Single Sign-on (SSO)

Mit Single Sign-on melden sich eure Benutzer mit dem Konto an, das sie ohnehin für die Arbeit nutzen – bei Microsoft Entra ID (Microsoft 365), Google Workspace oder einem eigenen OpenID-Connect-Anbieter wie Okta, Keycloak oder Auth0. Ein eigenes Passwort bei allverto brauchen sie dann nicht mehr.

#Was du brauchst

• Das Recht Benutzer verwalten (die SSO-Pflicht schaltet nur ein Inhaber ein oder aus).
• Bei Microsoft die Mandanten-ID eures Verzeichnisses, bei Google die Workspace-Domain, beim eigenen Anbieter Aussteller-Adresse (Issuer), Client-ID und Client-Secret.
• Die E-Mail-Domains, mit denen sich eure Leute anmelden (z. B. firma.de).

#Einrichten

Öffne Zahnrad → Sicherheit und scrolle zur Karte Single Sign-on.

1. Single Sign-on einschalten.
2. Unter Anbieter Microsoft Entra ID, Google Workspace oder Eigener OpenID-Connect-Anbieter wählen. Ist ein Anbieter ausgegraut, hat allverto ihn noch nicht eingerichtet – ein Antippen nennt den Grund.
3. Die Angaben des Anbieters eintragen (siehe unten).
4. Unter Erlaubte E-Mail-Domains eure Domains hinzufügen. Nur Adressen mit diesen Domains melden sich über Single Sign-on an. Öffentliche Anbieter wie gmail.com oder web.de sind nicht möglich.
5. Speichern und danach Anmeldung testen.

#Microsoft Entra ID

allverto hat eine eigene, mehrinstanzenfähige App bei Microsoft. Ihr tragt nur ein, welches Verzeichnis gilt:

1. Im Microsoft Entra Admin Center unter Übersicht die Mandanten-ID kopieren.
2. In allverto bei Mandanten-ID (Verzeichnis-ID) einfügen.
3. Bei der ersten Anmeldung fragt Microsoft nach der Zustimmung für die App „allverto“. Darf das nicht jede Person selbst, erteilt eine Administratorin die Zustimmung einmal für die ganze Organisation (Unternehmensanwendungen → allverto → Berechtigungen → Administratorzustimmung erteilen).

allverto nimmt als E-Mail-Adresse den Anmeldenamen (UPN) des Kontos, z. B. erika@firma.de. Er muss zu der Adresse passen, mit der die Person in allverto eingeladen ist. Konten aus anderen Verzeichnissen lehnt allverto ab – auch Gastkonten.

#Google Workspace

1. Bei Google-Workspace-Domain die primäre Domain eures Workspace eintragen, z. B. firma.de.
2. Fertig – allverto nutzt eine eigene App bei Google. Die Google-Anmeldung zeigt nur Konten dieser Organisation; private Gmail-Konten werden abgelehnt.

#Eigener OpenID-Connect-Anbieter (Okta, Keycloak, Auth0 …)

1. Beim Anbieter eine neue Anwendung vom Typ Web (Authorization Code mit PKCE) anlegen.
2. Als Redirect-URI die Adresse aus der Karte eintragen (Knopf Kopieren neben Redirect-URI).
3. Bereiche (Scopes) openid, email und profile erlauben.
4. In allverto Aussteller-Adresse (Issuer) (https-Adresse, z. B. https://firma.okta.com), Client-ID und Client-Secret eintragen, bei Bedarf eine Bezeichnung auf dem Knopf (z. B. „Okta“).
5. Speichern. Jede Domain zeigt danach einen TXT-Eintrag: Lege ihn bei deinem DNS-Anbieter an und klicke Prüfen. Erst bestätigte Domains lassen sich anmelden.

Das Client-Secret liegt verschlüsselt bei allverto und wird nie wieder angezeigt. Leer lassen behält das hinterlegte Secret.

