SSO-Konfiguration

Mit Single Sign-On (SSO) melden sich Mitglieder einer Organisation über den unternehmenseigenen Identity Provider (IdP) bei EngageLab an, ohne ein separates EngageLab-Passwort pflegen zu müssen. Administrator:innen können den Zugriff der Mitglieder zentral im IdP freischalten und sperren.

EngageLab unterstützt Identity Provider auf Basis des Protokolls SAML 2.0, darunter unter anderem Microsoft Azure (Microsoft Entra ID), Google Workspace, Okta und OneLogin.

Dieser Artikel richtet sich an Organisationsgründer:innen und IdP-Administrator:innen im Unternehmen und beschreibt den gesamten Ablauf von der Konfiguration bis zur Anmeldung der Mitglieder.

Wichtige Begriffe

Voraussetzungen

• Sie besitzen ein EngageLab-Konto und sind mit einer regulären Anmeldemethode angemeldet. Mit SSO-Login können keine Organisationen erstellt werden.
• Die Organisation, für die SSO aktiviert werden soll, wurde von Ihnen erstellt und verfügt über SSO-Rechte. Falls nicht, wenden Sie sich bitte an den Vertrieb.
• Sie können im Unternehmens-IdP eine SAML-Anwendung erstellen oder werden dabei von IdP-Administrator:innen unterstützt.
• Die E-Mail-Adresse der Mitglieder im IdP stimmt mit der E-Mail-Adresse ihres EngageLab-Kontos überein.

Regeln zur Benutzeridentifikation

EngageLab identifiziert SSO-Nutzer:innen anhand der E-Mail-Adresse: Das E-Mail-Attribut wird aus der vom IdP zurückgegebenen SAML-Assertion gelesen und mit der E-Mail-Adresse des EngageLab-Kontos abgeglichen. Beide folgenden Attributnamen werden erkannt:

Hinweis: Die vom IdP zurückgegebene SAML-Assertion muss eines der oben genannten E-Mail-Attribute enthalten. Der Wert ist die E-Mail-Adresse der Nutzerin bzw. des Nutzers und muss mit der E-Mail-Adresse des zugehörigen EngageLab-Kontos übereinstimmen. Gibt Ihr IdP standardmäßig kein E-Mail-Attribut zurück, fügen Sie im Attribute Statement der IdP-Anwendung ein Attribut mit dem Namen email hinzu. Andernfalls kann die SSO-Anmeldung nicht abgeschlossen werden.

Empfehlung: Setzen Sie auch die Name ID auf die E-Mail-Adresse der Nutzer:innen (Format EmailAddress), um die Fehlersuche zu erleichtern.

Konfiguration des E-Mail-Attributs in den einzelnen IdPs:

Konfigurationsablauf

Die SSO-Konfiguration umfasst vier Schritte, die dem Assistenten „SSO konfigurieren“ in der Konsole entsprechen:

1. IdP-Konfiguration: Die von EngageLab bereitgestellten SP-Informationen im IdP konfigurieren und sicherstellen, dass der IdP das E-Mail-Attribut zurückgibt.
2. Datenrückgabe: Das vom IdP erzeugte Zertifikat sowie die Login- und Logout-Adresse in EngageLab eingeben.
3. Organisation autorisieren: Den SSO-Dienst für die Organisationen autorisieren, für die SSO aktiviert werden soll.
4. Verifizierung: Die Anmeldung über den SSO-Login-Link testen.

Schritt 1: EngageLab im IdP konfigurieren

1. Melden Sie sich bei EngageLab an, bewegen Sie den Mauszeiger oben rechts über Ihr Profilbild und klicken Sie auf „Persönlicher Bereich“.

   

2. Klicken Sie unter „Persönlicher Bereich“ auf „SSO“ und anschließend auf „SSO konfigurieren“.

   

3. Kopieren Sie die SP-Informationen auf der Seite und geben Sie sie an die IdP-Administration weiter, damit dort eine SAML-Anwendung erstellt wird. Mit „Kopieren“ übernehmen Sie alle Informationen auf einmal.

