SAML für Teilnehmende: Login, Tags und Angebotszugriff

Mit Teilnehmer-SAML melden sich Personen im edoobox Buchungsprozess über Ihren Identity Provider an. Sie können Teilnehmerdaten übernehmen und den Angebotszugriff über am Provider hinterlegte Tags steuern. Die Adminanmeldung und ihre Rechte sind ein eigener Bereich.

Provider für den Teilnehmerlogin vorbereiten

Öffnen Sie Einstellungen → SAML (SSO) und wählen Sie den Provider oder erstellen Sie einen neuen.
Wählen Sie unter Sichtbarkeit im Login den Wert Nur User oder User & Admin. «User» bezeichnet Teilnehmende.
Stimmen Sie NameID-Format, Metadaten und die zugeordneten Felder E-Mail, Vorname und Nachname ab.
Bei zusätzlichen Teilnehmerdaten folgen Sie SAML-Datenfeld-Mapping.
Prüfen Sie den Teilnehmer-Login Ihrer Buchungsseite im Design Manager und testen Sie dort den Provider.

Für einen reinen Teilnehmerprovider blendet edoobox die Adminoptionen für Ausweichrecht, Rechteverwaltung und Admin-Verknüpfung aus. Ein Teilnehmer-SSO erteilt keine Adminrechte.

Beschriftung des SSO-Buttons ändern

Der SAML-Loginbutton auf der Teilnehmer-Loginseite verwendet den Namen des SAML-Providers. Dieser Name ist vom unveränderlichen Kontokürzel getrennt.

Öffnen Sie Einstellungen → SAML (SSO) und den richtigen Provider.
Ändern Sie im Providerformular das Feld Name in eine für Teilnehmende verständliche Bezeichnung, beispielsweise «Organisations-Login».
Speichern Sie und kontrollieren Sie die echte Teilnehmer-Loginseite sowie den eingebundenen Buchungsweg.
Bei einem Provider für User & Admin prüfen Sie auch den Admin-Einstieg, bevor Sie die Änderung intern kommunizieren.

Der Providername ist keine eigene mehrsprachige Textvorlage. Eine frei im Design erfasste Überschrift oder ein Text vor dem Loginbutton wird in der betreffenden Vorlage gepflegt. Ändern Sie für eine neue Buttonbeschriftung weder das Kontokürzel noch ungeprüft die technischen SAML-URLs und Metadaten.

Vorhandene Teilnehmer erkennen und aktualisieren

Eine bestehende SAML-Verbindung wird über Provider und NameID wiedererkannt. Beim Provider mit Nur User sucht edoobox beim ersten Login zusätzlich nach einem aktiven Teilnehmer mit derselben gemappten E-Mail-Adresse. Wird ein passender Datensatz gefunden, wird er verbunden; andernfalls kann ein neuer Teilnehmer mit den gelieferten Daten entstehen.

Beim gemeinsamen Scope User & Admin hängt die erste E-Mail-Verknüpfung auch von der aktivierten Verknüpfungsoption ab. Testen Sie die Umstellung mit einer bekannten Teilnehmerperson, bevor Sie den Provider breit nutzen. Verwenden Sie eindeutige persönliche E-Mail-Adressen und kontrollieren Sie mögliche Dubletten vor einer Migration.

Vorhandene, nicht leere SAML-Feldwerte können Teilnehmerdaten beim Login aktualisieren. Zusätzliche Felder wirken ausschliesslich auf Teilnehmer. Prüfen Sie deshalb sowohl den ersten Login als auch eine spätere Änderung beim Identity Provider.

Teilnehmer-Tags am Provider pflegen

Öffnen Sie im Provider das Register Konfiguration.
Wählen Sie unter Teilnehmer Tags die benötigten normalen Tags, zum Beispiel «Mitarbeitende» oder eine Organisationsgruppe.
Speichern Sie die Konfiguration.
Melden Sie sich als Testteilnehmer an und prüfen Sie die davon abhängigen Inhalte.

Provider-Tags wirken indirekt über die SAML-Verbindung auf die Teilnehmerperson. Sie werden am edoobox Provider festgelegt; eine beliebige Gruppenbezeichnung in einem IdP-Attribut wird dadurch nicht automatisch zum edoobox Tag. Admins erhalten diese Tags nicht.

Angebotsfilter einrichten

Versehen Sie die betroffenen Angebote mit passenden Angebotstags.
Wählen Sie dieselben Tags zuerst als Teilnehmer Tags im SAML-Provider.
Aktivieren Sie Tag Filterung der Angebote erzwingen.
Wählen Sie die Tags, die für die Angebotsfilterung verwendet werden sollen. Zur Auswahl stehen die dem Provider zugeordneten Tags.
Entscheiden Sie, ob passende Angebote die normale Auswahl einschränken oder zusätzlich sichtbar werden sollen.
Speichern Sie und vergleichen Sie eine passende mit einer nicht passenden Angebotsseite.

