Projectoverzicht & Demo
Kennisbank / Projectoverzicht & Demo
Demo modus API

Azure AD B2C → Microsoft Entra External ID

Proof of Concept — gefaseerde migratie met dual-authority-strategie · overzicht & live demo voor de bespreking met CROW

Organisatiekoppelingen
260+
SAML + OIDC (productie)
Gemigreerd (demo-set)
–
via het dashboard omgeschakeld
Nog te migreren
–
draait nog op B2C-route
PoC-onderdelen
6 / 6 aangetoond
restpunten = uitvoeringsfase
Architectuur — drie sporen naast elkaar
Pad 1 — Entra External ID
Primair
Reguliere gebruikers via OpenID Connect naar de nieuwe tenant.

Endpoint: ciamlogin.com
Protocol: OIDC / OAuth 2.0
Pad 2 — SAML dual-routing
Per organisatie
SAML-koppelingen worden per Entity ID gerouteerd op migratiestatus.

● Gemigreerd → ciamlogin.com
● Nog niet → b2clogin.com
Zeno → SCIM provisioning
Nieuw in beeld
Zeno pusht gebruikers/groepen via een SCIM-bridge naar de directory.

Keten: Zeno → SCIM → Graph → tenant
Migratie: bridge omhangen, Zeno blijft gelijk
De zes PoC-onderdelen — status & demo
1  Inloggen met een CROW-account
Aangetoond
Login, MFA (e-mailcode) en zelfstandig wachtwoordherstel, met CROW-branding.
2  Inloggen met account eigen organisatie
Grotendeels
Federatie met organisatie-tenant; naam/e-mail/organisatie komen correct terug. Rest: automatische domein-routing (voorportaal).
3  Organisatie aansluiten zonder handwerk
Grotendeels
Koppeling via Graph API in ~0,7 s, idempotent. Rest: koppelen aan de user flow blijft ~1–2 min/org.
4  Oude en nieuwe route naast elkaar
Wacht op testaccount
Per organisatie om- en terugschakelen (~0,03 s, geen herstart); identiteitsmatching over routes.
Nog wachten op een B2C-testaccount van CROW om de identity-matching tussen beide routes end-to-end te bevestigen.
5  Applicaties via een koppeling (app-naar-app)
Grotendeels
Client-credentials en eigen resource-API accepteren Entra-tokens. Rest: CROW-userendpoint dual-issuer (patch klaar) + Zeno-test.
6  Diagnostisch dashboard
Basis live
Overzicht per organisatie, omschakelen, audit-trail, rapportage.
Zeno ↔ SCIM provisioning-bridge Geanalyseerd 2026-09-17

De repo Stichting-CROW/B2C_ScimEndpoint is een Azure Function App die als vertaallaag werkt: Zeno pusht licentie-gebruikers, groepen en rollen via SCIM; de bridge vertaalt dat naar Microsoft Graph-calls tegen de directory. Dit vult het openstaande Zeno/SCIM-punt (onderdeel 4 & 5) in.

Zeno SCIM-bridge (X-Api-Key) Microsoft Graph Directory (B2C → Entra)

Prettig voor de migratie: de SCIM-interface naar Zeno is directory-onafhankelijk — Zeno hoeft niet te wijzigen, alleen de bridge wordt omgehangen naar de Entra-tenant (nieuwe app-registratie + her-registratie van de directory-extensies).

Voorbeeldapplicatie — dezelfde app, twee identity-providers
B2C → Entra External ID — live vergelijking Live

Eén en dezelfde .NET-voorbeeldapplicatie (ASP.NET Core MVC, confidential client), afgeleid van de WiU-tool, draait hier in twee vormen naast elkaar: geauthenticeerd tegen het oude Azure AD B2C en tegen het nieuwe Entra External ID. Zo is concreet te zien wat gelijk blijft (dezelfde app-code, login-flow en /api/me-aanroep) en wat structureel anders wordt (één authority i.p.v. policies, domain_hint i.p.v. authority-switch, dual-issuer).

B2C-luik
Huidig (b2clogin.com)
Tenant crowacceptatiesso; login via B2C-policy, gebruikersgegevens via CROW SSO.
Entra-luik
Nieuw (ciamlogin.com)
Tenant crowssodevelopment; login via user flow + domain_hint, dual-issuer-validatie. De /api/me-stap toont de bekende userendpoint-bevinding (HTTP 500, dual-issuer-patch ligt klaar).
Belangrijkste bevindingen
  • Automatische domein-routing is niet standaard — eigen voorportaal (domain_hint) nodig.
  • Een bestaande CROW-backend gaf HTTP 500 op een Entra-token; dual-issuer-patch ligt klaar.
  • Huidige inlog gebruikt vermoedelijk custom policies (IEF) — opnieuw op te bouwen.
  • MFA: e-mailcode/passkey wél, Authenticator/TOTP niet in External ID.
  • SAML-mechaniek generiek bewezen, nog niet tegen een echte productiekoppeling.
Wat vraagt eerst iets van CROW
  • Userendpoint dual-issuer maken; welke backends valideren nog hardcoded op B2C?
  • Bevestigen hoe interne app-naar-app-koppelingen nu authenticeren.
  • Toegang tot één echte productie-SAML-koppeling om te toetsen.
  • Bevestigen of/welke custom policies opnieuw gebouwd moeten worden.
  • Zeno/SCIM: app-registratie + extensies in de Entra-tenant; secrets roteren; eigenaarschap.
Live demo-omgevingen
Testlogin
poc-login.itarr.net — login, MFA, herstel, federatie, matching
Dashboard
migratiestatus per organisatie, om-/terugschakelen
SAML SP
SP-metadata & ACS-testendpoint
Dashboard-API
live JSON — voortgang & partners