Single Sign-on (SSO)

#Was es kann

Mit eingeschaltetem Single Sign-on geht ein Mitglied auf die Anmeldeseite, wählt Single Sign-on verwenden und wird zu Ihrem Anbieter geschickt. Wenn der Anbieter sagt, wer die Person ist, meldet Auddomate sie an. Neue Personen können bei ihrer ersten Anmeldung angelegt werden, sodass der Beitritt zur Organisation nur davon abhängt, in Ihrem Verzeichnis zu sein. Inhaber können es für alle verlangen und behalten ihr eigenes Passwort als Rückfall, damit niemand je ausgesperrt wird.

#OpenID Connect oder SAML?

Beide tun dasselbe: Ihr Anbieter bürgt dafür, wer jemand ist, und Auddomate vertraut ihm. OpenID Connect ist das neuere, einfachere Protokoll — drei Werte zum Kopieren, und den Rest erklärt der Anbieter Auddomate selbst. SAML 2.0 ist der ältere Unternehmensstandard, auf signierten XML-Dokumenten aufgebaut; danach fragt ein Identitätsteam mit lange bestehender Föderation oder eine vor zehn Jahren geschriebene Beschaffungs-Checkliste. Wählen Sie, was Ihr Anbieter leichter macht. Der Rest dieser Seite gilt für beide, sofern nicht anders gesagt.

#OpenID Connect einrichten

1. Legen Sie bei Ihrem Anbieter eine Webanwendung mit OpenID Connect und dem Authorization-Code-Flow an. Geben Sie ihr die Redirect-URI, die Auddomate unter Einstellungen → Single Sign-on zeigt.
2. Kopieren Sie die Issuer-URL, die Client-ID und das Client-Secret des Anbieters in denselben Abschnitt. Auddomate liest die OpenID-Konfiguration des Anbieters vom Issuer, es gibt also nichts weiter einzutippen.
3. Geben Sie Ihre E-Mail-Domain ein. Personen mit dieser Domain werden von der Single-Sign-on-Seite zu Ihrem Anbieter geleitet, und nur sie können automatisch beitreten.
4. Speichern Sie, dann drücken Sie Anmeldung testen. Sie werden zu Ihrem Anbieter und zurück geschickt; die Seite bestätigt den Rundlauf.
5. Sobald es funktioniert, schalten Sie Single Sign-on für Mitglieder verlangen ein, wenn Passwörter für alle außer Inhabern ausgemustert werden sollen.

#SAML 2.0 einrichten

1. Wählen Sie unter Einstellungen → Single Sign-on SAML 2.0. Auddomate zeigt seine Entity-ID und seine Assertion-Consumer-Service-URL und bietet unter der angezeigten Adresse eine Metadatendatei an — die meisten Anbieter nehmen die Datei und füllen daraus alles aus.
2. Legen Sie bei Ihrem Anbieter eine SAML-Anwendung mit diesen beiden Werten an. Lassen Sie ihn die E-Mail der Person als NameID (E-Mail-Adressformat) oder als Attribut namens email senden; ein Anzeigename-Attribut wird verwendet, wenn vorhanden.
3. Kopieren Sie die Anmelde-URL und das Signaturzertifikat des Anbieters in Auddomate. Die Entity-ID des Anbieters ist optional; geben Sie sie an, muss jede Assertion sie nennen.
4. Speichern Sie, dann drücken Sie Anmeldung testen. Sie werden zu Ihrem Anbieter und zurück geschickt; die Seite bestätigt den Rundlauf.

Die Verschlüsselung von Assertions muss aus sein — Auddomate prüft Signaturen, es entschlüsselt nicht. Signieren Sie die Assertion, die Response oder beides; alles Unsignierte wird abgelehnt.

#Was geprüft wird

Bei SAML wird jede Response als reines XML mit deaktivierten externen Entitäten gelesen, die Signatur der Assertion oder der Response gegen das hinterlegte Zertifikat verifiziert, der Digest des signierten Teils neu berechnet, und Issuer, Audience, Recipient, Gültigkeitsfenster und In-Reply-To der Assertion werden gegen die Anfrage geprüft, die Auddomate gesendet hat. Jede Assertion wird einmal akzeptiert.

Bei OpenID Connect verwendet Auddomate den Authorization-Code-Flow mit PKCE, verifiziert die Signatur des Anbieters auf dem Identity-Token gegen dessen veröffentlichte Schlüssel und prüft Issuer, Audience, Ablauf und die einmalige Nonce jeder Anmeldung. Das Client-Secret wird verschlüsselt gespeichert. Nur die RSA-Signaturalgorithmen werden akzeptiert.

#Wer hineinkommt

• Eine Person, die mit derselben E-Mail bereits in Ihrer Organisation ist, wird bei ihrer ersten Single-Sign-on-Anmeldung zugeordnet und verknüpft.
• Jemand Neues wird als Mitglied angelegt, wenn der automatische Beitritt an ist und seine E-Mail zu Ihrer Domain gehört. Andernfalls wird ihm gesagt, einen Inhaber um eine Einladung zu bitten.
• Inhaber behalten immer die Passwortanmeldung, sodass ein Ausfall des Anbieters die Organisation nicht aussperren kann.