Single Sign-on

Ihre Mitarbeitenden melden sich mit dem Microsoft-, Google-, Okta- oder Keycloak-Konto ihrer Organisation an.

Mit Single Sign-on (SSO) melden sich Personen mit dem Konto an, das Ihre Organisation ihnen ohnehin gibt. CommonLynk sieht ihr Passwort nie. Passwörter funktionieren weiter, solange SSO eingeschaltet ist, und die Eigentümerin oder der Eigentümer des Arbeitsbereichs kann sich immer mit dem eigenen Passwort anmelden.

Bevor Sie beginnen

CommonLynk schaltet SSO für einen Arbeitsbereich auf Anfrage ein. Danach findet die Eigentümerin oder der Eigentümer es unter Einstellungen, Single Sign-on. Nur sie oder er kann einen Anbieter hinzufügen, eine Domain beanspruchen oder einen Anbieter einschalten. Administratoren können die Einstellungen ansehen und einen Test starten.

Klicken Sie auf „Anbieter hinzufügen“, wählen Sie Ihr Anmeldesystem und geben Sie die angezeigten Werte an Ihr IT-Team weiter.
Ihr IT-Team legt die Anwendung auf seiner Seite an und schickt die Werte zurück, die CommonLynk abfragt.
Fügen Sie unter „Domains“ Ihre E-Mail-Domain hinzu, veröffentlichen Sie den daneben angezeigten DNS-TXT-Eintrag und klicken Sie auf „Prüfen“.
Klicken Sie auf „Verbindung testen“. Sie melden sich wirklich bei Ihrem Anbieter an, und die Seite zeigt, was geschehen würde.
Klicken Sie auf „Einschalten“.

Microsoft Entra ID

Öffnen Sie im Microsoft Entra Admin Center die App-Registrierungen und registrieren Sie eine Anwendung nur für Konten in diesem Organisationsverzeichnis. Fügen Sie den angezeigten Redirect-URI als Web-Umleitung hinzu. Kopieren Sie die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant) und erstellen Sie unter „Zertifikate und Geheimnisse“ einen geheimen Clientschlüssel. Der Aussteller ist https://login.microsoftonline.com/ gefolgt von Ihrer Mandanten-ID und /v2.0. Tragen Sie das Ablaufdatum des Geheimnisses ein: CommonLynk warnt 30 und 7 Tage vorher.

Für SAML erstellen Sie stattdessen eine Unternehmensanwendung mit SAML, fügen den Bezeichner und die Antwort-URL ein, die CommonLynk zeigt, und geben CommonLynk die App-Verbundmetadaten-URL. CommonLynk erkennt Personen an ihrer Objekt-ID, nie an ihrer E-Mail-Adresse.

Google Workspace

Erstellen Sie in der Google Cloud Console Ihrer Organisation einen OAuth-Client vom Typ Webanwendung und fügen Sie den angezeigten Redirect-URI hinzu. Geben Sie auch Ihre Google-Workspace-Domain ein: ohne sie könnte sich jedes Google-Konto anmelden, daher speichert CommonLynk den Anbieter dann nicht.

Okta

Erstellen Sie in der Okta-Admin-Konsole eine App-Integration mit OIDC als Webanwendung, fügen Sie den Redirect-URI hinzu und kopieren Sie Client-ID, geheimen Clientschlüssel und Ihre Okta-Adresse, die der Aussteller ist. Für SAML fügen Sie die Single-Sign-on-URL und die Zielgruppe (Audience) ein, die CommonLynk zeigt, und geben CommonLynk die Metadaten-URL.

Keycloak

Erstellen Sie in Ihrem Realm einen OpenID-Connect-Client mit eingeschalteter Client-Authentifizierung, tragen Sie den Redirect-URI als gültige Umleitung ein und kopieren Sie das Geheimnis aus dem Reiter „Credentials“. Der Aussteller ist Ihre Keycloak-Adresse, gefolgt von /realms/ und dem Namen des Realms. Läuft Keycloak in Ihrem eigenen privaten Netz, bitten Sie CommonLynk, seine Adresse zuzulassen.

Wer hineinkommt

Eine Person meldet sich per SSO an, wenn ihre E-Mail-Adresse zu einer Ihrer bestätigten Domains gehört. Beim ersten Mal legt CommonLynk ihr Konto ohne Rolle und ohne Zugriff auf Datensätze an, außer die Eigentümerin oder der Eigentümer hat für den Anbieter eine Rolle gewählt; danach gibt ein Administrator ihr, was sie braucht. Sie können stattdessen nur eingeladene Personen zulassen. Ein bestehendes Konto wird bei der ersten Anmeldung mit dem Arbeitskonto verknüpft; bestätigt der Anbieter die Adresse nicht, schickt CommonLynk zuerst einen Code an sie.

Wer sich per SSO anmeldet, wird nicht nach einem zweiten Schritt in CommonLynk gefragt: das übernimmt die Anmeldung Ihrer Organisation. Die Einstellungsseite zeigt, wenn Ihr Anbieter keine Zwei-Schritt-Anmeldung meldet. Solange SSO eingeschaltet ist, braucht die Eigentümerin oder der Eigentümer für das eigene Passwort eine Zwei-Schritt-Verifizierung.

Wenn SSO nicht mehr funktioniert

Die Anmeldeseite hat immer den Link „Anmeldung als Eigentümer“, der das Passwortformular öffnet. Läuft ein Geheimnis ab oder ist Ihr Anbieter ausgefallen, meldet sich die Eigentümerin oder der Eigentümer dort an und schaltet den Anbieter aus oder trägt ein neues Geheimnis ein. Das Ausschalten eines Anbieters beendet jede Sitzung, die über ihn angemeldet wurde.