Single Sign-on mit Okta, Microsoft Entra ID oder Google Workspace

Mit Single Sign-on (SSO) melden sich Personen mit ihrem Firmenkonto bei Kaam360 an, über Ihren Identitätsanbieter: Okta, Microsoft Entra ID, Google Workspace oder jeden anderen SAML-2.0-Anbieter. Niemand braucht ein eigenes Kaam360-Passwort, und wenn jemand geht, schalten Sie ihn an einer Stelle ab.

Seite öffnen

1. Drücken Sie Einstellungen und dann die Karte Single Sign-on. (Sie steht auch auf der Karte Sicherheit: Drücken Sie Single Sign-on einrichten.)
2. Folgen Sie den sechs nummerierten Schritten auf der Seite von oben nach unten.

Schritt 1: Kaam360 bei Ihrem Identitätsanbieter hinzufügen

Legen Sie bei Ihrem Identitätsanbieter eine neue SAML-App für Kaam360 an und übernehmen Sie die Angaben aus Schritt 1 der Seite:

• Entity-ID (Audience): der Name, unter dem Kaam360 Ihre Organisation kennt.
• Antwortadresse (ACS-URL): wohin Ihr Anbieter die Personen nach der Anmeldung zurückschickt.
• Oder drücken Sie Kaam360-Metadaten herunterladen und laden Sie diese Datei stattdessen bei Ihrem Anbieter hoch.

Senden Sie die E-Mail-Adresse (erforderlich). Name und Gruppen sind optional. Signieren Sie die Assertion (das ist die Standardeinstellung).

In Okta: Applications, Create App Integration, SAML 2.0. Tragen Sie die Antwortadresse unter „Single sign-on URL“ und die Entity-ID unter „Audience URI“ ein. Name-ID-Format: EmailAddress. Weisen Sie die Personen oder Gruppen zu, die Kaam360 nutzen dürfen.

In Microsoft Entra ID: Unternehmensanwendungen, Neue Anwendung, Eigene Anwendung erstellen, dann Einmaliges Anmelden, SAML. Tragen Sie die Entity-ID unter „Bezeichner“ und die Antwortadresse unter „Antwort-URL“ ein. Weisen Sie Benutzer und Gruppen zu.

In Google Workspace: Admin-Konsole, Apps, Web- und mobile Apps, App hinzufügen, Benutzerdefinierte SAML-App hinzufügen. Tragen Sie die Antwortadresse unter „ACS-URL“ und die Entity-ID unter „Entitäts-ID“ ein. Name-ID: Primäre E-Mail-Adresse. Schalten Sie die App für die richtigen Personen ein.

Schritt 2: Kaam360 die Angaben Ihres Identitätsanbieters geben

Wählen Sie einen Weg:

1. Fügen Sie die Metadaten-Adresse des Anbieters ein und drücken Sie Laden. Das ist der beste Weg: Kaam360 prüft sie dann jeden Tag und übernimmt ein neues Zertifikat selbst.
2. Oder wählen Sie unter Oder die Metadaten-Datei (XML) hochladen die Datei, die Sie bei Ihrem Anbieter heruntergeladen haben.
3. Oder öffnen Sie Oder die Angaben von Hand eingeben, füllen Sie Entity-ID, Anmeldeadresse und Signaturzertifikat aus und drücken Sie Speichern.

Das Feld Jetzt in Gebrauch zeigt, was Kaam360 akzeptiert, einschließlich jedes Zertifikats und seines Ablaufdatums.

Schritt 3: testen

1. Drücken Sie Test-Anmeldung.
2. Melden Sie sich bei Ihrem Identitätsanbieter an.
3. Sie kommen mit der Meldung Der Test ist abgeschlossen. zur Seite zurück. Unter Schritt 3 sehen Sie Hat funktioniert oder Fehlgeschlagen, als wer Sie angemeldet waren, Ihre Gruppen, was Kaam360 tun würde (eine bestehende Person anmelden, ein Konto anlegen oder ablehnen) und die Attribute, die Ihr Anbieter gesendet hat.

Der Test meldet niemanden an und ändert nichts, und er funktioniert, solange Single Sign-on aus ist. Ändern sich die Angaben des Anbieters später, testen Sie erneut.

