SAML: Datenfeld-Mapping und Adminrechte

Nach der technischen SAML-Verbindung bestimmen das Datenfeld-Mapping und die Rechteoptionen, welche edoobox Identität und welches Recht verwendet werden. Beginnen Sie mit einem Testzugang und prüfen Sie jeden vorgesehenen Rollenfall.

Mapping öffnen und speichern

Öffnen Sie Einstellungen → SAML (SSO) und wählen Sie den Provider.
Wechseln Sie zu Datenfeld Mapping. Die Tabelle zeigt Bezeichnung, Beschreibung, edoobox Feld und empfangenes Attribut.
Klicken Sie auf Bearbeiten. Der JSON-Editor öffnet die vollständige aktuelle Zuordnung.
Passen Sie die Attributnamen an die vom Identity Provider tatsächlich gelieferten Namen an.
Speichern Sie gültiges JSON mit Speichern im Mapping-Register. Die Schaltfläche für die allgemeine Konfiguration ist ein eigener Speicherschritt.

Standardfelder abstimmen

edoobox Feld	Google/generisches SAML	Microsoft-Claim
`email`	`email`	`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress`
`first_name`	`givenName`	`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname`
`last_name`	`sn`	`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname`
`acl`	`edoobox.acl` bei aktivierter Admin-Rechteübernahme

Vergleichen Sie die exakten Namen. Ein Anzeigename wie «E-Mail» im Anbieterportal ist nicht automatisch derselbe Attributname wie email. Vorname, Nachname und E-Mail müssen passend gemappt sein. Verwenden Sie jedes dieser edoobox Standardfelder nur einmal.

NameID und Datenfelder unterscheiden

Die NameID ist die dauerhafte Kennung der SAML-Identität. Edoobox verwendet Provider und NameID, um eine bestehende SAML-Verbindung wiederzufinden. Das gemappte E-Mail-Feld dient zusätzlich dem Datenabgleich beziehungsweise der ersten Verknüpfung.

Unter Konfiguration → NameID-Format wählen Sie Email Address, Persistent oder Unspecified. Abstimmung und Wert kommen vom Identity Provider. Ändern Sie die Kennung eines bereits verwendeten Providers nur nach einem kontrollierten Test; eine andere Kennung kann die bestehende Zuordnung verändern.

Die übermittelte NameID muss mindestens fünf Zeichen lang sein. Verwenden Sie eine dauerhafte Kennung; eine kurze interne Nummer wie «123» wird abgelehnt, auch wenn das übrige Mapping stimmt.

Bestehende Admins verknüpfen

Aktivieren Sie Admins mit SAML verknüpfen, wenn bestehende aktive Admins anhand derselben E-Mail-Adresse verbunden werden sollen. Ohne solche Verknüpfung muss eine neue Adminidentität über die freigegebene ACL-Übernahme berechtigt sein. Ein unbekannter IdP-Benutzer erhält durch seine E-Mail-Adresse allein keinen Adminzugang.

Wenn Sie Rechte in edoobox pflegen möchten, lassen Sie die ACL-Übernahme ausgeschaltet und verwenden Sie bestehende berechtigte Admins. Kontrollieren Sie nach dem Login das tatsächlich vorhandene Rechteprofil.

Adminrechte aus SAML übernehmen

Die Option Rechteverwaltung via edoobox aktiviert die Auswertung des auf acl gemappten SAML-Attributs. Hinterlegen Sie das Attribut im Mapping und lassen Sie vom Identity Provider die vorgesehenen Werte senden:

Wert	Ergebnis
`edoobox.acl.0` oder `edoobox.acl.1`	Kein zulässiger Adminzugang.
`edoobox.acl.2`	Leitungsrecht.
`edoobox.acl.3`	Administrationsrecht.
`edoobox.acl.4`	Superadminrecht.

Bei mehreren übergebenen Stufen wird die höchste ausgewertet. Prüfen Sie besonders Personen mit mehreren Gruppenmitgliedschaften. Fehlende oder unpassende ACL-Werte sind ein Konfigurationsfehler; verlassen Sie sich nicht darauf, dass das ausgewählte Ausweichrecht eine fehlende Autorisierung ersetzt.

Beispiel: Die Kursverwaltung liefert ausschliesslich edoobox.acl.3. Die kleine Gruppe der Kontoverantwortlichen liefert edoobox.acl.4. Testen Sie beide Rollen und eine nicht berechtigte Person, bevor Sie weitere Personen freigeben.

Zusätzliche Teilnehmerfelder zuordnen

Neben den Standardfeldern können zusätzliche Teilnehmer-Datenfelder data_1 bis data_30 aus SAML befüllt werden. Ermitteln Sie vorab in Ihren Teilnehmer-Datenfeldern, welches Feld zum gewünschten Inhalt gehört. Diese zusätzlichen Felder wirken nur auf Teilnehmende.

