Anmeldung, SSO & SCIM
Zwei-Faktor-Authentifizierung vorschreiben sowie SAML 2.0 Single Sign-On und SCIM-Benutzerbereitstellung über eine einzige Microsoft-Entra-Unternehmensanwendung einrichten
Auf der Seite Organisationseinstellungen → Sicherheit & Compliance → Anmeldung & SSO legen Sie fest, wie sich die Mitglieder Ihrer Organisation anmelden: ob sie die Zwei-Faktor-Authentifizierung einrichten müssen und ob die Anmeldung über Ihren Identity Provider läuft.
Leiten Sie die Anmeldung mit SAML 2.0 Single Sign-On über Ihren Identity Provider und halten Sie Ihre Mitgliederliste auf Wunsch per SCIM-Bereitstellung automatisch synchron. Beides läuft über eine einzige Microsoft-Entra-Unternehmensanwendung: Sie legen sie einmal für SSO an und schalten SCIM danach für dieselbe Anwendung ein.
SSO und SCIM stehen jeder Geschäftsorganisation zur Verfügung, auch während eines Business-Tests und im Enterprise-Tarif. Sie brauchen die Berechtigung Organisationseinstellungen verwalten. Die beiden Seiten heißen Anmeldung & SSO und SCIM-Bereitstellung und liegen in den Organisationseinstellungen in der Gruppe Sicherheit & Compliance.
Zwei-Faktor-Authentifizierung vorschreiben
Mit Zwei-Faktor-Authentifizierung erforderlich muss jedes Mitglied die Zwei-Faktor-Authentifizierung einrichten, bevor es die App nutzen kann. Einschalten können Sie den Schalter erst, wenn Sie die Zwei-Faktor-Authentifizierung für Ihr eigenes Konto aktiviert haben.
Sobald Sie mit Vorschreiben bestätigen, wird jedes Mitglied ohne Zwei-Faktor-Authentifizierung sofort abgemeldet, auch in der Mobil-, Desktop- und Office-App. Es kann die App erst nach der Einrichtung wieder nutzen. Mitglieder, die sie schon nutzen, bleiben angemeldet.
Verliert ein Mitglied den Zugriff auf seine Authenticator-App, setzen Sie seine Zwei-Faktor-Authentifizierung auf seiner Seite unter Mitglieder zurück.
Mitglieder sehen die Vorgabe in ihren Einstellungen unter Sicherheit mit dem Hinweis Von Ihrer Organisation festgelegt und können die Zwei-Faktor-Authentifizierung dann nicht mehr ausschalten.
1. Unternehmensanwendung in Microsoft Entra anlegen
- Melden Sie sich im Microsoft Entra Admin Center an.
- Gehen Sie zu Identität → Anwendungen → Unternehmensanwendungen → Neue Anwendung → Eigene Anwendung erstellen.
- Benennen Sie sie (z. B. „DeutschlandGPT“), wählen Sie Beliebige andere, nicht im Katalog gefundene Anwendung integrieren (Non-Gallery) und erstellen Sie sie.
Auf dieser Anwendung richten Sie unten SAML-SSO ein. Nutzen Sie SCIM, läuft es über dieselbe Anwendung.
2. SAML Single Sign-On konfigurieren
Domain verifizieren (in DeutschlandGPT)
SSO bleibt gesperrt, bis mindestens eine Domain verifiziert ist. Fügen Sie auf der Seite Anmeldung & SSO unter Verifizierte Domains jede Domain hinzu, mit der sich Ihre Nutzer anmelden (z. B. example.com). Veröffentlichen Sie den angezeigten TXT-Eintrag (DNS-Name und TXT-Wert) bei Ihrem DNS-Anbieter und klicken Sie auf Prüfen. Wer sich mit einer E-Mail-Adresse einer verifizierten Domain anmeldet, wird für SSO zu Ihrer Organisation geleitet.
| Aktion | Beschreibung |
|---|---|
| Domain hinzufügen | Domain eingeben und den TXT-Eintrag bei Ihrem DNS-Anbieter setzen |
| Prüfen | Nach dem Veröffentlichen eine frische DNS-Abfrage ausführen |
| Entfernen | Verifizierte Domain entfernen. Nur möglich, solange SSO deaktiviert ist |
DeutschlandGPT in Entra registrieren
Öffnen Sie in Ihrer Unternehmensanwendung Single Sign-On → SAML und tragen Sie in der SAML-Basiskonfiguration die schreibgeschützten Werte aus der Karte Service Provider Konfiguration der SSO-Seite ein:
| Entra-Feld (SAML-Basiskonfiguration) | DeutschlandGPT-Wert |
|---|---|
| Bezeichner (Entity ID) | SP Entity ID |
| Antwort-URL (ACS-URL) | Assertion Consumer Service (ACS) URL |
| Anmelde-URL | Sign-on-URL |
Die Karte zeigt außerdem die SP-Metadaten-URL, falls Ihr Identity Provider die Konfiguration daraus lesen kann.
