Single Sign-on

Wo

Verwaltung, Sicherheit, Single Sign-on. Jeder Anbieter fügt dem Anmeldebildschirm eine Schaltfläche "Weiter mit ..." hinzu, solange er eingeschaltet ist. SAML wird nicht unterstützt; verwenden Sie OpenID Connect.

OpenID Connect

Für Keycloak, Okta, Authentik, ADFS 2016 oder neuer oder jeden anderen OpenID-Connect-Anbieter.

1. Legen Sie beim Anbieter einen vertraulichen OpenID-Connect-Client an (Authorization Code Flow)
2. Erlauben Sie die Redirect-URI, die auf dem Panel angezeigt wird
3. Tragen Sie den Namen der Schaltfläche, den Issuer (die Adresse vor /.well-known/openid-configuration, bei Keycloak etwa https://sso.example.com/realms/company), die Client-ID und das Client-Geheimnis ein
4. Führen Sie bei Bedarf die erlaubten E-Mail-Domains auf
5. Schalten Sie ihn ein; das Einschalten prüft, ob der Anbieter antwortet

Der Anbieter muss über HTTPS erreichbar sein.

Microsoft

Für die Microsoft-365-Konten (Entra ID) Ihrer Organisation. Hereingelassen wird nur Ihr eigener Tenant.

1. Registrieren Sie im Microsoft Entra Admin Center unter App-Registrierungen eine Anwendung nur für Konten in diesem Organisationsverzeichnis
2. Fügen Sie eine Web-Plattform mit der auf dem Panel angezeigten Redirect-URI hinzu
3. Erstellen Sie unter Zertifikate und Geheimnisse ein Client-Geheimnis
4. Tragen Sie die Verzeichnis-ID (Tenant), die Anwendungs-ID (Client) und das Geheimnis ein, bei Bedarf auch die erlaubten E-Mail-Domains

Google

Die Anmeldung mit Google nutzt den Google-Client der Installation, der unter Verwaltung, Integrationen, Google Drive eingerichtet wird. Fügen Sie die auf dem Panel angezeigte Rückleitungsadresse den autorisierten Redirect-URIs des Clients hinzu. Führen Sie bei Bedarf erlaubte Google-Workspace-Domains auf: sind Domains benannt, kommen nur Konten dieser Workspaces herein, und ein privates Google-Konto mit derselben Adresse genügt nicht. Google akzeptiert nur eine https-Adresse mit Domainnamen.

Wer sich anmelden darf

Standardmäßig muss die Person bereits ein Konto mit derselben E-Mail-Adresse haben, und eine Adresse, die Google oder der OpenID-Connect-Anbieter als unbestätigt meldet, wird nicht angenommen.

Automatische Kontoerstellung ändert das. Ist "Konten bei der ersten Anmeldung erstellen" eingeschaltet, legen Sie je E-Mail-Domain eine Regel an: für welchen Anbieter sie gilt (OpenID Connect, Microsoft, Google), ob das neue Konto ein Mitarbeiter oder ein Help-Desk-Kunde ist, und optional eine Gruppe, der die Person ebenfalls beitritt. Eine Domain ohne Regel bekommt kein Konto.