afdeling: zij beheren zowel het domein van jullie organisatie (stap 2) als de instellingen van jullie Identity Provider, zoals Microsoft Entra ID, Google Workspace of Okta (stap 3). Plan dit daarom vooraf samen met IT in.
Stap 1: toegang tot de Connect Authentication Settings
Ga in Elari naar Applicatiebeheer > Organisatie > Medewerkers, open je eigen account en zet de optie Visma Connect-beheerder op Ja.
Je ontvangt hierna een e-mail om je account in Connect te activeren. Klik op de knop in die e-mail en volg de stappen. Daarna heb je toegang tot de Connect Authentication Settings via authenticationsettings.connect.visma.com.
Geen e-mail ontvangen? Dan heb je waarschijnlijk al een Connect-account, bijvoorbeeld via een andere Visma-toepassing. Je kunt dan direct inloggen op de Authentication Settings met je bestaande Connect-account.
Kun je deze optie niet aanpassen? Alleen applicatiebeheerders kunnen dit veld wijzigen. Vraag in dat geval een collega met die rechten om jou als Visma Connect-beheerder aan te wijzen.
Meer over dit beheerscherm: Authentication Settings in Connect: beleid instellen en gebruikers beheren.
Stap 2: domein verifiëren
Voor SSO is dit een harde voorwaarde: Connect koppelt je identity provider aan een geverifieerd domein. Wil je dat alle medewerkers via SSO inloggen, dan moeten ook alle e-maildomeinen die in Elari voorkomen geverifieerd zijn. De migratiepagina in Elari laat dit per domein zien en blokkeert de migratie zolang er nog domeinen ontbreken.
Voordat gebruikers via Connect kunnen inloggen, moet jouw organisatie aantonen dat zij eigenaar is van het domein achter de e-mailadressen van je gebruikers (bijvoorbeeld “voorbeeld.nl” bij het adres naam@voorbeeld.nl). Heeft jouw organisatie meerdere domeinen? Voeg die dan allemaal toe.
Dit is een technische stap: je hebt hiervoor toegang nodig tot de instellingen van jullie website of domeinregistratie. Heb je deze toegang zelf niet? Vraag je IT-afdeling, of de externe partij die jullie domein beheert, om dit voor je te doen, of geef deze persoon tijdelijk toegang tot de Connect Authentication Settings (zie stap 1).
Let op: gebruikers met een e-mailadres buiten een geverifieerd domein (bijvoorbeeld @gmail.com of @outlook.com, of adressen van externe partijen) neemt Connect wél mee in de migratie, maar zij vallen niet onder het beleid van jouw organisatie. Zij loggen in met e-mailadres en wachtwoord volgens het standaardbeleid van Visma en kunnen niet via jullie eigen SSO inloggen. Zie Wachtwoord- en 2FA-beleid in Connect.
Zo verifieer je een domein:
- Ga in de Connect Authentication Settings naar het tabblad Domains en klik op Add domain.
- Typ de domeinnaam in die jouw organisatie gebruikt (het deel na de @ in het e-mailadres). Voorbeeld: bij naam@voorbeeld.nl vul je “voorbeeld.nl” in. Klik op Next.
- Kies een verificatiemethode: DNS of HTTPS. Beide leiden tot hetzelfde resultaat. Kies wat het beste past bij hoe jullie website/domein is ingericht. Twijfel je? Je IT-afdeling of hostingpartij weet meestal direct welke van de twee van toepassing is.
Optie A: verifiëren via DNS
Een DNS-record is een technische instelling bij de partij waar jullie domeinnaam geregistreerd is (bijvoorbeeld GoDaddy, Azure of Cloudflare). Meestal beheert de IT-afdeling dit.
- Je krijgt een DNS TXT-record te zien met de bijbehorende waarde.
- Log in bij jullie DNS-provider (of vraag dit aan je IT-afdeling) en maak het TXT-record aan met de waarde uit Connect. Handleidingen voor de meest gebruikte providers: GoDaddy, AWS Route53, Azure DNS, Cloudflare, Google Cloud DNS.