Einschalten

Oben auf der Seite unter Status drücken Sie Einschalten. Die Schaltfläche funktioniert erst nach einem erfolgreichen Test.

Auf der Anmeldeseite sehen Personen nun Mit Ihrem Unternehmen anmelden (SSO). Sie geben ihre geschäftliche E-Mail-Adresse ein, und Kaam360 leitet sie zu Ihrem Anbieter weiter. Sie können ihnen auch den Anmeldelink für Ihre Leute aus Schritt 1 geben.

Schritt 4: E-Mail-Domains bestätigen

1. Geben Sie Ihre E-Mail-Domain ein (den Teil nach dem @, zum Beispiel example.com) und drücken Sie Domain hinzufügen.
2. Kopieren Sie den Hinzuzufügenden TXT-Eintrag und legen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag mit diesem Wert an. Der Name (Host) ist @, also die Domain selbst.
3. Drücken Sie Jetzt prüfen. Wird der Eintrag gefunden, zeigt die Domain Bestätigt. DNS-Änderungen können einige Stunden dauern.

Über bestätigte Domains finden Personen Ihre Anmeldeseite anhand ihrer E-Mail-Adresse, und neue Konten werden nur für bestätigte Domains angelegt. Eine Domain kann nur von einer Kaam360-Organisation bestätigt werden.

Schritt 5: neue Personen, Rollen und Attribute

• Setzen Sie das Häkchen bei Ein Konto anlegen, wenn sich jemand aus einer bestätigten Domain zum ersten Mal anmeldet, wählen Sie die Rolle für neue Personen und drücken Sie Speichern. Ohne diese Einstellung können sich nur Personen anmelden, die schon ein Konto haben.
• Unter Gruppen und Rollen geben Sie einen Gruppennamen (oder eine ID) genau so ein, wie Ihr Anbieter ihn sendet, wählen eine Rolle und drücken Hinzufügen. Personen in dieser Gruppe erhalten diese Rolle bei jeder Anmeldung. Passen mehrere Gruppen, gewinnt die weiter oben in der Liste.
• Unter Attribute lassen Sie die Felder leer, außer Ihr Anbieter verwendet ungewöhnliche Attributnamen. Der letzte Test zeigt die gesendeten Namen.

Personen mit bestehendem Konto werden über ihre E-Mail-Adresse zugeordnet. Wen Sie in Kaam360 abgeschaltet haben, der kann sich nicht anmelden, egal was der Identitätsanbieter sagt.

Schritt 6: nur Single Sign-on

Wenn sich alle über Ihren Anbieter anmelden, können Sie Passwörter abschalten:

1. Setzen Sie bei mindestens einem Notfall-Administrator ein Häkchen. Er muss die Zwei-Faktor-Anmeldung eingeschaltet haben.
2. Drücken Sie Nur Single Sign-on einschalten.

Ab dann funktionieren Passwörter (und die Anmeldung mit Google oder Microsoft) nicht mehr, außer für die Notfall-Administratoren, die sich mit Passwort und Zwei-Faktor-Code anmelden, falls Ihr Anbieter ausfällt. Um Sitzungen zu beenden, die schon mit Passwort angemeldet waren, gehen Sie zu Sicherheit und drücken Sie Alle anderen abmelden. Mit Passwörter wieder erlauben machen Sie es rückgängig.

Unter Anmeldung aus der App-Liste des Identitätsanbieters können Sie erlauben, dass Personen Kaam360 aus dem Dashboard Ihres Anbieters öffnen (Okta, My Apps). Das ist standardmäßig aus, weil Anmeldungen, die bei Kaam360 beginnen, an den anfragenden Browser gebunden sind.

Schritt 7: automatische Benutzereinrichtung (SCIM)

Ihr Verzeichnis (Microsoft Entra ID, Okta, Google Workspace oder jedes SCIM-2.0-Verzeichnis) kann Personen in Kaam360 anlegen, ihre Namen und E-Mail-Adressen aktuell halten und die Konten von Personen abschalten, die gehen.

