Single Sign On via SAML in edoobox aktivieren

Mit SAML Single Sign-On melden sich Admins, Leitende oder je nach Konfiguration auch Benutzer über einen Identity Provider an, zum Beispiel Microsoft Azure oder Google Workspace. Der Identity Provider authentifiziert die Person und edoobox übernimmt die Anmeldung anhand der übermittelten SAML-Daten.

Bitte beachten: Abonnement und Support. Prüfen Sie, ob SAML (SSO) in Ihrem edoobox Konto freigeschaltet ist. Massgeblich sind die aktuell verfügbaren Funktionen Ihres Abonnements. Stimmen Sie technische Fragen zu Ihrem Identity Provider mit Ihrer zuständigen Administration ab.

Was ist SAML?

SAML steht für Security Assertion Markup Language. Der Identity Provider stellt eine sichere Anmeldung bereit und sendet eine SAML-Assertion an edoobox als Service Provider. Dadurch müssen sich Admins nicht mit einem zusätzlichen edoobox Passwort anmelden, sofern der SAML-Prozess korrekt eingerichtet ist.

SAML erhöht die Sicherheit, wenn Ihre Organisation zentrale Login-Regeln, Multi-Faktor-Authentifizierung, Benutzerlebenszyklen und Zugriffsrichtlinien bereits im Identity Provider verwaltet.

Voraussetzungen klären

Das edoobox Abonnement unterstützt SAML; prüfen Sie Ihr aktuelles Abo und ob die SAML-Funktion in Ihrem Konto freigeschaltet ist.
Sie haben Zugriff auf die edoobox Einstellungen für SAML (SSO).
Sie haben administrativen Zugriff auf den Identity Provider.
Die Metadata-URL oder XML-Datei des Providers ist verfügbar.
Sie wissen, ob Rechte in edoobox oder über den Identity Provider gesteuert werden sollen.
Mindestens ein Test-Admin ist vorhanden, mit dem die Anmeldung geprüft werden kann.
Sie kennen Ihr edoobox Kontokürzel, weil es in der SSO-Login-URL verwendet wird.

SAML-Anbieter in edoobox anlegen

Öffnen Sie Einstellungen → SAML (SSO) → Hinzufügen. Vergeben Sie einen verständlichen Namen für den späteren Login-Button, zum Beispiel «Mitarbeitende SSO».
Wählen Sie bei Sichtbarkeit im Login zwischen User & Admin, Nur Admin und Nur User. «User» bezeichnet hier Teilnehmende im Buchungsprozess.
Wählen Sie das passende NameID-Format: Email Address, Persistent oder Unspecified. Das Format und der beim Anbieter gelieferte Wert müssen zusammenpassen.
Wählen Sie Remote XML URL oder XML Datei hochladen und hinterlegen Sie die IdP-Metadaten.
Bei Admin-Scope wählen Sie das Ausweichrecht und entscheiden über Rechteverwaltung und Verknüpfung bestehender Admins.
Konfigurieren Sie bei Bedarf Auth Request Signed, Teilnehmer-Tags und Angebotsfilter. Speichern Sie mit Hinzufügen.

Nach erfolgreichem Abschluss der Anlage aktiviert edoobox den Provider. Beschränken Sie den Zugriff beim Identity Provider während der Einführung auf Testpersonen. Ein bestehender Provider lässt sich unter Konfiguration → Status deaktivieren und nach der Korrektur wieder aktivieren.

Ausweichrechte, Rechteverwaltung und Admin-Verknüpfung

Für bestehende Admins aktivieren Sie Admins mit SAML verknüpfen, wenn edoobox eine aktive, noch nicht gelöschte Person anhand derselben E-Mail-Adresse verbinden soll. Gleiche E-Mail-Adressen müssen tatsächlich dieselbe Person bezeichnen.