- Wacht 5 minuten na het aanmaken van het record, zodat de wijziging kan doorkomen.
- Ga terug naar de Connect Authentication Settings en klik op Verify.
- Lukt het niet meteen? Wacht nog een paar minuten en probeer opnieuw. Blijft het mislukken, controleer dan of je het record correct hebt ingevoerd (let op typefouten en een onbedoelde punt aan het eind) en probeer het daarna opnieuw.
- Zodra de verificatie is gelukt, verandert de status van het domein naar Verified.
Optie B: verifiëren via HTTPS
Bij deze methode plaats je een bestand op de website van jullie domein. Ook dit doet meestal de IT-afdeling of de partij die jullie website beheert.
- Download het verificatiebestand vanuit de Connect Authentication Settings.
- Upload of publiceer dit bestand naar de hoofdmap (root) van de website van jullie domein.
- Ga terug naar de Connect Authentication Settings en klik op Verify.
- Herhaal deze stappen voor elk domein dat je wilt verifiëren.
Let op: je mag het DNS-record of het bestand pas verwijderen zodra de status echt op Verified staat.
Stap 3: SSO instellen
Nu het domein geverifieerd is, koppel je de Identity Provider (IdP) van jouw organisatie aan Connect. Dit is de belangrijkste technische stap; plan deze samen met je IT-afdeling. Technische documentatie van Connect: docs.connect.visma.com/docs/single-sign-on.
3.1 Ga naar Single Sign-On
Klik in de Connect Authentication Settings op het onderdeel Single Sign-On. Hier beheer je alle instellingen voor jullie Identity Provider: het systeem waarmee jullie organisatie gebruikers laat inloggen, bijvoorbeeld Microsoft Entra ID, Google Workspace of Okta.
3.2 Bepaal jullie ‘MyDomain’ (optioneel)
Ga naar de sectie MyDomain en kies een unieke naam voor jouw organisatie (vaak de bedrijfsnaam). Dit maakt een eigen inlog-link aan, zoals https://bedrijfsnaam.my.connect.visma.com. Stel je geen eigen MyDomain in? Dan werkt inloggen ook gewoon, via het reguliere Connect-inlogscherm. Een eigen MyDomain is dus een gemaksoptie voor een herkenbare inlog-link, geen vereiste.
3.3 Voeg de Identity Provider toe
Kies bij Identity provider het type koppeling: Add SAML2 Identity Provider of Add OIDC Identity Provider. Welke van de twee van toepassing is, weet je IT-afdeling meestal direct: dit hangt af van de techniek die jullie Identity Provider gebruikt. Kies vervolgens de juiste provider uit de lijst (bijvoorbeeld Entra ID, ADFS, Google Workspace of Okta).
3.4 Wissel gegevens uit met jullie Identity Provider
Info voor je IT-afdeling: deze stap vereist toegang tot het beheer van jullie Identity Provider (bijvoorbeeld de Microsoft Entra-portal).
- Kopieer de Identifier URL en Reply URL vanuit Connect naar jullie Identity Provider.
- Haal het metadata-bestand of de metadata-URL op vanuit jullie Identity Provider en voer dit in bij de Connect Authentication Settings. Sla de wijzigingen op.
- Zorg dat de Elari-gebruikers in jullie Identity Provider toegang hebben tot deze koppeling (bijvoorbeeld via de juiste gebruikersgroep). Gebeurt dat niet, dan krijgen zij een foutmelding bij het inloggen via SSO.
- Zorg dat het e-mailadres dat jullie Identity Provider doorgeeft exact overeenkomt met het e-mailadres in Elari. Wijkt dit af, dan komt de gebruiker niet in zijn eigen account terecht.
3.5 Test de koppeling
Test de koppeling voordat je hem zichtbaar maakt voor iedereen:
- Open jullie MyDomain-link uit stap 3.2, of ga naar de Connect-inlogpagina en vul een e-mailadres binnen het geverifieerde domein in.
- Klik op Next. Je ziet nu de knop van jullie eigen SSO-koppeling, ook als die nog niet standaard op het inlogscherm staat.
