Inloggen met Microsoft
Engineers loggen in met hun eigen werkaccount. Microsoft regelt het wachtwoord, MFA en Conditional Access; Rollout ziet nooit een wachtwoord. Je maakt hiervoor één app-registratie in je eigen Entra en koppelt die aan Supabase.
Scroll hierheen of druk op afspelen.
App-registratie "Rollout – Login"
- Nieuwe registratie
Entra → App-registraties → Nieuwe registratie
- Naam:
Rollout – Login - Ondersteunde accounttypen: Alleen accounts in deze organisatiemap
- Omleidings-URI (Web):
https://<project-ref>.supabase.co/auth/v1/callback
Het
<project-ref>is het stuk vóór.supabase.coin je Project URL. - Naam:
- Clientgeheim maken
Certificaten en geheimen → Nieuw clientgeheim. Kopieer de Waarde (niet de id): die zie je maar één keer. Dit geheim gaat alleen naar Supabase, nergens anders heen.
- E-mailadres meesturen
Tokenconfiguratie → Optionele claim toevoegen → ID →
email. Krijg je later een melding over een ontbrekend of niet-geverifieerd e-mailadres? Voeg dan ookxms_edovtoe. - Alleen je engineers toelaten (belangrijk)
Entra → Bedrijfstoepassingen → Rollout – Login → Eigenschappen → Toewijzing vereist: Ja. Wijs daarna onder Gebruikers en groepen alleen de groep met je engineers toe.
Zonder deze stap kan iedereen in je tenant inloggen, ook de receptie of een stagiair. Ze zien dan geen data, maar het is een onnodige deur.
- Aanbevolen: Conditional Access
Maak een beleid voor deze app: MFA verplicht, alleen beheerde apparaten, en geen inlog vanuit landen waar je niet werkt.
Noteer de Toepassings-id (client-id) en de Map-id (tenant-id).
Koppelen in Supabase
Authentication → Sign In / Providers → Azure:
| Veld | Waarde |
|---|---|
| Application (client) ID | de toepassings-id |
| Secret value | de waarde van het clientgeheim |
| Azure Tenant URL | https://login.microsoftonline.com/<map-id> |
Leeg betekent: elk Microsoft-account ter wereld mag inloggen. Met je eigen map-id kunnen alleen accounts uit jouw tenant erin.
Authentication → URL Configuration: deze vul je in bij stap 6, als je adres vaststaat. Voor lokaal testen kun je alvast http://localhost:3000/auth/callback toevoegen bij de Redirect URLs.
Controleren
Na stap 4 (de app staat online) controleer je:
- Inloggen met een account buiten je tenant lukt niet
- Inloggen met een account in je tenant dat niet is toegewezen lukt niet
- Het eerste account (het adres uit
bootstrap_admin_email) kan de organisatie aanmaken - Een tweede account ziet bij de eerste keer alleen Uitnodigingscode, geen Nieuwe organisatie