Microsoft Azure

Dieser Artikel beschreibt, wie Sie Microsoft Azure (Microsoft Entra ID) als Identity Provider verwenden, um SAML Single Sign-On für EngageLab zu konfigurieren. Gehen Sie dabei nach dem vierstufigen Ablauf in der SSO-Konfiguration vor: Dieser Artikel entspricht dort „Schritt 1: EngageLab im IdP konfigurieren“ und „Schritt 2: IdP-Rückgabedaten eingeben“.

Voraussetzungen

• Sie verfügen über Administratorrechte für Microsoft Entra ID in Microsoft Azure (Berechtigung zum Erstellen von Unternehmensanwendungen).
• Sie haben ein EngageLab-Konto und eine Organisation erstellt, und die Organisation verfügt über SSO-Rechte. Falls nicht, wenden Sie sich bitte an den Vertrieb.
• Sie haben in EngageLab unter „Persönlicher Bereich“ > „SSO“ > „SSO konfigurieren“ den Konfigurationsassistenten geöffnet und können die SP-Informationen kopieren.

Schritt 1: Unternehmensanwendung erstellen

1. Melden Sie sich beim Microsoft Azure-Portal an und öffnen Sie „Microsoft Entra ID“.

   

2. Navigieren Sie zu „Verwalten“ > „Unternehmensanwendungen“.

   

3. Klicken Sie auf „Neue Anwendung“ und anschließend auf „Eigene Anwendung erstellen“.

   

4. Geben Sie einen Anwendungsnamen ein (z. B. EngageLab), wählen Sie „Integrate any other application you don't find in the gallery (Non-gallery)“ (Anwendung außerhalb des Katalogs integrieren) und klicken Sie auf „Erstellen“. Die Erstellung dauert einige Sekunden.

   

5. Nach der Erstellung gelangen Sie zur Übersichtsseite der Anwendung.

   

Um die Anwendung später zu bearbeiten, suchen Sie sie unter „Unternehmensanwendungen“ > „Alle Anwendungen“ nach Anwendungsname oder Objekt-ID.

Schritt 2: Benutzer und Gruppen zuweisen

Nur Benutzer:innen, die der Anwendung zugewiesen sind, können sich über Azure bei EngageLab anmelden. Sie können hier jederzeit Mitglieder hinzufügen oder entfernen.

Hinweis: EngageLab gleicht die E-Mail-Adresse im Azure-Profil des Mitglieds (Attribut mail) ab, nicht den Azure-Anmeldenamen. Stellen Sie sicher, dass diese E-Mail-Adresse mit der E-Mail-Adresse des EngageLab-Kontos übereinstimmt.

1. Klicken Sie auf der Übersichtsseite der Anwendung auf „Benutzer und Gruppen zuweisen“.

   

2. Klicken Sie auf „Benutzer/Gruppe hinzufügen“ und unter „Benutzer“ auf „Keine ausgewählt“.

   

3. Wählen Sie die Benutzer:innen aus, die sich bei EngageLab anmelden sollen, klicken Sie auf „Auswählen“ und anschließend auf „Zuweisen“.

   

4. Nach der Zuweisung kehren Sie zur Übersichtsseite der Anwendung zurück.

   

Schritt 3: Einmaliges Anmelden mit SAML aktivieren

1. Klicken Sie auf der Übersichtsseite der Anwendung auf „Einmaliges Anmelden einrichten“ oder im linken Menü auf „Verwalten“ > „Einmaliges Anmelden“.

   

2. Wählen Sie „SAML“.

   

Schritt 4: SP-Informationen von EngageLab eintragen

1. Kopieren Sie die SP-Informationen in Schritt 1 des EngageLab-Konfigurationsassistenten.

   

2. Klicken Sie in Azure im Bereich „Grundlegende SAML-Konfiguration“ auf „Bearbeiten“, füllen Sie die Felder gemäß der folgenden Tabelle aus und klicken Sie auf „Speichern“.

   

   Azure-Feld	Wert aus EngageLab
   Bezeichner (Entitäts-ID)	Entity ID
   Antwort-URL (Assertionsverbraucherdienst-URL)	ACS URL
   Anmelde-URL	Login URL
   Abmelde-URL	Logout URL

   

Schritt 5: E-Mail-Anspruch prüfen

EngageLab identifiziert Benutzer:innen anhand der E-Mail-Adresse in der SAML-Assertion. Die Standardansprüche von Azure enthalten bereits das Standard-E-Mail-Attribut; in der Regel ist keine Änderung erforderlich. Prüfen Sie es wie folgt:

1. Vergewissern Sie sich im Bereich „Attribute & Ansprüche“ der SAML-Konfigurationsseite, dass folgender Anspruch vorhanden ist:

   Anspruchsname	Wert
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.mail

2. Wurde dieser Anspruch gelöscht oder geändert, klicken Sie auf „Bearbeiten“ > „Neuen Anspruch hinzufügen“, füllen Sie die Felder gemäß der folgenden Tabelle aus und klicken Sie auf „Speichern“:

   Feld	Wert
   Name	email
   Namespace	Leer lassen
   Quelle	Attribut
   Quellattribut	user.mail

Empfehlung: Setzen Sie auch „Eindeutiger Benutzerbezeichner (Namens-ID)“ auf user.mail mit dem Format „E-Mail-Adresse“, um die Fehlersuche zu erleichtern.

Schritt 6: Azure-Informationen in EngageLab eintragen

1. Laden Sie im Bereich „SAML-Zertifikate“ der SAML-Konfigurationsseite das „Zertifikat (Base64)“ herunter.

   

2. Öffnen Sie die Zertifikatsdatei mit einem Texteditor, kopieren Sie den gesamten Inhalt und fügen Sie ihn in Schritt 2 des EngageLab-Konfigurationsassistenten in „x509-Zertifikat“ ein.

   

3. Kopieren Sie im Bereich „… einrichten“ (z. B. „EngageLab einrichten“) der SAML-Konfigurationsseite die „Anmelde-URL“ und die „Abmelde-URL“ und tragen Sie sie in EngageLab in „IdP-Login-URL“ bzw. „IdP-Logout-URL“ ein.

   

4. Geben Sie in EngageLab den „SSO-Dienstname“ ein, klicken Sie auf „Fortfahren“ und schließen Sie anschließend die Organisationsautorisierung und Verifizierung gemäß der SSO-Konfiguration ab.

   

Schritt 7: In Azure testen

Nach Abschluss der Konfiguration können Sie auf der SAML-Konfigurationsseite in Azure auf „Testen“ klicken, um das einmalige Anmelden mit dem aktuellen Benutzer zu testen. Das Testkonto muss der Anwendung zugewiesen und Mitglied einer Organisation in EngageLab sein, für die dieser SSO-Dienst autorisiert ist.

Häufige Fragen