toegang verlenen

Wat is het?

• Schoolproject: anoniem onveilige plekken in Almere op een kaart.
• Inloggen: alleen met Microsoft.
• Toegestaan: @arte.asgleerling.nl (leerlingen) en @asg.nl (leraren).
• Gevraagde rechten: alleen inloggen + naam en e-mail (openid, profile, email). Geen mail, bestanden of agenda.

Stappen – optie A (snelst)

1. Laat één leerling of docent inloggen. Die krijgt "Goedkeuring van beheerder vereist".
2. Open het Microsoft Entra-beheercentrum.
3. Ga naar Identiteit → Toepassingen → Bedrijfstoepassingen.
4. Zoek de app die net is aangemeld.
5. Kies Machtigingen → Beheerderstoestemming verlenen voor de organisatie.
6. Controleer: alleen openid, profile, email. Accepteer.
7. Optioneel: Eigenschappen → "Toewijzing vereist" = Ja. Wijs alleen de juiste groepen toe.
8. Klaar. Leerlingen en docenten kunnen inloggen.

Microsoft-docs: Beheerderstoestemming verlenen · Uitleg toestemming · Gebruikers/groepen toewijzen · Gebruikerstoestemming instellen

Stappen – optie B (eigen app-registratie)

1. Entra → App-registraties → Nieuwe registratie.
2. Accounttype: alleen accounts in deze organisatie (single tenant).
3. Redirect-URI: vraag deze op bij jan@mccs.nl.
4. Maak een clientgeheim aan.
5. Stuur Client-ID, Tenant-ID en geheim veilig naar jan@mccs.nl.
6. Wij koppelen het. Dan kan alléén jullie school inloggen.

Microsoft-docs: Een app registreren

Rollen in de app

• Hoofdbeheerder (makers van de app): alles, wijst technisch beheerders aan.
• Technisch beheerder (iemand van school): maakt leraren, beheert domeinen en verplichte vragen.
• Leraar: ziet speldjes, rapportage en aanvragen. Deelt geen rollen uit.

Tweestapsverificatie afdwingen

De app vraagt dit niet zelf; het account doet het. Verplicht het voor technisch beheerders en hoofdbeheerders, liefst ook voor leraren.

1. Microsoft: Entra → Beveiliging → Voorwaardelijke toegang → nieuw beleid → kies de groep beheerders → "Meervoudige verificatie vereisen".
2. Geen Entra ID P1? Zet "Standaardinstellingen voor beveiliging" aan: dan is MFA voor iedereen verplicht.
3. Google: Admin-console → Beveiliging → Authenticatie → Verificatie in 2 stappen → "Afdwingen".

Docs: Microsoft: MFA verplichten · Microsoft: standaardbeveiliging · Google: 2-stapsverificatie afdwingen