Single Sign-On (SSO)

Single Sign-On ermöglicht es den Mitgliedern einer Enterprise-Organisation, sich beim CCTV Design Tool mit dem Identitätsanbieter Ihres Unternehmens anzumelden, anstatt mit einem separaten Passwort. Das Tool verbindet sich mit Microsoft Entra ID oder mit jedem OpenID Connect-Anbieter wie Okta, Auth0, Keycloak oder Google Workspace. Sobald SSO aktiviert ist, meldet sich Ihr Team an, indem es auf der Anmeldeseite Sign in with SSO auswählt und seine Arbeits-E-Mail eingibt. Administratoren können SSO auch erzwingen, sodass sich Mitglieder nicht mehr mit einem Passwort oder einem Google-Konto anmelden können.

Wann Sie dies verwenden sollten

• Wenn Ihre Organisation ein einziges Anmelde­paar für alle Business-Anwendungen wünscht
• Wenn Sie neue Teammitglieder einbinden müssen, ohne Passwörter zu erstellen und zu versenden
• Wenn Ihre Sicherheitsrichtlinie verlangt, dass der Zugriff zentral durch Ihren Identitätsanbieter gesteuert wird
• Wenn Sie sicherstellen möchten, dass eine Person, die das Unternehmen verlässt, den Zugriff sofort verliert, sobald ihr Konto beim Identitätsanbieter deaktiviert wird

Bevor Sie beginnen

• Ihr Konto muss zu einer Enterprise-Organisation gehören. Siehe Free- / Premium- / Enterprise-Versionen.
• Sie benötigen die Berechtigung Manage SSO settings. Die ADMIN-Gruppe des Organisationsinhabers hat sie standardmäßig. Um einer anderen Gruppe die Konfiguration von SSO zu erlauben, aktivieren Sie Manage SSO settings für diese Gruppe unter Manage Groups.
• Sie benötigen Administratorzugriff auf Ihren Identitätsanbieter, um das CCTV Design Tool dort als Anwendung zu registrieren.

SSO-Einstellungen öffnen

1. Klicken Sie in der linken Werkzeugleiste auf das User-Menü.
2. Wählen Sie Profile aus dem Dropdown-Menü.
3. Wählen Sie im Abschnitt Company der Benutzerprofil-Seitenleiste Single Sign-On aus.

Die Seite enthält zwei Karten: SSO configuration, wo Sie die Details Ihres Identitätsanbieters eingeben, und Test & activation, das erscheint, sobald eine Konfiguration gespeichert wurde.

Schritt 1: App beim Identitätsanbieter registrieren

Das CCTV Design Tool muss als Webanwendung in Ihrem Identitätsanbieter registriert werden. Der eine Wert, den Sie aus dem Tool benötigen, ist die am unteren Rand der Karte SSO configuration angezeigte Callback URL. Klicken Sie auf die Schaltfläche zum Kopieren daneben und registrieren Sie sie als Redirect-URI der Anwendung.

Microsoft Entra ID

1. Öffnen Sie im Microsoft Entra admin center App registrations und klicken Sie auf New registration.
2. Geben Sie der Anwendung einen Namen, zum Beispiel CCTV Design Tool.
3. Wählen Sie unter Redirect URI die Plattform Web und fügen Sie die aus dem Tool kopierte Callback URL ein.
4. Registrieren Sie die Anwendung und notieren Sie die Application (client) ID und die Directory (tenant) ID von der Übersichtsseite.
5. Öffnen Sie Certificates & secrets, erstellen Sie ein neues client secret und kopieren Sie dessen value sofort. Der Wert wird nur einmal angezeigt.

Andere OpenID Connect-Anbieter

1. Erstellen Sie eine neue Webanwendung (manchmal als regular web app oder confidential client bezeichnet) mit einem client secret.
2. Registrieren Sie die aus dem Tool kopierte Callback URL als zulässige Redirect-URI.
3. Notieren Sie die client ID und das client secret.
4. Ermitteln Sie die issuer URL Ihres Anbieters. Sie muss exakt dem issuer-Wert entsprechen, der im Discovery-Dokument des Anbieters unter /.well-known/openid-configuration veröffentlicht ist, zum Beispiel https://your-company.okta.com.

Schritt 2: Konfiguration eingeben

Füllen Sie die Karte SSO configuration aus und klicken Sie auf Save.

Field	What to enter
Provider	Microsoft Entra ID oder Other (OpenID Connect) für jeden anderen Anbieter.
Tenant ID	Nur Entra ID. Die Directory (tenant) ID Ihres Microsoft-Mandanten.
Issuer URL	Nur andere Anbieter. Die Issuer-URL exakt wie im Discovery-Dokument des Anbieters veröffentlicht.
Client ID	Die Application (client) ID der registrierten App.
Client secret	Der für diese App erstellte Secret-Wert.
Callback URL	Schreibgeschützt. Registrieren Sie diese Redirect-URI in Ihrem Identitätsanbieter.

