Om te beginnen: SAML-SSO opzetten met Parallels RAS is meer dan een simpele uitwisseling van metadata tussen twee platforms. De officiële documentatie blijft vaak aan de oppervlakte en laat juist de technische details weg die een implementatie laten slagen. Daarbij worstelen beheerders vaak met versnipperde informatie wanneer ze Entra ID aan hun VDI-farm koppelen.
Daarom delen we hier onze echte praktijkervaring om dat gat te dichten. Een basisgids volgen is niet genoeg: je moet begrijpen hoe claims en attributen samenwerken. Concreet vereist het systeem een exacte overeenkomst tussen de UPN in Entra ID en de accounts in de lokale Active Directory. We richten ons dus op de instellingen die een naadloze “Full SSO”-ervaring garanderen.
Dit artikel levert de ontbrekende puzzelstukjes voor je configuratie. Let goed op het proces voor certificaatinschrijving en je ontloopt de gebruikelijke valkuilen. Volg onze stapsgewijze aanpak hieronder om je identiteitsbeheer te vereenvoudigen en je beveiliging te versterken.
Deze gids behandelt de full SSO-modus: de SAML-authenticatie wordt helemaal doorgegeven tot in de RDP-sessie, zonder dat gebruikers hun AD-gegevens opnieuw hoeven in te voeren. Deze modus vereist een PKI (AD CS) en een werkende RAS Enrollment Server.
KB 124815 tegenover de praktijk in 2026
Voordat we beginnen, is het de moeite waard om te kijken wat de officiële KB zegt — en wat er veranderd is of ontbreekt.
Wat in KB 124815 nog werkt: het ophalen van de App Federation Metadata URL (sectie 3 van de Entra-app), het importeren van de metadata in de RAS Console en het ophalen van de SP-URL’s, en de verwijzing naar KB 124813 voor de PKI-configuratie.
Wat niet meer werkt: de KB zegt de app aan te maken via “Create your own application” → “Integrate any other application you don’t find in the gallery”. Die methode maakt nu een applicatie aan in OIDC-modus, niet SAML. De pagina Single sign-on toont “OIDC-based Sign-on” zonder mogelijkheid om naar SAML over te schakelen.
Wat de KB helemaal niet noemt: het NameID-formaat moet unspecified zijn, niet emailAddress; de claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name is nodig voor de koppeling met AD en ontbreekt in alle Parallels-documentatie; het veld “Override authentication domain” in het RAS-thema is verplicht; de SP-URL’s krijgen na elke Apply in RAS een andere index; de metadata moet opnieuw worden geïmporteerd als het Entra-certificaat is gewijzigd.
Vereisten
RAS-infrastructuur: Parallels RAS 21.x met minstens één Connection Broker en één Enrollment Server, een AD CS Enterprise CA, de certificaatsjablonen PrlsEnrollmentAgent en PrlsSmartcardLogon aangemaakt en gepubliceerd (KB 124813), de serviceaccounts svc_rasenrollment en svc_rasnla, een gevalideerde Enrollment Server (CA Server, EA Credentials en NLA Credentials allemaal groen) en de publieke FQDN ingesteld als Published Address van de RAS-site.
Identiteit: een Microsoft Entra ID-tenant, rechten als Global Admin of Application Administrator, een UPN-suffix dat overeenkomt met het Entra-domein in de lokale AD, en AD-gebruikersaccounts waarvan de UPN exact overeenkomt met de Entra-gebruikersnaam.
Stap 1 — De Enterprise Application in Entra aanmaken
Gebruik niet “Create your own application” — Entra maakt de app dan in OIDC-modus aan.
De juiste methode: Enterprise Applications → New application, en zoek in de galerie naar “Microsoft Entra SAML Toolkit”. Kies dit app-sjabloon, geef het een duidelijke naam (bijv. Parallels-RAS) en klik op Create. Deze app is vanaf het begin in SAML-modus voorgeconfigureerd.
Stap 2 — De metadata-URL van de IdP ophalen
Ga in de eigenschappen van de app naar Single sign-on → SAML → sectie 3 “SAML Certificates” en kopieer de App Federation Metadata URL:
https://login.microsoftonline.com/<tenantid>/federationmetadata/2007-06/federationmetadata.xml?appid=<appid>Stap 3 — De IdP in de RAS Console aanmaken
RAS Console → Connection → SAML → Tasks → Add. Geef het IdP-object een naam, plak de metadata-URL in Import published IdP metadata en klik op Next en daarna op Finish. RAS importeert automatisch het ondertekeningscertificaat van Entra en de SSO- en logout-endpoints.
Vink op het tabblad IdP van het aangemaakte object Allow unencrypted assertion aan. Entra stuurt standaard geen versleutelde assertions — zonder deze optie faalt RAS met:
Expected 1 EncryptedAssertion; found 0.Stap 4 — SP-URL’s ophalen en in Entra invullen
Dubbelklik op het IdP-object → tabblad SP. Controleer dat het veld Host de publieke FQDN van de RAS toont en niet de interne brokernaam. Kopieer de vier URL’s naar Entra → Basic SAML Configuration → Edit:
| Veld in RAS | Veld in Entra |
|---|---|
| SP Entity ID | Identifier (Entity ID) |
| Reply URL | Reply URL (Assertion Consumer Service URL) |
| Logon URL | Sign on URL |
| Logout URL | Logout URL |
Verwijder de standaardvermelding van de toolkit onder Identifier en vink Default aan bij de nieuwe.
