SAML versus OpenID Connect: het juiste protocol kiezen voor Microsoft Entra ID

By Mirko Peters · 2026-10-30

Vergelijk de protocollen SAML en OpenID Connect (OIDC) in Microsoft Entra ID. Leer de belangrijkste technische verschillen, gebruikssituaties en wanneer je welke standaard kiest.

Automatically translated with AI from the original post. Read the English original

SAML en OpenID Connect (OIDC) zijn de twee belangrijkste authenticatieprotocollen achter enterprise single sign-on binnen Microsoft Entra ID. Welk protocol je kiest, hangt af van de leeftijd van de applicatie, de architectuurvereisten en de werkwijze van ontwikkelaars. Je moet afwegen of de software compatibel moet blijven met oudere enterprise-systemen of aansluiting moet vinden bij moderne cloud-native ontwikkelstandaarden.

Belangrijkste punten

• SAML is een op XML gebaseerd enterpriseprotocol, ideaal voor oudere applicaties en legacy-software.
• OpenID Connect (OIDC) is een lichtgewicht, op JSON gebaseerd protocol bovenop OAuth 2.0, ontworpen voor moderne web- en mobiele apps.
• Microsoft Entra ID ondersteunt beide protocollen native, zodat beheerders legacy- en moderne tools tegelijk kunnen beveiligen.
• Tokendiefstal en gecompromitteerde inloggegevens zijn voor beide protocollen de belangrijkste beveiligingsrisico's, en daarom zijn robuuste MFA-beleidsregels nodig.
• Of je kiest voor SAML of OIDC hangt af van de compatibiliteit van de applicatie, de mate van modernisering van de ontwikkeling en de compliance-regels van de organisatie.

SAML in de enterprise

Security Assertion Markup Language, beter bekend als SAML, is al ruim tien jaar het onbetwiste paard onder de corporate loginsystemen. Toen grote organisaties hun medewerkers toegang wilden geven tot tientallen interne en externe systemen zonder dat ze constant wachtwoorden moesten invoeren, bood SAML het robuuste raamwerk dat nodig was om complexe directory-integratie af te handelen.

In de kern verpakt SAML authenticatieberichten en gebruikersassertions in een omvangrijk, sterk gestructureerd formaat: XML. Developers zuchten vaak over de breedsprakigheid van XML, maar het blinkt uit in het overbrengen van grote hoeveelheden gedetailleerde informatie over een gebruiker. In een typische SAML-response kan het token iemands exacte afdeling, functietitel, organisatiehiërarchie, beveiligingsgroepen en specifieke autorisatieniveaus bevatten. Grote softwareleveranciers bouwden hun platforms op deze mogelijkheid, omdat IT-afdelingen granulaire controle over gebruikersmachtigingen al bij de inlogpoort wilden.

Voor beheerders van Microsoft Entra ID duikt SAML vaak op bij de integratie van oudere on-premises applicaties, gespecialiseerde ERP-systemen of enterprise SaaS-platforms die dateren uit het mobile-first cloudtijdperk. Als een oud systeem alleen SAML spreekt, of als strikte compliance-kaders en inkoopcontracten het gebruik ervan voorschrijven, configureren beheerders een SAML-verbinding via de enterprise applications-galerij om de compatibiliteit te behouden.

De opkomst van OpenID Connect voor moderne apps

Toen software verschoof van monolithische desktopinstallaties naar cloudgehoste webapps, single-page applications (SPA's) en mobiele apps, bleek de zware XML-structuur van SAML te omslachtig voor snelle ontwikkeling. Zo ontstond OpenID Connect, algemeen afgekort tot OIDC.

OIDC is rechtstreeks gebouwd bovenop OAuth 2.0 en scheidt authenticatie (bewijzen wie je bent) van autorisatie (bepalen wat je mag openen). In plaats van zware XML-bestanden verpakt OIDC claims en identiteitsgegevens in compacte JSON Web Tokens (JWT's). Dit lichtgewicht ontwerp maakt OIDC uitzonderlijk eenvoudig te integreren voor moderne ontwikkelaars in web- en mobiele frameworks.

Wanneer je Microsoft Entra ID gebruikt om in te loggen bij een moderne SaaS-tool of een zelfgebouwde cloudtoepassing, regelt OIDC op de achtergrond de tokenuitwisseling. Ontwikkelaars geven de voorkeur aan OIDC omdat het natuurlijk past bij moderne webarchitectuur, minder netwerkcapaciteit gebruikt en snel wordt verwerkt in browseromgevingen. De standaardrichtlijn van Microsoft voor de ontwikkeling van nieuwe cloudtoepassingen beveelt OIDC expliciet aan vanwege de flexibiliteit en de naadloze integratie met moderne ontwikkelstacks.