Modus	Wirkung	Beispiel
Erzwungener Filter ohne additive Option	Die normale Angebotsauswahl wird auf Angebote mit allen ausgewählten Filtertags beschränkt.	Ein Firmenportal zeigt dieser Teilnehmergruppe nur die ihr zugeordneten Weiterbildungen.
Angebote mit diesen Tags zusätzlich anzeigen	Passend getaggte Angebote werden zusätzlich zur normalen Auswahl zugänglich.	Angemeldete Mitarbeitende sehen zusätzlich interne Angebote.

Tagname und, falls verwendet, Tagwert beziehungsweise Status müssen zu den Angebots-Tags passen. Entfernen Sie einen Provider-Tag, prüfen Sie anschliessend die Filterauswahl. Die additive Option ist nur mit eingeschalteter Filterung und ausgewählten Filtertags verfügbar.

Mehrere Tags und internen Zugang unterscheiden

Mehrere ausgewählte Filtertags wirken gemeinsam: Ein Angebot muss alle Filtertags tragen. Bei den Filtern «Mitarbeitende» und «Standort Bern» genügt nur einer dieser Tags nicht.

Der interne Angebotszugang berücksichtigt zusätzlich die indirekten Provider-Tags der verknüpften Teilnehmerperson. Ein passender normaler Angebotstag kann diesen internen Zugang ermöglichen. Prüfen Sie deshalb die Wirkung von Provider-Tags, internen Angeboten und zusätzlicher Filterung gemeinsam; das Ausblenden eines Widgets allein entzieht keinen Angebotszugang.

Die Tags werden über die bestehende Teilnehmer-Verknüpfung ausgewertet. Eine Deaktivierung des Providers sperrt neue Anmeldungen über diesen Anbieter, entfernt jedoch nicht automatisch jede vorhandene Teilnehmer-Verknüpfung oder Tagwirkung. Bei einem Austritt müssen Sie den Teilnehmerzugang und dessen wirksame Zuordnungen gesondert kontrollieren.

Nutzen Sie die effektiven Teilnehmer-Tags dort, wo edoobox Tagbedingungen anbietet, beispielsweise für die Sichtbarkeit von Widgets. Die Auswahl von Angeboten und das Anzeigen eines Widgets sind getrennte Einstellungen. Prüfen Sie beides: Die Person kann ein Angebot sehen und trotzdem einen bestimmten Hinweis ausblenden, wenn dessen Widgetbedingung anders gesetzt ist.

Design-Manager-Widget mit hervorgehobener Sichtbarkeit für angemeldete Besucher und positiven sowie negativen Tagbedingungen. — Die Sichtbarkeit eines Widgets kann an Teilnehmer-Tags gebunden werden. Positive und negative Bedingungen steuern die Anzeige des Widgets; den Zugriff auf Angebote richten Sie separat am SAML-Provider ein.

Beispiel: Der Provider ordnet indirekt «Mitarbeitende» zu. Interne Angebote tragen den passenden Angebotstag, und ein zusätzliches Hinweiswidget wird nur für diesen Teilnehmer-Tag eingeblendet. Prüfen Sie dieselbe Seite angemeldet und abgemeldet. Grundlagen stehen unter Tags als Bedingungen verwenden und Design Manager.

Starten Sie den Login aus der echten Buchungsseite Ihrer Website. Schliessen Sie das Anmeldefenster beziehungsweise die Weiterleitung vollständig ab und kontrollieren Sie, ob Sie als Teilnehmer im Buchungsprozess zurück sind. Der Ablauf unterstützt die Rückkehr aus einem externen SAML-Login in eingebundene Buchungsseiten.

Falls der Login nur in einer eingebundenen Seite scheitert, vergleichen Sie denselben Ablauf mit der direkten edoobox Buchungsseite. Prüfen Sie Browsermeldungen zu blockierten Fenstern und Cookies. Melden Sie bei einem fortbestehenden Fehler Browser, genaue Einstiegsadresse, Provider und Zeitpunkt an Ihre SSO-Administration beziehungsweise den Support. Ein erfolgreicher Admin-SSO-Test allein prüft diesen Teilnehmer-Rückweg nicht.

Einrichtung mit sechs Fällen kontrollieren

Neue zugelassene Teilnehmerperson: Profil wird mit korrektem Namen und E-Mail erstellt.
Vorhandene aktive Person: Der erwartete Datensatz wird wiederverwendet.
Späterer Login nach einer Änderung: Zugeordnete nicht leere Felder werden richtig übernommen.
Angemeldete und abgemeldete Person: Angebotsfilter und Widgetbedingungen unterscheiden sich wie vorgesehen.
Passender und nicht passender Angebotstag: Zugriff entspricht dem gewählten Modus.
Direkte und eingebundene Buchungsseite: Login kehrt in beiden Fällen korrekt zurück; vorhandene Promotions- beziehungsweise Empfehlungslinks bleiben im Ablauf erhalten.