#Anmeldung testen

Anmeldung testen öffnet die Anmeldung beim Anbieter in einem Popup. Danach zeigt allverto, was angekommen ist (z. B. E-Mail, Name, Verzeichnis) und ob die Anmeldung klappen würde – angemeldet wirst du dabei nicht. Gründe für eine Ablehnung stehen im Ergebnis, z. B. „Diese E-Mail-Domain ist für Single Sign-on dieser Firma nicht freigegeben“.

Speichere vor dem Test; geänderte Einstellungen brauchen einen neuen Test, bevor die SSO-Pflicht gilt.

#Anmelden

• Auf der Anmeldeseite zuerst die E-Mail-Adresse eingeben. Gehört die Domain zu eurer Firma, erscheint Mit Microsoft anmelden (bzw. Google oder eure Bezeichnung).
• Unter Direktlink zur Anmeldung steht eine Adresse wie allverto.cloud/login/sso/eure-firma, die direkt zum Anbieter führt – praktisch als Lesezeichen oder im Intranet.
• allverto ordnet das Konto über die E-Mail-Adresse zu (Groß- und Kleinschreibung egal). Die Person muss in eurer Firma Mitglied sein – oder automatisch angelegt werden (siehe unten). Wer in mehreren Firmen arbeitet, wechselt wie gewohnt über das Firmenmenü.
• Die Sitzung dauert so lange wie bei der Anmeldung mit Passwort; die automatische Abmeldung bei Inaktivität gilt ebenso.

#SSO-Pflicht

Mit SSO-Pflicht melden sich alle Benutzer der Firma nur noch über Single Sign-on an. Beim Einschalten enden laufende Passwort-Sitzungen der anderen Benutzer. Wer zusätzlich in einer Firma ohne SSO-Pflicht arbeitet, kann sich dort weiter mit Passwort anmelden; der Wechsel in eure Firma verlangt dann Single Sign-on.

Voraussetzungen:

Notfallzugang: Inhaber können sich trotz SSO-Pflicht mit Passwort anmelden – aber nur mit eingerichteter Zwei-Faktor-Anmeldung. So kommt ihr auch dann in allverto, wenn der Anbieter gestört ist. Auf der Anmeldeseite steht dafür Als Inhaber mit Passwort anmelden (Notfallzugang).

#Benutzer automatisch anlegen

Standardmäßig melden sich nur Personen an, die in allverto eingeladen sind. Mit Benutzer automatisch anlegen bekommt jede Person mit einer erlaubten Domain bei der ersten Anmeldung einen Zugang mit der gewählten Standardrolle. Die Rolle Inhaber ist dafür nicht wählbar. Deaktivierte Benutzer bleiben deaktiviert.

Bedenke: Jeder neue aktive Benutzer zählt für das Abo.

#Protokoll

Jede Anmeldung über Single Sign-on steht im Systemprotokoll. Abgelehnte Anmeldungen stehen zusätzlich in der Firewall – jeweils mit Grund, z. B. Domain nicht freigegeben, Konto aus anderem Verzeichnis oder kein Zugang in der Firma. Tokens und Secrets speichert allverto nie.

#Häufige Fragen

#Auf der Anmeldeseite erscheint kein Knopf „Mit … anmelden“.

Prüfe, ob Single Sign-on eingeschaltet ist, die Domain der E-Mail unter Erlaubte E-Mail-Domains steht und – beim eigenen Anbieter – per DNS bestätigt ist. Der Direktlink funktioniert unabhängig davon.

#„Für diese E-Mail-Adresse gibt es in der Firma keinen Zugang.“

Die Person ist nicht eingeladen. Lade sie unter Benutzer ein oder schalte Benutzer automatisch anlegen ein. Bei Microsoft: Passt der Anmeldename (UPN) zur E-Mail-Adresse in allverto?

#Was passiert, wenn wir das Paket wechseln?

Ohne Paket Flotte ist Single Sign-on aus, auch die SSO-Pflicht. Alle melden sich dann wieder mit Passwort an („Passwort vergessen?“ setzt bei Bedarf ein neues). Die Einstellungen bleiben gespeichert.