Identity Provider verbinden (in DeutschlandGPT)
Füllen Sie die Karte Identity Provider Konfiguration aus. Am schnellsten geht es mit Aus Metadaten-URL importieren: Sie fügen die Verbundmetadaten-URL Ihrer Entra-App ein, und SSO-URL, Entity ID und Zertifikat werden übernommen. Sie können die Werte auch von Hand eintragen.
| Feld | Beschreibung |
|---|---|
| IdP SSO-URL | Der SAML-2.0-Endpunkt Ihres IdP |
| IdP Entity ID | Issuer oder Entity ID aus Ihrem IdP |
| IdP-Signaturzertifikat (PEM) | Das Signaturzertifikat samt BEGIN/END-Zeilen, alternativ über Zertifikatsdatei hochladen |
| IdP-Metadaten-URL (optional, zur Referenz) | Hinterlegt die Metadaten-URL, damit Sie sie beim Zertifikatswechsel wiederfinden |
Klicken Sie auf Konfiguration speichern.
SSO aktivieren
Klicken Sie auf SAML 2.0 aktivieren. Sie brauchen eine verifizierte Domain und bestätigen zwei Aussagen: Die Konfiguration ist vollständig, und alle Personen, die Zugang brauchen, sind im Identity Provider zugewiesen.
Die Anmeldung über den IdP lässt sich erst testen, wenn SSO aktiviert ist. Ihre aktuelle Sitzung bleibt bestehen, deshalb gehen Sie so vor:
- Lassen Sie die SSO-Seite in Ihrem angemeldeten Browserfenster geöffnet und klicken Sie auf SAML 2.0 aktivieren.
- Öffnen Sie ein privates Browserfenster und melden Sie sich mit einer Adresse Ihrer verifizierten Domain an. Alternativ starten Sie in Entra Anwendung testen, sofern die Sign-on-URL eingetragen ist.
- Schlägt die Anmeldung fehl, klicken Sie im ersten Fenster auf Auf E-Mail & Passwort umstellen. Ihre Nutzer melden sich dann wieder wie bisher an, und Sie können die Konfiguration korrigieren.
Bestehende Sitzungen bleiben aktiv, neue Anmeldungen laufen über den IdP. Um aktuelle Sitzungen sofort zu beenden, nutzen Sie unten Alle Benutzer abmelden. Tun Sie das erst, wenn der Test erfolgreich war, denn damit endet auch Ihre eigene Sitzung.
Welche Rolle neue Mitglieder bei ihrer ersten SSO-Anmeldung erhalten, legen Sie auf der Seite Mitglieder unter Rolle bei der ersten Anmeldung (SSO) fest.
3. SCIM-Bereitstellung aktivieren (dieselbe Anwendung)
SCIM hält Ihre Mitgliederliste automatisch synchron. Neue Beschäftigte werden angelegt, sobald sie in Entra zugewiesen werden, ausscheidende werden deaktiviert. SCIM setzt SSO voraus. Richten Sie zuerst SSO ein und verwenden Sie dieselbe Unternehmensanwendung. Ohne SSO zeigt die SCIM-Seite nur Single Sign-On erforderlich mit einem Link zu Single Sign-On einrichten.
Solange SCIM aktiv ist, zeigt die Seite Nutzer den Hinweis SCIM-Nutzerverwaltung aktiv. Mitglieder laden Sie dann in Entra ein und bearbeiten sie dort, nicht in DeutschlandGPT.
SCIM-Token erstellen (in DeutschlandGPT)
Öffnen Sie SCIM-Bereitstellung, lassen Sie Microsoft Entra ID ausgewählt und klicken Sie auf Erstellen. Der Dialog SCIM geheimer Schlüssel zeigt den Token ein einziges Mal. Bewahren Sie ihn sicher auf, denn Sie können ihn später nicht mehr einsehen. Danach zeigt die Seite die Url (die Tenant-URL für Entra) und den maskierten Geheimen Schlüssel.