INFO

Das Client-Secret wird verschlüsselt gespeichert und nie wieder angezeigt. Wenn Sie die Konfiguration später bearbeiten, lassen Sie das Feld Client secret leer, um das aktuelle Secret beizubehalten.

WARNING

Das Speichern jeglicher Änderung an der Konfiguration löscht das letzte Testergebnis und deaktiviert SSO, bis Sie die Konfiguration erneut testen und wieder aktivieren. Wenn SSO erzwungen war, wird die Erzwingung ebenfalls aufgehoben. Planen Sie Konfigurationsänderungen, wie das Rotieren eines abgelaufenen Client-Secrets, für einen Zeitpunkt, zu dem eine kurze Unterbrechung akzeptabel ist.

Schritt 3: Konfiguration testen

Klicken Sie in der Karte Test & activation auf Test configuration. Der Test überprüft:

• ob das Discovery-Dokument des Identitätsanbieters für den von Ihnen eingegebenen Mandanten oder Issuer erreichbar ist,
• ob der Anbieter seine Token-Signierschlüssel veröffentlicht,
• und für Microsoft Entra ID, ob die Client-ID und das Client-Secret vom Mandanten akzeptiert werden.

Bei Other (OpenID Connect)-Anbietern kann das Client-Secret ohne echte Anmeldung nicht geprüft werden, daher bestätigt ein erfolgreicher Test nur, dass der Anbieter erreichbar ist. Das Secret wird durch den ersten Benutzer verifiziert, der sich anmeldet.

Das Ergebnis des letzten Tests wird neben der Schaltfläche angezeigt. Ein fehlgeschlagener Test zeigt den Grund an, zum Beispiel eine falsche Tenant-ID oder ein zurückgewiesenes Client-Secret. SSO kann erst aktiviert werden, wenn ein Test erfolgreich war.

Schritt 4: SSO aktivieren

Sobald ein Test erfolgreich war, schalten Sie Enable SSO ein. Von jetzt an gilt:

• Mitglieder Ihrer Organisation können sich auf der Anmeldeseite mit Sign in with SSO anmelden.
• Passwort- und Google-Anmeldung funktionieren weiterhin. SSO ist zu diesem Zeitpunkt optional.
• Jedes Mitglied, das sich zum ersten Mal mit SSO anmeldet, verknüpft seine Identität per E-Mail mit seinem bestehenden Konto.

Das Ausschalten von Enable SSO stoppt die SSO-Anmeldung sofort und hebt auch die Erzwingung auf.

SSO erzwingen

Schalten Sie Enforce SSO ein, um den Identitätsanbieter zum einzigen Anmeldeweg zu machen. Der Umschalter ist nur verfügbar, solange SSO aktiviert ist. Wenn SSO erzwungen ist:

• Mitglieder können sich nur mit Sign in with SSO anmelden. Passwort- und Google-Anmeldung werden mit der Meldung Ihre Organisation erfordert Single Sign-On abgelehnt.
• Eingeladene Benutzer können sich nicht registrieren oder ein Passwort festlegen. Sie treten der Organisation bei, indem sie sich beim ersten Mal mit SSO anmelden (siehe Adding users).
• Mitglieder der ADMIN-Gruppe bleiben ausgenommen und können sich immer mit ihrem Passwort anmelden. Das garantiert, dass eine fehlerhafte Konfiguration des Identitätsanbieters die Organisation niemals aus ihren eigenen Einstellungen aussperrt.

TIP

Aktivieren Sie SSO zunächst ohne Erzwingung und bitten Sie einige Mitglieder, Sign in with SSO auszuprobieren. Erzwingen Sie es erst, nachdem Sie bestätigt haben, dass die Anmeldung für reguläre Mitglieder funktioniert.

So meldet sich Ihr Team an

1. Klicken Sie auf der Anmeldeseite auf Sign in with SSO.
2. Geben Sie Ihre Arbeits-E-Mail-Adresse ein und klicken Sie auf Continue with SSO.
3. Sie werden zum Identitätsanbieter Ihrer Organisation umgeleitet. Melden Sie sich dort mit dem gleichen Konto an, dessen E-Mail Sie gerade eingegeben haben.
4. Sie werden zum CCTV Design Tool zurückgeleitet und sind bereits angemeldet.