Das folgende vollständige Beispiel verwendet generische Attributnamen und ergänzt die Personalnummer im zusätzlichen Feld 5. Ersetzen Sie die Attributnamen und Feldnummer durch Ihre tatsächliche Konfiguration:

[
  {"name":"E-Mail", "description":"Geschäftliche E-Mail", "attr":"email", "field":"email", "only_user":false},
  {"name":"Vorname", "description":"Vorname", "attr":"givenName", "field":"first_name", "only_user":false},
  {"name":"Nachname", "description":"Nachname", "attr":"sn", "field":"last_name", "only_user":false},
  {"name":"Personalnummer", "description":"Zusätzliches Teilnehmerfeld 5", "attr":"employeeNumber", "field":"data_5", "only_user":true}
]

Für Admin-ACL ergänzen Sie bei einem dafür bestimmten Provider zusätzlich eine Zeile mit "attr":"edoobox.acl" und "field":"acl". Aktivieren Sie die Rechteübernahme erst, nachdem der Anbieter das Attribut tatsächlich liefert.

Bei späteren Teilnehmerlogins aktualisieren vorhandene, nicht leere Attributwerte die zugeordneten Daten. Fehlende oder leere Werte überschreiben bereits vorhandene Teilnehmerdaten nicht pauschal mit leeren Inhalten. Für neu erstellte Teilnehmende müssen die benötigten gemappten Werte vorhanden sein.

Zusatzfelder mit einem Testprofil abnehmen

Ein erfolgreicher Login bestätigt zunächst den Zugang. Prüfen Sie zusätzlich im Teilnehmerprofil und in der Datenfeld-Konfiguration, ob jedes benötigte Zusatzfeld richtig angekommen ist. Die sichtbare Bezeichnung «Personalnummer» ist kein technischer SAML-Feldname: Entscheidend sind der genaue Attributname des Identity Providers und der passende edoobox Feldplatz, beispielsweise data_5.

Notieren Sie für jedes Feld den Zweck, den edoobox Feldplatz und Datentyp sowie den exakten IdP-Attributnamen. Stimmen Sie ein eindeutiges Werteformat ab; bei Kennungen mit führenden Nullen verwenden Sie ein dafür geeignetes Textfeld. Ein Datums- oder Auswahlfeld benötigt Werte, die zu seiner Konfiguration passen.
Ergänzen Sie die Zuordnung im vollständigen Mapping und speichern Sie. Verwenden Sie für einen skalaren Profilwert genau einen vorgesehenen Attributwert. Bei einem mehrwertigen SAML-Attribut übernimmt der Teilnehmerabgleich den ersten Wert, keine zusammengefügte Liste.
Melden Sie eine neue Testperson an und öffnen Sie danach deren Profil. Vergleichen Sie E-Mail, Vorname, Nachname und alle Zusatzfelder mit den erwarteten Werten.
Ändern Sie einen Wert beim Identity Provider und melden Sie dieselbe Person erneut an. Kontrollieren Sie, dass derselbe Datensatz aktualisiert wird und der neue Wert im richtigen Feld steht.

Prüffall	Erwartung und Konsequenz
Neue Person, alle gemappten Attribute gefüllt	Profil wird angelegt; jedes Feld und seine Darstellung im Profil kontrollieren.
Neue Person, ein zusätzlich gemapptes Attribut fehlt oder ist leer	Der neue Teilnehmerzugang kann scheitern. Diese Anforderung gilt auch dann, wenn das Feld im normalen Buchungsformular optional ist. Ordnen Sie deshalb nur Felder zu, die der Provider für neue Personen zuverlässig liefert.
Bestehende Person, neuer nicht leerer Wert	Der zugeordnete Profilwert wird beim erneuten Login aktualisiert. Auch eine vorherige manuelle Änderung kann damit überschrieben werden.
Bestehende Person, Attribut fehlt oder ist leer	Der bestehende Wert bleibt erhalten. Ein leeres IdP-Attribut ist kein verlässlicher Löschauftrag.
Attribut enthält mehrere Werte	Prüfen Sie die Reihenfolge beim Provider; nur der erste Wert wird als Teilnehmerfeld übernommen.

Bei einem Fehler prüfen Sie zuerst Feldplatz, Attributschreibweise und gelieferten Wert. Korrigieren Sie danach die Zuordnung oder die IdP-Ausgabe und wiederholen Sie denselben Fall. Die Teilnehmerfeld-Zuordnung erteilt keine Adminrechte und ersetzt keine Provider-Tags oder Angebotsfilter.

Fehlersuche

Speichern nicht möglich: JSON-Syntax, vollständige Struktur und doppelte Standardfeld-Zuordnungen prüfen.
Neue Person kann nicht anmelden: Login-Scope, NameID, Pflichtattribute und bei Admins die erlaubte Verknüpfung beziehungsweise gültige ACL prüfen.
Bestehende Teilnehmerdaten wirken unverändert: Prüfen Sie, ob das Attribut vorhanden und nicht leer geliefert wird und ob Sie das richtige zusätzliche Datenfeld gewählt haben.
Adminrecht ist zu hoch: Alle gelieferten ACL-Werte prüfen; eine höhere zweite Rolle kann die erwartete niedrigere Rolle übersteuern.