Google Admin

Dieser Artikel beschreibt, wie Sie Google Workspace (Google Admin) als Identity Provider verwenden, um SAML Single Sign-On für EngageLab zu konfigurieren. Gehen Sie dabei nach dem vierstufigen Ablauf in der SSO-Konfiguration vor: Dieser Artikel entspricht dort „Schritt 1: EngageLab im IdP konfigurieren“ und „Schritt 2: IdP-Rückgabedaten eingeben“.

Voraussetzungen

• Sie verfügen über Administratorrechte für Google Workspace.
• Sie haben ein EngageLab-Konto und eine Organisation erstellt, und die Organisation verfügt über SSO-Rechte. Falls nicht, wenden Sie sich bitte an den Vertrieb.
• Die primäre E-Mail-Adresse (Primary email) der Mitglieder in Google stimmt mit der E-Mail-Adresse ihres EngageLab-Kontos überein.

Anmerkung: Google Workspace verwendet die primäre E-Mail-Adresse (Primary email) der Nutzer:innen als SSO-E-Mail-Adresse. Für dieselbe Person können nicht mehrere SSO-E-Mail-Adressen konfiguriert werden.

Schritt 1: Benutzerdefinierte SAML-App erstellen

1. Melden Sie sich in der Google Admin-Konsole an und klicken Sie im linken Menü auf „Apps“ > „Web- und mobile Apps“.

   

2. Klicken Sie auf „App hinzufügen“ und wählen Sie „Benutzerdefinierte SAML-App hinzufügen“.

   

3. Geben Sie „App-Name“ (z. B. EngageLab) und „Beschreibung“ ein und klicken Sie auf „Weiter“.

   

4. Kopieren Sie auf der Seite „Details zum Google-Identitätsanbieter“ die „SSO-URL“ und das „Zertifikat“ und bewahren Sie beides sicher auf; Sie benötigen es in Schritt 4. Klicken Sie auf „Weiter“.

   

Schritt 2: Details zum Dienstanbieter eintragen

1. Kopieren Sie die SP-Informationen in Schritt 1 des EngageLab-Konfigurationsassistenten.

   

2. Füllen Sie in Google die Seite „Details zum Dienstanbieter“ gemäß der folgenden Tabelle aus:

   Google-Feld	Wert
   ACS-URL	ACS URL aus EngageLab
   Entitäts-ID	Entity ID aus EngageLab
   Format der Namens-ID	EMAIL
   Namens-ID	Basic Information > Primary email

   

3. Klicken Sie auf „Weiter“.

Schritt 3: E-Mail-Attributzuordnung hinzufügen

Google Workspace gibt das E-Mail-Attribut standardmäßig nicht in der SAML-Assertion zurück; Sie müssen es auf der Seite „Attributzuordnung“ hinzufügen.

1. Klicken Sie auf „Zuordnung hinzufügen“ und füllen Sie die Felder gemäß der folgenden Tabelle aus:

   Google-Verzeichnisattribut	App-Attribut
   Basic Information > Primary email	email

   Als App-Attribut können Sie auch den Standard-Attributnamen für die E-Mail-Adresse http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress eintragen; EngageLab erkennt beide Schreibweisen. Bereits so konfigurierte Apps müssen nicht geändert werden.

   

   Anmerkung: In der Abbildung oben wird als App-Attribut der Standard-Attributname verwendet; die Eingabe von email hat dieselbe Wirkung.

2. Klicken Sie auf „Fertig“.

Schritt 4: Google-Informationen in EngageLab eintragen

Tragen Sie in Schritt 2 des EngageLab-Konfigurationsassistenten Folgendes ein:

Geben Sie den „SSO-Dienstname“ ein, klicken Sie auf „Fortfahren“ und schließen Sie anschließend die Organisationsautorisierung und Verifizierung gemäß der SSO-Konfiguration ab.

Anmerkung: Google Workspace unterstützt kein Single Logout. Für „IdP-Logout-URL“ können Sie dieselbe SSO-URL wie für „IdP-Login-URL“ eintragen. Zur Abmeldung siehe Häufige Fragen weiter unten.

Schritt 5: Nutzerzugriff aktivieren

Neu erstellte benutzerdefinierte SAML-Apps sind standardmäßig nicht für Nutzer:innen aktiviert und müssen manuell aktiviert werden.

1. Klicken Sie unter „Apps“ > „Web- und mobile Apps“ auf die soeben erstellte App und anschließend auf den Bereich „Nutzerzugriff“ (nicht auf die darin enthaltenen Links).

   

2. Wählen Sie unter „Dienststatus“ die Option „An für alle“ oder aktivieren Sie die App nur für bestimmte Organisationseinheiten oder Gruppen, und klicken Sie auf „Speichern“. Es kann einige Minuten dauern, bis die Einstellung wirksam wird.

   

Kontoprüfung bei der Anmeldung mit Google

Bei der Anmeldung über „SSO-Login“ auf der EngageLab-Anmeldeseite oder über einen dedizierten SSO-Login-Link prüft Google das aktuell im Browser angemeldete Google-Konto:

Google-Konto wechseln

Wenn ein 403-Fehler auftritt, prüfen Sie, ob für das Google-Konto in Schritt 5 der Zugriff aktiviert wurde, und wechseln Sie dann zum richtigen Konto, bevor Sie sich erneut anmelden. Am Beispiel von Chrome:

1. Klicken Sie oben rechts im Browser auf das Profilsymbol und wählen Sie „Chrome-Profile verwalten“.

   

2. Fügen Sie das Google-Konto hinzu, mit dem Sie sich bei EngageLab anmelden, oder wechseln Sie zu diesem, und führen Sie den SSO-Login erneut durch.

   

Alternativ können Sie sich im Inkognitomodus des Browsers anmelden. Das System führt Sie dann durch die Anmeldung beim Google-Konto, sodass Konflikte mit anderen bereits angemeldeten Konten vermieden werden.

Häufige Fragen

F: Nach dem Abmelden in EngageLab erscheint bei der Kontoauswahl ein 400-Fehler.

A: Google Workspace unterstützt kein Single Logout (SLO); über die Abmelde-Schaltfläche von EngageLab können Sie sich nicht vom Google-Konto abmelden. Melden Sie sich dazu manuell über das Google-Kontomenü im Browser ab.

F: Die Google-Authentifizierung ist erfolgreich, aber die Anmeldung bei EngageLab ist nicht möglich.

A: Prüfen Sie die Attributzuordnung aus Schritt 3: ob eine Zuordnung mit dem Google-Verzeichnisattribut Primary email hinzugefügt wurde, ob das App-Attribut email oder der Standard-Attributname für die E-Mail-Adresse ist und ob diese E-Mail-Adresse mit der E-Mail-Adresse des EngageLab-Kontos übereinstimmt.