Die Organisation wird anhand der E-Mail-Adresse ermittelt: Sie muss zu einem Mitglied einer Organisation mit aktiviertem SSO gehören oder zu einer ausstehenden Einladung einer solchen Organisation. Wenn für das Konto die Zwei-Faktor-Authentifizierung aktiviert ist, wird der Code weiterhin abgefragt, nachdem der Identitätsanbieter Sie angemeldet hat.

Benutzer hinzufügen, wenn SSO aktiviert ist

Benutzer werden wie üblich unter Benutzer verwalten hinzugefügt. Was danach passiert, hängt davon ab, ob SSO erzwungen ist.

SSO aktiviert, nicht erzwungen

• Eine E-Mail, die bereits ein CCTV Design Tool-Konto hat, erhält eine Einladung, die die Person in der App annimmt.
• Eine neue E-Mail erfordert ein temporäres Passwort, wie auch ohne SSO. Die Person meldet sich zuerst mit diesem Passwort an und kann anschließend auf SSO umsteigen.

SSO erzwungen

• Eine neue E-Mail wird ohne Passwort eingeladen. Die Person wählt auf der Anmeldeseite einfach Sign in with SSO. Ihre erste erfolgreiche Anmeldung nimmt die Einladung an, ordnet sie der während der Einladung ausgewählten Gruppe zu und weist eine freie Lizenz zu, sofern verfügbar.
• Eine E-Mail, die bereits ein aktives Konto hat, muss sich zuerst mit ihrem Passwort anmelden und die Einladung in der App annehmen. Erst danach kann diese Person SSO verwenden.

INFO

Einladungen verfallen. Wenn sich eine Person vor Ablauf der Einladung nicht angemeldet hat, stornieren Sie sie und laden Sie die Person erneut über Manage Users ein.

Audit-Trail

Jede Änderung wird im Audit-Log der Organisation protokolliert: das Speichern der Konfiguration, das Ausführen eines Tests mit seinem Ergebnis sowie das Aktivieren, Deaktivieren oder Erzwingen von SSO. Benutzer, die über eine SSO-Einladung beitreten, erscheinen als Einladung angenommen.

Fehlerbehebung

Meldung	Bedeutung
Identity provider discovery failed (HTTP …) — check the tenant ID	Die Tenant-ID oder Issuer-URL ist falsch oder der Anbieter ist nicht erreichbar.
The discovery document publishes a different issuer	Für Other (OpenID Connect) geben Sie die Issuer-URL exakt so ein, wie sie der Anbieter veröffentlicht, einschließlich oder ohne nachfolgenden Pfad.
Client credentials check failed	Die Client-ID oder das Client-Secret ist falsch oder das Secret ist abgelaufen. Erstellen Sie ein neues Secret in Ihrem Identitätsanbieter und speichern Sie es.
Test the configuration successfully before enabling SSO	Führen Sie Test configuration aus und beheben Sie das gemeldete Problem, bevor Sie Enable SSO einschalten.
SSO is not available for this account	Die eingegebene E-Mail gehört nicht zu einem Mitglied oder Eingeladenen einer Organisation mit aktiviertem SSO. Prüfen Sie, ob die Person unter Manage Users hinzugefügt wurde.
You signed in to the identity provider with a different account than the email you entered	Beim Identitätsanbieter wurde ein anderes Konto gewählt als die E-Mail, die auf der Anmeldeseite eingegeben wurde. Starten Sie erneut und wählen Sie das passende Konto.
You already have an account. Sign in with your password and accept the organization invitation first	Der Eingeladene hatte bereits ein aktives Konto vor der Einladung. Er oder sie muss die Einladung einmal in der App annehmen, danach funktioniert SSO.
Your invitation has expired	Laden Sie die Person erneut über Manage Users ein.
Your organization requires single sign-on	SSO ist erzwungen. Verwenden Sie Sign in with SSO statt Passwort oder Google.

Tipps

• Notieren Sie sich, wann Ihr Client-Secret abläuft, und rotieren Sie es vor diesem Datum. Ein abgelaufenes Secret stoppt SSO für die gesamte Organisation.
• Schalten Sie die Erzwingung erst ein, nachdem reguläre Mitglieder bestätigt haben, dass die SSO-Anmeldung für sie funktioniert.
• Behalten Sie mindestens einen Administrator in der ADMIN-Gruppe, der sein Passwort kennt. Administratoren sind die Rückfalloption, wenn der Identitätsanbieter nicht verfügbar ist.
• Wenn SSO erzwungen ist, laden Sie neue Kolleginnen und Kollegen nur per E-Mail ein. Sie benötigen nie ein Passwort von Ihnen.
• Überprüfen Sie nach Konfigurationsänderungen das Audit-Log, um zu bestätigen, wer was wann geändert hat.

Verwandte Themen

• Enterprise-Einstellungen
• Benutzerprofil
• Free- / Premium- / Enterprise-Versionen