Single Sign-On (SSO)

Bevor Sie beginnen

SSO wird mit dem Eigentümerkonto im Menü „SSO“ Ihres Kundenbereichs eingerichtet. Dort wird die Weiterleitungs-URI angezeigt, die Sie bei Ihrem Anbieter eintragen: Sie gilt für Web-Tresor, Erweiterung und Apps.

Microsoft Entra ID

1. Im Entra Admin Center „App-Registrierungen“ → „Neue Registrierung“: nur Konten in diesem Organisationsverzeichnis (einzelner Mandant), Plattform „Web“, Umleitungs-URI (in Ihrem Kundenbereich angezeigt).
2. Notieren Sie die „Anwendungs-ID (Client)“ und die „Verzeichnis-ID (Mandant)“: Der Aussteller ist https://login.microsoftonline.com/<Verzeichnis-ID>/v2.0 (niemals /common oder /organizations).
3. „Zertifikate & Geheimnisse“ → neuer geheimer Clientschlüssel: Kopieren Sie den Wert (nicht die geheime ID) und notieren Sie das Ablaufdatum (höchstens 24 Monate).
4. Delegierte Microsoft-Graph-Berechtigungen openid, email, profile, offline_access, User.Read mit Administratorzustimmung; optionalen Anspruch „email“ hinzufügen; „Zuweisung erforderlich“ aktivieren, um den Zugriff auf eine Gruppe zu beschränken. Jeder Benutzer braucht eine E-Mail-Adresse im Profil.

Google Workspace

1. In der Google Cloud Console Ihrer Organisation „APIs & Dienste“ → „OAuth-Zustimmungsbildschirm“: Typ „Intern“ (beschränkt auf Konten Ihrer Workspace-Domain).
2. „Anmeldedaten“ → „OAuth-Client-ID erstellen“ → „Webanwendung“, autorisierte Weiterleitungs-URI (in Ihrem Kundenbereich angezeigt).
3. Kopieren Sie Client-ID und Clientschlüssel. Der Aussteller ist https://accounts.google.com.
4. Wir fügen automatisch die Parameter hinzu, die nötig sind, um die Sitzung aktiv zu halten (access_type=offline, prompt=consent).

Keycloak

1. Legen Sie in Ihrem Realm einen OpenID-Connect-Client mit aktivierter „Client authentication“ und Standard-Flow (Autorisierungscode) an; gültige Weiterleitungs-URI (in Ihrem Kundenbereich angezeigt).
2. Verlangen Sie PKCE mit der Methode S256 und setzen Sie die Lebensdauer der Zugriffstoken auf mindestens 10 Minuten.
3. Kopieren Sie das Secret aus dem Reiter „Credentials“. Der Aussteller ist https://<Ihr Server>/realms/<Realm>, identisch mit dem Feld „issuer“ der OpenID-Konfiguration.
4. Nur Benutzer mit in Keycloak bestätigter E-Mail-Adresse können sich anmelden.

SSO aktivieren

1. Wählen Sie in Ihrem Kundenbereich Ihren Anbieter und geben Sie Aussteller, Client-ID und Clientschlüssel ein.
2. Geben Sie das Ablaufdatum des Schlüssels an: Wir warnen Sie vor dem Ablauf.
3. Aktivieren Sie „SSO aktivieren“ und speichern Sie. Der Status wechselt zu „aktiv“, sobald die Einstellungen auf Ihren Tresor angewendet wurden.
4. Testen Sie eine echte Anmeldung mit einem Administratorkonto, im Web-Tresor und in der Erweiterung.

Zum Entsperren des Tresors wird weiterhin das Master-Passwort abgefragt: Es entschlüsselt Ihre Daten, und Ihr Identitätsanbieter kennt es nicht.

SSO verpflichtend machen

Sobald sich alle mindestens einmal per SSO angemeldet haben, aktivieren Sie „SSO für alle Benutzer verpflichtend machen“. Die Einstellung gilt für den gesamten Tresor: Konten ohne Identität bei Ihrem Anbieter werden gesperrt.

Clientschlüssel erneuern

Ein abgelaufener Schlüssel blockiert alle SSO-Anmeldungen. Erstellen Sie vor dem Ablauf bei Ihrem Anbieter einen neuen Schlüssel und geben Sie ihn in Ihrem Kundenbereich ein. Lassen Sie das Feld leer, um den aktuellen Schlüssel zu behalten.

Wenn jemand das Unternehmen verlässt

1. Deaktivieren Sie das Konto bei Ihrem Identitätsanbieter.
2. Entfernen Sie die Person in der Verwaltungskonsole aus der Organisation.
3. Dadurch wird der Platz frei und das Konto deaktiviert; die Daten bleiben erhalten.
4. Ändern Sie die gemeinsamen Passwörter, auf die die Person Zugriff hatte.