- Log in via jullie eigen inlogomgeving. Kom je terug bij Connect zonder foutmelding? Dan werkt de koppeling. Krijg je een foutmelding, controleer dan de metadata en de gebruikersgroep uit stap 3.4 met je IT-afdeling.
3.6 Maak de inlogoptie zichtbaar voor gebruikers
Zet de optie Show this IdP as a Sign-In Option on the Sign-In Page aan. Gebruikers zien vanaf nu, na het invullen van hun e-mailadres, direct de knop om via SSO in te loggen.
Wat kun je verwachten? 3 scenario’s na de migratie
Hoe de inlogervaring van jou en je collega’s verandert, hangt af van hoe jullie SSO nu is ingericht. Herken je situatie hieronder, zodat er geen verrassingen zijn. Heeft jouw organisatie een MyDomain ingesteld (stap 3.2)? Dan zie je bij het inloggen een link met jullie eigen naam erin. Zie je het algemene Connect-inlogscherm? Dan is dat net zo goed correct: MyDomain is optioneel en verandert niets aan de scenario’s hieronder.
Scenario 1: je hebt nu al een inlogscherm met een SSO-knop erin
Log je nu al in via een scherm met zowel een SSO-knop als een e-mailadres- en wachtwoordveld? Na de migratie vul je eerst je e-mailadres in op het Connect-inlogscherm. Connect herkent daarna je organisatie en toont de bijpassende SSO-knop. De ervaring blijft dus vergelijkbaar, alleen in een iets andere volgorde.
Log je nu al in via een scherm met zowel een SSO-knop als een e-mailadres- en wachtwoordveld? Na de migratie vul je eerst je e-mailadres in op het Connect-inlogscherm. Connect herkent daarna je organisatie en toont de bijpassende SSO-knop. De ervaring blijft dus vergelijkbaar, alleen in een iets andere volgorde.
Inlogscherm scenario 1
Scenario 2: je logt nu automatisch in via SSO, zonder tussenscherm
Word je nu direct doorgestuurd naar het inlogscherm van je eigen organisatie (bijvoorbeeld Microsoft of Google), zonder eerst iets in te vullen? Na de migratie vul je eerst eenmalig je e-mailadres in op het Connect-inlogscherm, waarna je automatisch wordt doorgestuurd naar je eigen SSO-omgeving.
Word je nu direct doorgestuurd naar het inlogscherm van je eigen organisatie (bijvoorbeeld Microsoft of Google), zonder eerst iets in te vullen? Na de migratie vul je eerst eenmalig je e-mailadres in op het Connect-inlogscherm, waarna je automatisch wordt doorgestuurd naar je eigen SSO-omgeving.
Inlogscherm scenario 2
Gebruikte je een aparte link om tóch met een wachtwoord in te loggen (bijvoorbeeld voor een beheerders- of servicedesk-account)? Die route verdwijnt met de migratie. Regel vooraf een alternatief:
- laat inloggen met e-mailadres en wachtwoord aanstaan in jullie Connect-beleid (Policies > Identity providers, zie Authentication Settings in Connect), zodat deze accounts een wachtwoord kunnen gebruiken;
- of neem het account op in jullie Identity Provider, zodat het via SSO kan inloggen.
Scenario 3: er is geen wachtwoordoptie binnen jullie organisatie
Kunnen jouw collega’s uitsluitend inloggen via SSO? Dan geldt na de migratie hetzelfde principe: je vult eenmalig je e-mailadres in, waarna je wordt doorgestuurd naar de inlogpagina van je eigen organisatie. Er is dan geen wachtwoordoptie, en de eventuele tweede stap bij het inloggen regelt jullie eigen Identity Provider. Connect kan in dit scenario zelf geen tweestapsverificatie afdwingen; zie Wachtwoord- en 2FA-beleid in Connect.
Kunnen jouw collega’s uitsluitend inloggen via SSO? Dan geldt na de migratie hetzelfde principe: je vult eenmalig je e-mailadres in, waarna je wordt doorgestuurd naar de inlogpagina van je eigen organisatie. Er is dan geen wachtwoordoptie, en de eventuele tweede stap bij het inloggen regelt jullie eigen Identity Provider. Connect kan in dit scenario zelf geen tweestapsverificatie afdwingen; zie Wachtwoord- en 2FA-beleid in Connect.