Mit Rechteverwaltung via edoobox wird die Übernahme des gemappten SAML-Attributs edoobox.acl auf edoobox Standardrechte aktiviert. In diesem Modus muss ein gültiger Rollenwert ankommen. Ohne ACL-Übernahme pflegen Sie die Rechte bestehender Admins in edoobox. Ein Ausweichrecht allein berechtigt keine beliebige, bisher unbekannte Person zum neuen Adminzugang.

Planen Sie die Zuordnung mit der Anleitung SAML-Datenfelder und Adminrechte. Dort sind Pflichtfelder, die Rollenwerte, zusätzliche Teilnehmerfelder und vollständige Mapping-Beispiele beschrieben.

Datenfeld-Mapping und Metadata

Öffnen Sie den Provider in der Liste. Im Register Konfiguration bearbeiten Sie die verfügbaren Einstellungen. Im Register Datenfeld Mapping kontrollieren Sie die Zuordnung der SAML-Attribute zu Vorname, Nachname, E-Mail und gegebenenfalls ACL. Über Bearbeiten öffnen Sie die JSON-Darstellung; speichern Sie eine vollständige, gültige Zuordnung.

Unter Informationen sehen Sie Remote-XML-Quelle, Login Service URL, Logout Service URL, Verfallsdatum und Erstellungsdatum. Diese aus den Metadaten übernommenen Informationen sind hier schreibgeschützt. Laden Sie dort die edoobox federationmetadata.xml herunter und übernehmen Sie Entity ID, Assertion Consumer Service und gegebenenfalls Logout-Adresse exakt in den Identity Provider.

Bei einer Änderung von NameID-Format oder signierten AuthnRequests laden Sie die aktuellen edoobox Metadaten erneut herunter und stimmen sie mit Ihrem Anbieter ab. Übernehmen Sie keine Adresse aus einem anderen Konto oder einer anderen Umgebung.

Kopieren Sie für Admins die in Einstellungen → SAML (SSO) angezeigte SSO-URL Ihres Kontos. Sie enthält das Kontokürzel und öffnet die für den Adminlogin aktiven Provider. Die tatsächlich angezeigte Adresse berücksichtigt Ihre Umgebung.

Behalten Sie einen funktionierenden unabhängigen Superadmin-Zugang.
Öffnen Sie die Admin-SSO-URL in einem privaten Browserfenster.
Wählen Sie den Provider und melden Sie sich beim Identity Provider an.
Prüfen Sie Konto, Name, E-Mail und erwartete Rechte.
Melden Sie sich ab und kontrollieren Sie den Rückweg. Eine verbleibende Sitzung beim Identity Provider kann eine erneute Anmeldung erleichtern.

Teilnehmende starten über den vorgesehenen Login im Buchungsprozess. Verwenden Sie dafür die Anleitung Teilnehmer-SSO, Tags und Angebotszugriff. Die Admin-SSO-URL ist kein Ersatz für diesen Teilnehmerablauf.

NameID und Login-Scope

Die NameID definiert, welche eindeutige Benutzerkennung verwendet wird, zum Beispiel E-Mail-Adresse oder eine persistente ID. Ohne klare Vorgabe ist die E-Mail-Adresse häufig der praktikabelste Startpunkt. Entscheidend ist, dass dieselbe Person bei jedem Login zuverlässig wiedererkannt wird.

Je nach Provider können NameID-Formate wie emailAddress, persistent oder unspecified verwendet werden. Ändern Sie dieses Feld nicht ohne Test, weil sonst bestehende Zuordnungen zwischen SAML-Konto und edoobox Admin nicht mehr passen können.

Der Login-Scope legt fest, ob SAML für Admins, Benutzer oder beide Bereiche gelten soll. Für Admin-SSO muss der Scope Admin oder beide Bereiche unterstützen. Wenn der Scope nicht passt, wirkt die Anmeldung so, als ob Provider oder Benutzer nicht gefunden würden.