Entra mit DeutschlandGPT verbinden
Öffnen Sie in Ihrer Unternehmensanwendung Bereitstellung → Ihre Anwendung verbinden und tragen Sie ein:
- Tenant-URL: die Url aus DeutschlandGPT.
- Geheimer Token: der geheime Schlüssel aus DeutschlandGPT.
- Klicken Sie auf Verbindung testen und dann auf Speichern.
Attributzuordnung
Öffnen Sie Bereitstellung → Zuordnungen → Microsoft-Entra-ID-Benutzer bereitstellen. Behalten Sie nur die folgenden Zuordnungen und löschen Sie alle anderen Standardzuordnungen. Entra liefert Extras wie die Personalnummer mit, die DeutschlandGPT ignoriert.
| DeutschlandGPT-Attribut (SCIM) | Entra-Quelle |
|---|---|
| userName | userPrincipalName |
| active | Switch([IsSoftDeleted], , "False", "True", "True", "False") |
| displayName | displayName |
| emails[type eq "work"].value | mail |
| name.givenName | givenName |
| name.familyName | surname |
| name.formatted | Join(" ", [givenName], [surname]) |
| externalId | mailNickname |
Speichern Sie die Zuordnungen, weisen Sie der Anwendung die gewünschten Nutzer und Gruppen zu und setzen Sie die Bereitstellung auf Ein.
SCIM pausieren oder entfernen
Mit dem Schalter SCIM-Integration verwalten pausieren Sie SCIM, etwa wenn Sie in DeutschlandGPT etwas von Hand ändern müssen. Um SCIM ganz zu entfernen, pausieren Sie es zuerst und klicken dann auf SCIM-Integration löschen. Das lässt sich nicht rückgängig machen. Schalten Sie die Bereitstellung auch in Entra ab oder löschen Sie sie dort.
Unter den Einstellungen listet eine Tabelle die letzten SCIM-Vorgänge mit Ressource, Aktion, Details und Zeitpunkt.
Ausscheidende Beschäftigte (Deprovisionierung)
Entfernen Sie in Entra die App-Zuweisung, deaktivieren Sie das Konto oder löschen Sie den Nutzer, deaktiviert SCIM das Konto in DeutschlandGPT und gibt die belegte Lizenz frei. Das Mitglied bleibt mit dem Status Inaktiv in der Liste. Inaktive Mitglieder können sich nicht anmelden und belegen keine Lizenz.
Ein inaktives Konto können Sie auf der Seite Mitglieder endgültig löschen (Berechtigung Mitglieder aus der Organisation entfernen). Gelöschte Konten verlieren sofort jeden Zugriff und werden nach 30 Tagen samt Daten endgültig entfernt. Bis dahin holen Sie ein gelöschtes Konto über den Status-Filter Gelöscht mit Wiederherstellen zurück. Solange SCIM aktiv ist, kehrt es als inaktives Konto zurück.
Solange SCIM aktiv ist, lassen sich nur Mitglieder löschen, die in Entra bereits deprovisioniert wurden (Status Inaktiv). Entziehen Sie den Zugriff also zuerst in Entra. Sonst legt die nächste Synchronisation das Konto einfach neu an.
Signaturen (optionale Härtung)
Authentifizierungsanfragen signieren signiert die SAML-Anfragen, die DeutschlandGPT an Ihren IdP schickt. Lassen Sie den Schalter aus, solange Ihr IdP signierte Anfragen nicht ausdrücklich verlangt. Hat die Plattform keinen Signaturschlüssel, ist er ausgegraut.
Erforderliche Signaturen auf eingehenden Antworten legt fest, welche Signaturen die Antwort des IdP tragen muss:
- Signierte Response erforderlich: Die äußere SAML-Response muss signiert sein. Das entspricht der Standardeinstellung von Microsoft Entra („SAML-Antwort signieren“).
- Signierte Assertion erforderlich: Die innere Assertion muss signiert sein. So ist die Signatur am engsten an die Identitätsangaben des Nutzers gebunden.
Ist keine der beiden Optionen gesetzt, genügt eine gültige Signatur auf Response oder Assertion. Völlig unsignierte Antworten werden immer abgelehnt.
Alle Benutzer abmelden
Alle Benutzer abmelden beendet auf einen Schlag jede aktive Sitzung der Organisation. Nutzen Sie das nach einem vermuteten Zugangsdaten-Leck oder um eine Richtlinienänderung durchzusetzen. Prüfen Sie vorher, dass SSO getestet ist und alle Mitglieder, die Zugang brauchen, im Identity Provider zugewiesen sind. Sonst kommen sie womöglich nicht mehr hinein.