Single Sign-on und Identitäten
Richten Sie Anmeldungen ein, verbinden Sie Anwendungen und halten Sie Identitätszugriffe in der richtigen Organisation und Domain.
- Anmeldung wählenVerwenden Sie /login für die reguläre Anmeldung oder /sso/login für eingerichtetes SSO und passwortlose Optionen.
- Mandant auswählenWählen Sie den Mandanten der Anwendung und bestätigen Sie dort die aktive Mitgliedschaft der Person.
- Anwendung registrierenLegen Sie Eigentümer, Protokoll und Anbieterwerte über die Verwaltungsoberfläche fest.
- Zugriff testenPrüfen Sie Identität, Mandantenmitgliedschaft, Rolle und Richtlinie mit einem zugelassenen Konto.
- Zugriff pflegenBeobachten Sie Audit-Ereignisse, deaktivieren Sie stillgelegte Verbindungen und widerrufen Sie veraltete Zugangsdaten.
Anmelde-URLs und Wiederherstellung
Verwenden Sie /login für die reguläre Anmeldung am Websitekonto und /sso/login für die SSO-gestützte Anmeldung. Registrierung, Kontowiederherstellung und passwortlose Anmeldungen liegen unter /sso. Alte OAuth-Autorisierungsseiten leiten laufende Vorgänge auf die aktuellen SSO-Seiten um. Eine URL beweist nicht, dass ein Anbieter aktiviert ist; prüfen Sie Mandant und Anwendung.
- Öffnen Sie die URL für den gewünschten Anmeldeablauf.
- Fehlt ein Anbieter, bitten Sie den Mandantenverwalter, die Konfiguration zu prüfen.
- Nutzen Sie bei verlorenen Faktoren oder abgelaufenem Passwort die SSO-Wiederherstellung.
Mandanten, Domains und Identitäten
Ein Mandant besitzt seine Anwendungen, Domains, Mitglieder, Richtlinien und Delegationen. Die Suche anhand einer verifizierten Domain leitet Personen weiter, authentifiziert sie aber nicht und gewährt keine Mitgliedschaft. Kundenverwalter richten die SAML- oder OIDC-Verbindung ihrer Organisation ein. Ordnen Sie Identitäten Mandant, Aussteller und unveränderlicher Subject-Kennung zu; verknüpfen Sie Konten niemals nur anhand der E-Mail-Adresse.
- Wählen Sie den Mandanten, bevor Sie Mitglied, Anbieter oder Domain ändern.
- Schließen Sie die angezeigte Domainprüfung ab und bestätigen Sie den Status „verifiziert“.
- Lösen Sie doppelte Identitäten über den autorisierten Mandantenablauf.
Anwendungen und Social-Login
Anwendungen haben eigene Protokollregistrierung, Richtlinie und Lebenszyklus. Globale Social-Provider-Einstellungen sind von den verknüpften Social-Identitäten einzelner Personen getrennt. Ein Anbieter-Callback kann eine Profilvervollständigung verlangen. Ein funktionierender Callback gewährt noch keinen Anwendungszugriff: Mitgliedschaft, Zuweisung und Richtlinie gelten weiterhin.
- Notieren Sie Mandant, Eigentümer, Protokoll und registrierte Redirect- oder Metadatenwerte.
- Richten Sie den Anbieter über die Verwaltungsseite ein und schützen Sie die Zugangsdaten.
- Testen Sie die Anmeldung und prüfen Sie Mandant und Anwendungsentscheidung.
Rollen und Delegation
Website-Rollen und Mandantenberechtigungen sind getrennte Kontrollen. Die Governance kann übergeordnete Organisationen, Grenzwerte und befristete Verwaltungsdelegationen festlegen. Delegierte erhalten ausgewählte Rechte in genau einem Mandanten; höhere, gleichrangige Geschwister- und fremde Bereiche sind nicht zugänglich. Aktive Mitgliedschaft, Rollenstruktur und Anwendungsrichtlinie sind ebenfalls maßgeblich.
- Stellen Sie sicher, dass die verwaltende Person aktives Mitglied des Zielmandanten ist.
- Vergeben Sie nur benötigte Rechte und setzen Sie ein Ablaufdatum.
- Widerrufen Sie die Delegation nach Abschluss und prüfen Sie den Audit-Eintrag.
MFA, Passkeys und Wiederherstellung
Für die Anmeldung kann MFA, ein Passkey, eine andere passwortlose Prüfung oder ein stärkerer Step-up verlangt werden. Bootstrap, Herausforderung, Einrichtung und Wiederherstellung sind getrennte Phasen. Eine abgeschlossene Phase erfüllt nicht automatisch die Prüfung einer späteren geschützten Aktion. Für verwaltete Mandanten-Authentifikatoren und Registrierungskampagnen benötigen Administratoren die passende Berechtigung.
- Melden Sie sich mit dem Passkey an oder bestätigen Sie den neuen Authentifikator in dessen Einrichtungsschritt.
- Stellen Sie den Zugang über eine angebotene Methode wieder her und ersetzen Sie kompromittierte Faktoren.
- Notieren Sie bei Ablehnung den Grund und lassen Sie Richtlinie durch einen berechtigten Admin prüfen.
Verwaltung und Lebenszyklus
Der generierte Verwaltungskontrakt ist unter /api/auth/management/openapi.json verfügbar. Er führt Vorgangsschemas und Sicherheitsanforderungen auf. Für die manuelle Verwaltung nutzen Sie den geschützten Arbeitsbereich. Aktivierung, Aussetzung, Stilllegung und Rücknahme von Mandanten und Anwendungen sind protokollierte Lebenszyklusänderungen mit Version und Audit-Verlauf.
- Öffnen Sie OpenAPI und suchen Sie den benötigten Verwaltungsvorgang.
- Prüfen Sie Berechtigung, Mandantenkontext und dokumentierte Eingaben.
- Bestätigen Sie nach einer Lebenszyklusänderung Status und Audit-Verlauf.
Häufig gestellte Fragen
Welche Anmelde-URL soll ich verwenden?
Nutzen Sie /login für die reguläre Anmeldung und /sso/login für SSO-gestützte Anmeldung.
Gewährt die Domain-Suche Zugriff?
Nein. Authentifizierung, Mitgliedschaft, Anwendungszuweisung und Richtlinienprüfung bleiben erforderlich.
Kann eine E-Mail-Adresse eine Identität automatisch verknüpfen?
Nein. Die Verknüpfung verwendet Mandant, Aussteller und Subject; Konflikte müssen autorisiert geprüft werden.
Warum kann ich mich anmelden, aber keine Anwendung öffnen?
Anmeldung ist keine Zuweisung. Prüfen Sie Mitgliedschaft, Rollenstruktur und Anwendungsrichtlinie.
Wo finde ich den Verwaltungskontrakt?
Unter /api/auth/management/openapi.json stehen Vorgänge und Sicherheitsanforderungen.
Können Delegierte alle Mandanten verwalten?
Nein. Delegationen gelten nur für ihren Mandanten, ausgewählte Rechte und die festgelegte Dauer.