Let op — de index van de SP-URL’s verandert: RAS indexeert het IdP-object bij elke Apply opnieuw. Zo kan idp_-1 bijvoorbeeld idp_2 worden. Zijn de URL’s na een Apply veranderd, werk ze dan in Entra bij voordat je test, anders krijg je:
AADSTS700016: Application with identifier '...idp_2/metadata.xml' was not found in the directoryStap 5 — Attributes & Claims in Entra configureren
Hier zit het belangrijkste en slechtst gedocumenteerde punt.
NameID-formaat — moet worden aangepast
Klik op “Unique User Identifier (Name ID)” en wijzig het Name identifier format van Email address naar Unspecified. Blijft het formaat op emailAddress staan, dan kan RAS de assertion niet verwerken. In de brokerlogs:
Failed to verify the Assertion Signature.
SAML ID: 2 - Parse Post Assert errorDe claim name — niet gedocumenteerd door Parallels
RAS gebruikt de claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name om de gebruiker in de lokale AD te identificeren. Deze claim moet in de assertion aanwezig zijn en de UPN van de gebruiker bevatten. De Entra SAML Toolkit voegt hem standaard toe, gekoppeld aan user.userprincipalname — controleer dat hij in de lijst Additional claims staat.
Zonder deze claim blijft RAS hangen in een lus met Failed to match AD User (0x00000006), zelfs als de NameID perfect is ingesteld — en geen enkele log legt uit waarom. Dit punt ontbreekt tot op vandaag in alle KB’s van Parallels.
Stap 6 — De IdP-metadata zo nodig opnieuw importeren
Na elke wijziging in de Entra-app, zeker als er een nieuw ondertekeningscertificaat is aangemaakt, klopt het gecachete certificaat aan RAS-zijde mogelijk niet meer. Symptoom in de brokerlogs:
Failed to verify the Response Signature.Oplossing: eigenschappen van het IdP-object → tabblad IdP → de metadata-URL opnieuw importeren. Daarmee wordt het Entra-certificaat aan RAS-zijde vernieuwd.
Stap 7 — Het RAS-thema configureren
RAS Console → Farm → Site → Themes → eigenschappen van het thema → tabblad Access:
- SAML Single Sign-on IdP: selecteer het IdP-object uit stap 3
- Override authentication domain: aanvinken en het NetBIOS-domein van de AD selecteren (bijv.
MICROSOFTGROUPS)
Dat tweede punt is essentieel. RAS zoekt de gebruiker in AD op sAMAccountName, niet op de volledige UPN. Zonder domeinoverschrijving probeert RAS [email protected] als sAMAccountName te vinden — en dat komt met geen enkel object overeen. Met de domeinoverschrijving haalt RAS het suffix weg en zoekt alleen op thierry.frache.
Stap 8 — Gebruikers toewijzen in Entra
Entra-app → Users and groups → Add user/group — wijs de geautoriseerde gebruikers of groepen toe. Zonder deze toewijzing geeft Entra bij de authenticatie AADSTS50105 terug.
Stap 9 — De PKI-sjablonen controleren
Als de Enrollment Server de fout 0x8009480b teruggeeft:
Failed to enroll certificate for user [UPN]
One or more signatures did not include the required application or issuance policies.
The request is missing one or more required valid signatures.is het sjabloon PrlsSmartcardLogon niet goed geconfigureerd. Controleer het tabblad Issuance Requirements: “This number of authorized signatures” = 1, “Policy type required in signature” = Application Policy, “Application policy” = Certificate Request Agent. Zie KB 124813 voor de volledige sjabloonconfiguratie.
Samenvatting — valkuilen om te vermijden
| Waargenomen fout | Oorzaak | Oplossing |
|---|---|---|
| App aangemaakt in OIDC-modus | “Create your own app” maakt OIDC aan | De SAML Toolkit uit de galerie gebruiken |
| AADSTS700016 | SP-URL’s met oude index na een Apply | URL’s in Entra bijwerken |
| Unable to parse SAML Assertion | NameID-formaat = emailAddress | Overschakelen naar Unspecified |
| Failed to verify Response Signature | Verouderd Entra-certificaat in de RAS-cache | IdP-metadata opnieuw importeren |
| Failed to match AD User (0x00000006) | Ontbrekende claim name of domeinoverschrijving | Claim + Override authentication domain controleren |
| 0x8009480b | Sjabloon PrlsSmartcardLogon verkeerd geconfigureerd | Issuance Requirements controleren (KB 124813) |
Full SSO via SAML tussen Parallels RAS en Entra ID is oppervlakkig gedocumenteerd, maar de details die het verschil maken zijn versnipperd of ontbreken. Het meest kritieke punt — de claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name — staat tot op vandaag in geen enkele Parallels-KB.
