BiAccounts in applicaties
Entra ID Bitwarden koppeling: leden en groepen uit Entra ID, toegang dicht bij uitschakelen
Met een koppeling tussen Microsoft Entra ID en Bitwarden worden gebruikers en groepen uit Entra ID leden en groepen in de Bitwarden-organisatie, en verliest iemand zijn toegang tot gedeelde collecties zodra zijn account in Entra ID wordt uitgeschakeld. Bitwarden levert daarvoor zelf een SCIM-koppeling met Entra ID; KoppelHet komt erbij voor geneste groepen, het herstellen van bestaande leden en de koppeling van groepen aan collecties.
Wat de koppeling doet
Organisaties die wachtwoorden voor klantportalen en andere systemen per team in Bitwarden-collecties bewaren, laten de IT-beheerder leden met de hand toevoegen. Wie vertrekt, staat na zijn laatste dag nog in de Bitwarden-organisatie, met toegang tot de collectie van zijn team.
- IT wijst de groepen per team in Entra ID toe aan de Bitwarden-app.
- De leden komen klaargezet in Bitwarden, met hun groepen. De groep bepaalt tot welke collectie iemand toegang krijgt.
- De nieuwe collega krijgt een uitnodiging, maakt een account of logt in, en een beheerder bevestigt hem in de organisatie.
- Verlaat iemand een groep in Entra ID, dan verliest hij in Bitwarden die groep en de bijbehorende collectie, maar blijft hij lid.
- Schakelt IT het account in Entra ID uit, dan wordt het lid in Bitwarden ingetrokken. Na definitief verwijderen in Entra ID verdwijnt het lid uit de organisatie.
Waar je op let bij Microsoft Entra ID en Bitwarden
- Standaard koppelt de Entra-app een lid op het e-mailadres. Verandert iemands e-mailadres, bijvoorbeeld na een huwelijk, dan raakt zijn Bitwarden-account volgens Bitwarden los en gaat er een tweede uitnodiging uit. Bitwarden raadt aan te koppelen op het objectId uit Entra ID.
- Leden die al vóór die instelling bestonden, hebben in Bitwarden nog geen objectId. Bitwarden verwijst daarvoor naar de Public API. KoppelHet zet eenmalig bij elk bestaand lid het objectId uit Entra ID, op basis van het e-mailadres, en meldt wie niet te koppelen is.
- Uitschakelen of zacht verwijderen in Entra ID trekt het lid in Bitwarden in. Pas als Entra ID de gebruiker na dertig dagen definitief verwijdert, verdwijnt het lid uit de organisatie. Een vergissing is in die periode dus te herstellen zonder nieuwe uitnodiging.
- De provisioning van Entra ID neemt alleen directe leden van een toegewezen groep mee. Is de groep van een team opgebouwd uit subgroepen, dan komen die mensen niet in Bitwarden. KoppelHet leest de geneste groepen uit en zet de leden zelf in de Bitwarden-groep.
- Een groep die in Bitwarden een nieuwe naam krijgt, springt bij de volgende ronde terug naar de naam in Entra ID. Groepsnamen wijzigen jullie dus in Entra ID; de collecties en hun rechten beheer je in Bitwarden.
- Wie een groep in Entra ID verlaat, verliest in Bitwarden alleen die groep en blijft lid van de organisatie. Een medewerker die van team wisselt, houdt zo zijn eigen kluis en krijgt de collectie van zijn nieuwe groep.
- Een ingetrokken lid neemt in Bitwarden geen licentieplaats in. Gebruikers die met een vertrouwd apparaat inloggen in plaats van met een hoofdwachtwoord, zijn bij intrekken volledig buitengesloten.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet alleen de SCIM-koppeling van Bitwarden?
Vaak is die genoeg. Kies voor aanvulling als je al een organisatie met leden hebt die eerst aan Entra ID gekoppeld moeten worden, of als je groepen uit subgroepen bestaan.
Kan de koppeling ook het hoofdwachtwoord of de bevestiging regelen?
Nee. Het nieuwe lid accepteert zelf de uitnodiging en een beheerder bevestigt het lid; zo wisselt Bitwarden de sleutels uit die nodig zijn voor gedeelde collecties.
Kunnen we de EU-omgeving van Bitwarden gebruiken?
Ja. De Public API bestaat voor de Amerikaanse en de Europese cloud van Bitwarden; KoppelHet gebruikt de omgeving waar jullie organisatie staat.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Bitwarden SCIM voor Entra ID - een niet-galerij enterprise-app met Bearer-authenticatie, de SCIM URL als Tenant URL en de SCIM API key als Secret Token. Aanbevolen mapping externalId naar objectId (matching precedence 1) en userName naar userPrincipalName of mail (precedence 2); groepen met displayName, members en externalId naar objectId. Nieuwe leden komen standaard klaargezet; Bitwarden raadt aan automatische uitnodigingen voor Entra uit te laten.
- KoppelHet leest Entra ID via Microsoft Graph (users en transitive group members) en schrijft naar de Bitwarden Public API (api.bitwarden.com of api.bitwarden.eu) met de organisatie-API-sleutel (client_credentials, scope api.organization, token 3600 seconden). Het externalId van bestaande leden via /public/members/{id}; intrekken en herstellen via de member-endpoints die sinds release 2026.2 in de Public API staan.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Microsoft Entra ID | Veld in Bitwarden | Toelichting |
|---|---|---|
id (objectId) | externalId | Matchen op het objectId, niet op het e-mailadres |
mail of userPrincipalName | emails en userName | |
displayName | displayName | |
accountEnabled en soft delete | active (ingetrokken bij false) | |
Groep: displayName | Groep: displayName | |
Groep: id (objectId) | Groep: externalId | |
Groepsleden | Groep: members |
Gerelateerd
ADP GlobalView → Microsoft Entra ID
ADP GlobalView Entra ID koppeling: accounts per land uit de internationale payroll
ADP iHCM → Microsoft Entra ID
ADP iHCM Entra ID koppeling: accounts uit de ADP-payroll, in elk Europees land met de juiste licentie
ADP Workforce Now → Microsoft Entra ID
ADP Workforce Now Entra ID koppeling: Microsoft-accounts uit ADP, met het werkadres terug in ADP
AFAS Profit → Microsoft Entra ID
AFAS koppelen met Microsoft Entra ID