Stap 4: migreren
Ga in Elari naar Applicatiebeheer > Algemeen > Connect migratie. De pagina laat per stap zien of alles klaarstaat:
- Wil je dat iedereen uitsluitend via SSO inlogt? Dan moeten alle e-maildomeinen uit Elari geverifieerd zijn.
- Wil je SSO met e-mailadres en wachtwoord als terugval? Dan is minstens één geverifieerd domein plus een ingerichte SSO-koppeling nodig.
Zodra de stappen zijn afgerond, zet je bij de laatste stap het vinkje en start je de migratie.
Geen toegang tot dit menuonderdeel? Vraag een collega die applicatiebeheerder is om jouw account aan te passen via Applicatiebeheer > Organisatie > Medewerkers en de optie Visma Connect-beheerder op Ja te zetten.
Tijdens de migratie maakt Connect voor elke medewerker in Elari een account aan. Wat je kunt verwachten:
- De migratie duurt 30 tot 60 minuten, afhankelijk van het aantal medewerkers.
- Medewerkers kunnen blijven werken. Zij loggen in op de oude manier totdat de laatste medewerker is gemigreerd; daarna verschijnt het Connect-inlogscherm.
- Medewerkers die met een wachtwoord inloggen, houden hun eigen wachtwoord. Voldoet dat niet aan het wachtwoordbeleid van Connect, dan vraagt Connect bij de eerstvolgende keer inloggen om een nieuw wachtwoord. Zie Wachtwoord- en 2FA-beleid in Connect.
- Na de migratie kun je Elari ook openen via home.visma.com, waar je een tegel ziet voor elke Visma-toepassing waar je toegang tot hebt.
Let op: de migratiepagina onthoudt de status van de vorige controle. Heb je net een domein geverifieerd of je SSO-koppeling aangepast? Klik dan op Controleer opnieuw om de actuele status uit Connect op te halen.
Na de migratie log je uit bij Elari en log je opnieuw in via omgevingsnaam.elari.app (vul bij “omgevingsnaam” jullie eigen omgevingsnaam in).
Meer weten over inloggen met Connect? Lees: Inloggen en wachtwoord instellen met Connect.
Related Articles
Connect activeren – je gebruikt Connect al bij een andere Visma-toepassing
De informatie hier is van toepassing als jouw organisatie al met Visma Connect inlogt bij een andere Visma-toepassing, zoals Visma.net Financials, Nmbrs of Youforce. Wat betekent dit voor jou? We hergebruiken de bestaande Connect-instellingen van ...Connect activeren – je logt in met e-mailadres en wachtwoord
De informatie hier is van toepassing als jouw organisatie nog geen gebruik maakt van Connect en medewerkers in Elari inloggen met een e-mailadres en wachtwoord (geen SSO). Log je juist in via Single Sign-On (bijvoorbeeld via een Microsoft- of ...Connect activeren – kies je situatie
Elari gaat over op Visma Connect: een nieuwe, veiligere manier van inloggen. Ook andere Visma-toepassingen gebruiken Connect al. In dit artikel bepaal je welke situatie bij jouw organisatie past en welk artikel je moet volgen. Meer weten over wat ...Extra inlogscherm bij SSO (Connect) overslaan
Wil je dat gebruikers met SSO in één keer inloggen, zonder tussenscherm en zonder iets te typen? Combineer twee instellingen in Connect: schakel de Visma-inlog (e-mailadres en wachtwoord) uit én stel een MyDomain in. Gebruikers loggen dan direct in ...Wachtwoord- en 2FA-beleid in Connect
Connect bepaalt hoe medewerkers inloggen: welke wachtwoordregels gelden en of er een tweede stap nodig is. Voor gebruikers met een e-mailadres binnen een geverifieerd domein van jouw organisatie kun je dat beleid zelf aanpassen in de Connect ...