Single Sign-On met eduID

Studenten van een andere instelling die slechts één of enkele vakken bij jouw instelling volgen, kunnen met hun eduID inloggen bij Ans. Je voegt hen toe als externe gebruikers met hun eduID en zij loggen in via SURFconext.

eduID is een gratis account van SURF dat iedereen kan aanmaken. Het is bedoeld voor studenten die geen regulier account bij jouw instelling hebben, zoals uitwisselingsstudenten of minorstudenten van een andere instelling. Voor studenten van je eigen instelling blijf je de bestaande attributen gebruiken, zoals uid, e-mail of student_number.

Hoewel het technisch mogelijk is om een eduID voor een regulier studentenaccount te gebruiken, wordt dit niet aanbevolen. Een eduID is gekoppeld aan het persoonlijke e-mailadres van de student in plaats van het e-mailadres van de instelling. Daarnaast is de eduID-identificatiecode voor elke instelling verschillend. Dit betekent dat dezelfde student voor elke instelling waar die eduID gebruikt een andere eduID-identificatiecode ontvangt.

Door deze studenten als externe gebruikers toe te voegen, kunnen zij jouw toetsen in Ans maken zonder een regulier account bij jouw instelling nodig te hebben.

Voordat je begint

Zorg ervoor dat aan de volgende vier voorwaarden is voldaan:

• De functie voor een aangepaste SAML-identiteitsprovider. Deze functie maakt deel uit van het Collaborate-abonnement. Is de functie niet actief voor jouw instelling? Vraag ons supportteam om deze te activeren.
• Een SURFconext-koppeling voor Ans waarbij eduID is ingeschakeld. Je IAM-team stelt dit in via het SURFconext-dashboard, zodat de optie eduID wordt weergegeven wanneer studenten inloggen.
• Rechten als schoolbeheerder in Ans. Je hebt deze nodig om een identiteitsprovider toe te voegen en API-tokens aan te maken.
• Het eduID van elke student. Dit is de eduID-identificatiecode voor jouw instelling die SURFconext doorstuurt als het attribuut urn:mace:eduid.nl:1.1. Je SIS- of IAM-systeem ontvangt deze meestal wanneer de student zich inschrijft.

Stap 1: Voeg SURFconext toe als identiteitsprovider

1. Ga naar Instellingen > Authenticatie.
2. Klik onder SSO-identiteitsprovider op Nieuwe identiteitsprovider.
3. Voer een Schoolnaam in. Studenten zien deze naam op het inlogscherm. Kies daarom een naam die zij herkennen, zoals de naam van jouw instelling.
4. Voer de Metadata-URL van je IdP in. Voor de productieomgeving van SURFconext is dit https://metadata.surfconext.nl/idp-metadata.xml.
5. Klik op Aanmaken.

Je kunt op dezelfde pagina ook Voorkom dat Single Sign-On accounts aanmaakt inschakelen. Ans laat dan alleen studenten inloggen die al een account hebben, zodat voor een onbekend eduID geen nieuw account wordt aangemaakt. Deze instelling is van toepassing op elke SSO-login bij jouw instelling. Gebruik deze daarom alleen als alle accounts al via je SIS of de API worden aangemaakt.

Zie voor meer informatie over identiteitsproviders Single Sign-On met SAML.

Stap 2: Voeg studenten met hun eduID toe als externe gebruikers

Je kunt het eduID alleen instellen via de Ans API en niet via de interface van Ans. De meeste instellingen automatiseren dit vanuit hun SIS- of IAM-systeem, zodat een student aan Ans wordt toegevoegd zodra die zich inschrijft.

1. Maak een API-token aan via Accountinstellingen > API-token. Kopieer het token direct: je kunt het later niet opnieuw bekijken.
2. Zoek je school-ID op. Deze staat op de pagina met API-tokens.
3. Maak een externe gebruiker aan met POST /api/v2/schools/{school_id}/external_users en vul bij edu_id het eduID van de student in.
4. Voeg de externe gebruiker toe aan de vakken waarvoor die toetsen maakt. Dit kan via de API of in Ans.

Een voorbeeld van de request body:

{
  "first_name": "Sam",
  "last_name": "de Vries",
  "email": "sam.devries@example.com",
  "role": "guest",
  "edu_id": "8331e75b-7652-4367-a870-fd1da452c405",
  "external_id": "S123456"
}

Gebruik de interactieve API-documentatie om je requests eerst te testen: klik op Autoriseren, plak je token en probeer de endpoints voor Externe gebruikers. Je kunt ook een tool zoals Postman gebruiken.

Stap 3: Studenten loggen in met eduID

Deel de volgende stappen met je studenten:

1. Ga naar ans.app en klik op Inloggen met je schoolaccount.
2. Zoek naar je instelling en selecteer deze aan de hand van de schoolnaam die je in stap 1 hebt ingevoerd.
3. Kies eduID in het SURFconext-scherm en log in.

Ans koppelt het eduID aan de externe gebruiker die je hebt aangemaakt en geeft toegang tot de bijbehorende vakken en toetsen. Studenten zien alleen de vakken waaraan zij bij jouw instelling zijn toegevoegd.

Veelgestelde vragen

Kan een student die bij meerdere instellingen studeert gegevens van de andere instellingen zien? 
Nee. Een student die met eduID is ingelogd, ziet alleen de vakken en resultaten waaraan die bij jouw instelling is toegevoegd, ook als die Ans bij andere instellingen gebruikt.

Wat gebeurt er als een student ook een regulier account bij onze instelling heeft? 
De twee accounts blijven gescheiden en hebben elk hun eigen resultaten. Elk account heeft een eigen e-mailadres nodig. Zoek in Ans op de naam van de student om beide accounts te vinden.

Een student logt in met eduID, maar Ans herkent de student niet. Wat nu? 
Controleer het volgende in deze volgorde:

• De edu_id die je hebt verstuurd, is de identificatiecode voor jouw instelling. eduID geeft elke student per instelling een andere identificatiecode. Een identificatiecode uit een andere bron komt daarom niet overeen.
• De student logt in met hetzelfde eduID dat door je SIS- of IAM-systeem is geregistreerd.
• eduID is ingeschakeld voor de SURFconext-koppeling met Ans en de koppeling geeft het attribuut urn:mace:eduid.nl:1.1 door.

Kom je er niet uit? Neem contact op met ons supportteam en vermeld het e-mailadres van de student en het tijdstip waarop de student probeerde in te loggen.

Waar kan ik meer lezen over eduID-identificatiecodes? SURF geeft meer informatie in eduID-identificatiecodes.