   

   SP-Information	Beschreibung	Übliche Feldnamen im IdP
   Entity ID	Eindeutige Kennung von EngageLab als SP	Bezeichner (Entitäts-ID), Audience URI, SP Entity ID
   ACS URL	Adresse, an die der IdP die SAML-Assertion zurückgibt	Antwort-URL (Assertionsverbraucherdienst-URL), Single sign-on URL, ACS URL
   Login URL	SSO-Login-Einstieg von EngageLab	Anmelde-URL, Start URL
   Logout URL	Logout-Adresse von EngageLab	Abmelde-URL, Single Logout URL

4. Stellen Sie gemäß den Regeln zur Benutzeridentifikation sicher, dass die IdP-Anwendung das E-Mail-Attribut zurückgibt; ist das standardmäßig nicht der Fall, fügen Sie ein Attribut mit dem Namen email hinzu. Weisen Sie außerdem die Mitglieder, die sich bei EngageLab anmelden sollen, der Anwendung zu.

5. Lassen Sie sich von der IdP-Administration folgende Informationen für den nächsten Schritt geben:

   IdP-Information	Beschreibung
   X.509 Certificate	Signaturzertifikat des IdP im Base64-Format. Zertifikate sind befristet und müssen vor Ablauf erneuert werden
   IdP-Login-URL	Single-Sign-On-Adresse des IdP
   IdP-Logout-URL	Single-Logout-Adresse des IdP

6. Nachdem die IdP-Konfiguration abgeschlossen ist, aktivieren Sie das Bestätigungskästchen unten auf der Seite (Bestätigung, dass die Informationen der EngageLab-Anwendung im IdP aktualisiert wurden) und klicken Sie auf „Fortfahren“.

   

Detaillierte Konfigurationsschritte für gängige IdPs:

• Microsoft Azure
• Google Admin
• Okta, OneLogin und andere IdPs: Tragen Sie die SP-Informationen gemäß der obigen Tabelle in die entsprechenden Felder ein und fügen Sie gemäß den Regeln zur Benutzeridentifikation das Attribut email hinzu.

Schritt 2: IdP-Rückgabedaten eingeben

1. Geben Sie einen „SSO-Dienstname“ ein, um die Dienste in der SSO-Diensteliste unterscheiden zu können.
2. Tragen Sie die vom IdP bereitgestellten Werte in „x509-Zertifikat“, „IdP-Login-URL“ und „IdP-Logout-URL“ ein. Fügen Sie beim Zertifikat den vollständigen Base64-Inhalt ein.
3. Klicken Sie auf „Fortfahren“.

Schritt 3: Organisation autorisieren

1. Wählen Sie die Organisationen aus, für die SSO aktiviert werden soll, und klicken Sie auf „Speichern & verifizieren“.

   • Ein SSO-Dienst kann für mehrere Organisationen autorisiert werden, und für eine Organisation können mehrere SSO-Dienste autorisiert werden.
   • Es können nur Organisationen ausgewählt werden, die Sie erstellt haben und die über SSO-Rechte verfügen. Organisationen mit dem Status „Keine Rechte“ oder „Eingeschränkt“ (SSO-Protokoll-Limit überschritten) sind nicht auswählbar; wenden Sie sich in diesem Fall bitte an den Vertrieb.

   

2. Bestätigen Sie im Bestätigungsdialog.

   Hinweis: Nach dem Speichern werden alle Mitglieder der ausgewählten Organisationen abgemeldet und erhalten eine E-Mail, die zur Anmeldung per SSO auffordert. Danach können die Mitglieder nur noch per SSO-Login auf die Organisation zugreifen.

   

Schritt 4: SSO-Dienst verifizieren

Testen Sie die Anmeldung über die „SSO-Login-URL“ auf der Seite. Das Testkonto muss folgende Bedingungen erfüllen:

• Es ist Mitglied einer Organisation, für die der SSO-Dienst autorisiert wurde.
• Es ist im IdP der SAML-Anwendung zugewiesen.
• Der vom IdP zurückgegebene Wert des E-Mail-Attributs stimmt mit der EngageLab-E-Mail-Adresse des Kontos überein.

Anmerkung: Konten, die sich über einen SSO-Login-Link anmelden und in der Organisation noch keine Rolle haben, erhalten automatisch die Rolle Default. Nach dem Beitritt können Sie die Rolle in der Mitgliederverwaltung der Organisation ändern.

Zugriffsregeln für Nutzer:innen

Nachdem sich ein Konto über einen SSO-Dienst angemeldet hat, speichert das System die Bindung zwischen Konto und SSO-Dienst. Eine Bindung entsteht auf jede der folgenden Arten:

• Klick auf den SSO-Login-Link in der E-Mail „Einladung zur Organisation“.
• Klick auf den SSO-Login-Link in der Benachrichtigungs-E-Mail „Organisation hat SSO-Dienst aktiviert“.
• Verwendung des dedizierten Login-Links eines SSO-Dienstes.