1. Drücken Sie auf der Single-Sign-on-Seite unter 7. Automatische Benutzereinrichtung (SCIM) auf Einschalten und Token erstellen.
2. Kopieren Sie die Adresse (Tenant-URL) und das Token. Das Token wird nur einmal angezeigt.
3. Öffnen Sie in Ihrem Verzeichnis die Kaam360-App und ihre Bereitstellungseinstellungen (in Microsoft Entra ID: Provisioning, Modus Automatic). Fügen Sie die Adresse als Tenant-URL und das Token als geheimes Token ein, testen Sie die Verbindung und starten Sie die Bereitstellung.
4. Wählen Sie, wer übertragen wird: die der App zugewiesenen Personen und Gruppen.

Personen, die das Verzeichnis anlegt, haben kein Kaam360-Passwort: Sie melden sich per Single Sign-on an. Jede neue aktive Person belegt einen Platz Ihres Tarifs, und das Verzeichnis erfährt es, wenn kein Platz frei ist. Gruppen, deren Namen Sie in Schritt 5 zugeordnet haben, geben ihren Mitgliedern diese Rolle. Eine im Verzeichnis entfernte Person wird abgeschaltet, nie gelöscht, damit ihre Aufgaben, Stunden und ihr Verlauf erhalten bleiben. Der letzte Administrator und die Notfall-Administratoren werden vom Verzeichnis nie abgeschaltet. Drücken Sie Neues Token erstellen, wenn das Token bekannt geworden sein könnte; das alte hört sofort auf zu funktionieren. Jede Änderung des Verzeichnisses wird im Aktivitätsprotokoll festgehalten.

Zertifikate wechseln

Identitätsanbieter ersetzen ihr Signaturzertifikat alle paar Jahre. Kaam360 zeigt eine Warnung auf der Seite und schreibt den Administratoren 30 und 7 Tage, bevor das letzte akzeptierte Zertifikat abläuft, eine E-Mail.

• Kommen die Angaben von einer Metadaten-Adresse, drücken Sie Jetzt aktualisieren (Kaam360 tut das auch täglich).
• Sonst fügen Sie das neue Zertifikat unter Zertifikate wechseln ein und drücken Neues Zertifikat hinzufügen. Während des Wechsels werden beide akzeptiert. Wenn Ihr Anbieter das neue verwendet, drücken Sie Das zweite Zertifikat zum einzigen machen.

Das eigene Zertifikat von Kaam360 (nur nötig, wenn Ihr Anbieter seine Antworten verschlüsselt) ersetzen Sie mit Neues Zertifikat erstellen; geben Sie die neuen Metadaten an Ihren Anbieter und drücken Sie dann Bisheriges Zertifikat entfernen.

Gut zu wissen

• Wer sich über Single Sign-on anmeldet, wird nicht nach einem Kaam360-Zwei-Faktor-Code gefragt: Die Prüfungen Ihres Identitätsanbieters (etwa Okta Verify oder Microsoft Authenticator) treten an seine Stelle.
• Jede Anmeldung, Ablehnung, jeder Test und jede Einstellungsänderung steht im Aktivitätsprotokoll unter „Single sign-on (SAML)“.
• Kaam360 erfährt nicht, wenn jemand bei Ihrem Identitätsanbieter entfernt wird. Die Person kann sich nicht mehr anmelden, aber schalten Sie sie auch in Kaam360 ab, um eine laufende Sitzung zu beenden.

Wenn etwas nicht klappt

• Der Test meldet, dass die Signatur nicht passt: Das Zertifikat in Kaam360 ist nicht das, mit dem Ihr Anbieter signiert. Laden Sie die Metadaten erneut oder fügen Sie das aktuelle Zertifikat ein.
• „Falscher Empfänger (Audience)“: Die Entity-ID bei Ihrem Anbieter ist nicht die aus Schritt 1.
• „Die Antwort hat keine E-Mail-Adresse“: Senden Sie das E-Mail-Attribut oder tragen Sie seinen Namen unter Attribute ein.
• Ihr Anbieter ist ausgefallen und niemand kann sich anmelden: Ein Notfall-Administrator meldet sich mit Passwort und Zwei-Faktor-Code an und drückt Passwörter wieder erlauben. Kann das niemand, wenden Sie sich an den Kaam360-Support.