SAML- en OIDC-architecturen vergelijken

Om SAML en OpenID Connect goed te vergelijken, moet je verder kijken dan de afkortingen en nagaan hoe ze gegevens doorgeven, hoe goed ze met applicaties samenwerken en hoeveel beheerinspanning ze vragen. Een handig beeld: SAML is als een formeel, zwaar gestempeld juridisch document dat per aangetekende post wordt bezorgd, terwijl OIDC meer lijkt op een snel, versleuteld sms'je dat direct op een mobiel apparaat binnenkomt.

In onderstaande tabel staan de belangrijkste architectuurverschillen samengevat:

• Gegevensformaat: SAML gebruikt XML; OIDC gebruikt JSON (JWT).
• Onderliggend raamwerk: SAML staat op zichzelf; OIDC is gebouwd op OAuth 2.0.
• Belangrijkste toepassing: SAML past bij traditionele enterprise-applicaties en oudere SaaS; OIDC wordt ingezet voor moderne web-, mobiele en single-page-apps.
• Complexiteit voor ontwikkelaars: SAML vereist diepgaande protocolverwerking; OIDC biedt lichtgewicht, intuïtieve API-integratie.

Ondanks deze verschillen is geen van beide protocollen per definitie beter. Ze zijn simpelweg ontworpen voor verschillende tijdperken van softwareontwikkeling. Veel organisaties hebben hybride omgevingen waarin oudere tools op SAML draaien, terwijl nieuw uitgerolde cloudapplicaties OIDC gebruiken. Beide protocollen draaien dan naast elkaar binnen Microsoft Entra ID, zonder conflicten.

Beveiligingsimplicaties en tokenbeheer

Of je organisatie nu voor SAML of OIDC kiest, de basis van de beveiliging hangt volledig af van tokenvalidatie en het beheer van de levenscyclus van tokens. In een moderne single sign-on-architectuur is het meest waardevolle doelwit voor een aanvaller niet langer een statisch wachtwoord, maar een actieve sessietoken.

Omdat tokens direct toegang geven voorbij de authenticatiedeur, zonder dat er opnieuw om inloggegevens wordt gevraagd, gebruiken geavanceerde aanvallers phishingkits en adversary-in-the-middle-aanvallen om actieve tokens te onderscheppen. Om dit risico binnen Microsoft Entra ID te beperken, moeten beheerders robuuste beleidsregels voor multifactorauthenticatie (MFA) afdwingen, Voorwaardelijke toegang gebruiken om de compliance van apparaten te beoordelen en ervoor zorgen dat de levensduur van tokens passend is afgebakend.

Toegangstokens en ID-tokens zijn bewust kortlevend, vaak standaard ongeveer één uur, waardoor apps moeten vertrouwen op refreshtokens of opnieuw uitgevoerde authenticatiecontroles om gebruikerssessies veilig in stand te houden. Of het nu gaat om het verwerken van XML-assertions bij SAML of het valideren van JSON-claims bij OIDC: de applicatie moet de cryptografische handtekeningen strikt controleren aan de hand van vertrouwde certificaten van de identity provider om vervalsing te voorkomen.

Conclusie

Begrip van de verschillen tussen SAML en OpenID Connect is essentieel voor elke cloudarchitect of IT-beheerder die identiteit binnen Microsoft Entra ID beheert. Protocoldiscussies kunnen soms hoog oplopen, maar door de technische verschillen goed te begrijpen, kunnen teams pragmatische architectuurbeslissingen nemen op basis van applicatiecompatibiliteit en beveiligingseisen. Wil je meer weten over de werking van identity providers, tokenlevenscycli en moderne cloudbeveiliging? Luister de volledige aflevering en abonneer je op de podcast voor meer expertinzichten over het Microsoft 365-ecosysteem.

Veelgestelde vragen

Wat is het belangrijkste technische verschil tussen SAML en OpenID Connect?

SAML gebruikt XML om authenticatiegegevens en claims te verpakken, wat het zwaarder en complexer maakt. OpenID Connect gebruikt JSON Web Tokens (JWT's) bovenop OAuth 2.0 en biedt daarmee een lichtere en snellere ontwikkelervaring.

Kan Microsoft Entra ID tegelijkertijd SAML en OIDC aan?

Ja, Microsoft Entra ID ondersteunt beide protocollen volledig. Organisaties draaien regelmatig SAML voor oudere enterprise-applicaties naast OIDC voor moderne cloudnative software binnen dezelfde tenant.

Wanneer kiest een organisatie voor OpenID Connect in plaats van SAML?

Organisaties kiezen best voor OpenID Connect wanneer ze moderne webapplicaties, single-page applications (SPA's) en mobiele apps bouwen of integreren die snelle, lichte tokenuitwisseling en een eenvoudigere implementatie voor ontwikkelaars nodig hebben.

Brengt het kiezen van SAML boven OIDC een beveiligingsrisico met zich mee in Microsoft Entra ID?

Nee, beide protocollen zijn veilig als ze correct zijn geconfigureerd. Hun beveiliging steunt echter sterk op robuuste multifactorauthenticatie (MFA) en op het beschermen van tokens tegen diefstal of session hijacking.