SSO-Dienste verwalten

Unter „Persönlicher Bereich“ > „SSO“ sehen Sie die konfigurierten SSO-Dienste.

Anzeigen und bearbeiten

Klicken Sie auf eine Zeile oder auf „Bearbeiten“, um die „SSO-Dienstdetails“ zu öffnen. Dort werden die SP-Konfigurationsinformationen und die IdP-Konfigurationsinformationen angezeigt; mit der Schaltfläche rechts neben einem Feld kopieren Sie dessen Inhalt.

• Nur die IdP-Konfigurationsinformationen (x509-Zertifikat, IdP-Login-URL, IdP-Logout-URL) können geändert werden; die übrigen Felder sind schreibgeschützt.
• In den Details wird das Ablaufdatum des Zertifikats angezeigt. Wenn der IdP das Zertifikat wechselt, aktualisieren Sie es hier umgehend, da sich die Mitglieder sonst nicht mehr anmelden können.

Autorisierte Organisationen ändern

Klicken Sie auf „Autorisieren“, wählen Sie links die Organisationen aus, prüfen Sie rechts die autorisierten Organisationen und klicken Sie auf „Speichern“.

• Neu autorisierte Organisationen: Alle Mitglieder erhalten eine Benachrichtigungs-E-Mail mit dem Login-Link dieses SSO-Dienstes und werden aufgefordert, sich über diesen Dienst anzumelden.
• Organisationen, deren Autorisierung entzogen wurde: Alle Mitglieder erhalten eine Benachrichtigungs-E-Mail, dass die Anmeldung über diesen SSO-Dienst nicht mehr möglich ist, mit den anderen von der Organisation unterstützten Anmeldemethoden.

Löschen

Klicken Sie auf „Löschen“ und bestätigen Sie.

Hinweis: Nach dem Löschen unterstützen die von diesem Dienst autorisierten Organisationen kein SSO-Login über diesen Dienst mehr, der Login-Link wird ungültig, und die Mitglieder der Organisationen erhalten eine E-Mail über die Beendigung des SSO-Logins.

Anmeldung der Mitglieder

Anmeldung über die EngageLab-Anmeldeseite

1. Öffnen Sie die EngageLab-Anmeldeseite und klicken Sie auf „SSO-Login“.

   

2. Geben Sie die E-Mail-Adresse Ihres EngageLab-Kontos ein. Das System wählt den SSO-Dienst anhand der SSO-Organisation, auf die das Konto zuletzt zugegriffen hat:

   • Hat die Organisation nur einen SSO-Dienst, erfolgt die Weiterleitung direkt zum IdP.
   • Hat die Organisation mehrere SSO-Dienste und ist das Konto mit mehreren davon verknüpft, wählen Sie den gewünschten Dienst aus.

3. Nach der Authentifizierung auf der IdP-Seite werden Sie automatisch zu EngageLab zurückgeleitet und angemeldet.

   

Dedizierten SSO-Login-Link verwenden

Organisationsgründer:innen können unter „Persönlicher Bereich“ > „SSO“ den Login-Link eines SSO-Dienstes kopieren und an die Mitglieder der Organisation senden.

Nach dem Klick auf den Link werden die Mitglieder zur Authentifizierung an den IdP weitergeleitet. Nach erfolgreicher Authentifizierung gleicht EngageLab das Konto anhand der vom IdP zurückgegebenen E-Mail-Adresse ab:

Anmerkung: Um über einen SSO-Login-Link auf eine Organisation zuzugreifen, bitten Sie die Administration der Organisation, Ihre E-Mail-Adresse zu dieser SSO-Organisation hinzuzufügen.

Fehlerbehebung bei der Anmeldung

Abmelden

Wenn Sie im SSO-Login-Status auf „Abmelden“ klicken, ruft das System die Logout-Adresse des IdP auf und beendet damit auch die Sitzung beim IdP. Bei der nächsten Anmeldung ist eine erneute Authentifizierung beim IdP erforderlich.

Anmerkung: Einige IdPs unterstützen kein Single Logout (z. B. Google Workspace). In diesem Fall müssen Sie sich manuell beim IdP abmelden, siehe Google Admin.