Einige Identity Provider verlangen signierte AuthnRequests. Aktivieren Sie diese Option nur, wenn Ihr Provider sie benötigt, und testen Sie danach Metadata, Login und Logout erneut. Wenn Signaturen, Zertifikate oder Metadata nicht zusammenpassen, schlägt der SAML-Login meist schon vor der Rückleitung zu edoobox fehl.

Tags, Angebotsfilter und Inhaltssteuerung

Im Provider hinterlegte Teilnehmer Tags werden den über diesen Provider verbundenen Teilnehmenden indirekt zugeordnet. Sie gelten für die Teilnehmeridentität; Admins erhalten dadurch keine Tags. Diese Liste wird in edoobox am Provider gepflegt. Sie ist keine automatische Umwandlung beliebiger Gruppenattribute aus dem Identity Provider.

Mit Tag Filterung der Angebote erzwingen wählen Sie aus diesen Provider-Tags die Tags für den Angebotszugriff. Optional können passende Angebote zusätzlich zur normalen Auswahl angezeigt werden. Die Einrichtung mit Beispielen für interne Weiterbildungen, Tagwerte und Widgetbedingungen steht unter Teilnehmer-SSO, Tags und Angebotszugriff.

Provider bearbeiten oder löschen

Öffnen Sie den Provider und bearbeiten Sie in Konfiguration Name, Login-Sichtbarkeit, NameID-Format, Rechteoptionen, Signierung, Teilnehmer-Tags, Angebotsfilter und Status. Das Datenfeld-Mapping hat ein eigenes Register und einen eigenen Speichern-Schritt.

Die ursprüngliche Metadata-URL beziehungsweise hochgeladene XML wird in der aktuellen Oberfläche im Register Informationen angezeigt. Dort lässt sie sich nicht direkt ersetzen. Wenn sich die Metadatenquelle oder ein hochgeladenes IdP-Zertifikat ändert und die vorhandene Quelle keine aktuelle gültige Konfiguration liefert, stimmen Sie die Umstellung mit Ihrer SSO-Administration beziehungsweise dem edoobox Support ab. Löschen Sie den funktionierenden Provider erst nach einem erfolgreichen Ersatztest.

Beim Löschen verlangt edoobox eine Bestätigung. Prüfen Sie zuvor, welche Admins und Teilnehmenden diesen Provider verwenden, und halten Sie einen alternativen Zugang bereit.

Fehlersuche bei SAML-Logins

Login-Button fehlt: Prüfen Sie Providerstatus, Login-Scope und ob das Kontokürzel in der URL stimmt.
Identifier oder Reply-URL falsch: Hinterlegen Sie die von edoobox angezeigte Entity ID und Reply-URL beim Identity Provider.
Admin wird nicht gefunden: Prüfen Sie E-Mail, NameID und ob Admin verknüpfen korrekt gesetzt ist.
Rechte fehlen: Prüfen Sie Ausweichrechte, Rechteverwaltung und das Mapping von edoobox.acl.
Nur bestimmte Inhalte sichtbar: Prüfen Sie automatisch gesetzte Tags, Angebotsfilter und Design-Manager-Bedingungen.
Provider-Metadata abgelaufen: Prüfen Sie die Quelle und das Zertifikat; planen Sie eine notwendige Erneuerung mit Ihrer SSO-Administration und testen Sie den Ersatz vor dem Abschalten.

NameID wird abgelehnt: Lassen Sie eine dauerhafte, mindestens fünf Zeichen lange Kennung liefern. Prüfen Sie den tatsächlichen Wert zusätzlich zum ausgewählten Format; ein Formatwechsel ergänzt keinen fehlenden oder zu kurzen Wert.

Anwendungsbeispiele

Rechte im Identity Provider steuern

Der Identity Provider sendet edoobox.acl. edoobox mappt dieses Attribut auf das Rechtefeld. Ein Testadmin ohne produktiv kritische Rechte prüft, ob die erwartete Rechtegruppe ankommt, bevor produktive Admins umgestellt werden.