Single Sign On via SAML in Microsoft Azure
Voraussetzung: SAML Single Sign-On benötigt ein passendes edoobox Abonnement. Planen Sie die Einrichtung mit Ihrer Entra-Administration und halten Sie während der Einführung einen unabhängigen Super-Admin-Zugang bereit.
Microsoft Entra ID authentifiziert Personen mit ihrem Unternehmenskonto. Der edoobox Provider kann im Login für Admins, Teilnehmende oder beide sichtbar sein. Danach bestimmen Field Mapping, Ausweichrecht, ACL, Admin-Verknüpfung und Provider-Tags den tatsächlichen Zugriff.
Verwenden Sie für die Konfiguration immer die Metadaten Ihres eigenen edoobox Providers. Feste APP1- oder APP2-Beispieladressen können zur falschen Umgebung oder zum falschen Konto führen.
Voraussetzungen und Rollen
Microsoft-Entra-Rolle, die Enterprise Applications und SAML SSO konfigurieren darf.
edoobox Super-Admin mit Zugriff auf SAML und Rechteprofile.
Eine Testgruppe mit mindestens einer Person und klarer Zielrolle.
Entscheidung für Admin-, User- oder gemeinsamen Login-Scope.
Fallback- und Notfallprozess für Zertifikats-, Claim- oder Zuweisungsfehler.
1. Enterprise Application erstellen
Öffnen Sie im Microsoft Entra Admin Center Entra ID > Enterprise applications > All applications, erstellen Sie eine eigene Nicht-Katalog-Anwendung und wählen Sie danach unter Single sign-on die Methode SAML.
Weisen Sie zunächst nur eine Testperson oder Testgruppe zu. Ob eine Zuweisung zwingend ist, hängt zusätzlich von der Entra-Einstellung der Anwendung ab.
2. Entra-Metadaten beziehen und den Provider in edoobox anlegen
- Öffnen Sie in der Entra-Anwendung die SAML-Einrichtung und beziehen Sie die App Federation Metadata URL beziehungsweise die IdP-Metadaten als XML. Diese Quelle wird bereits zur Anlage des edoobox Providers benötigt. Lassen Sie eine noch nicht bereitstehende Quelle von Ihrer Entra-Administration bereitstellen.
- Öffnen Sie in edoobox Einstellungen → SAML (SSO) und erstellen Sie einen Provider mit eindeutigem Namen.
- Wählen Sie User & Admin, Nur Admin oder Nur User. Bei Admin-Scope wählen Sie das vorgesehene Ausweichrecht.
- Stimmen Sie das NameID-Format mit Entra ab und übernehmen Sie die Entra-Metadaten als Remote-XML-URL oder XML-Upload.
- Schliessen Sie die Anlage ab und öffnen Sie den gespeicherten Provider. Nach erfolgreicher Anlage ist er aktiv. Beginnen Sie mit einer begrenzten Testzuweisung beim Identity Provider.
3. Metadaten in beide Richtungen austauschen
Laden Sie in edoobox die federationmetadata.xml des Providers. Übernehmen Sie daraus in die Basis-SAML-Konfiguration von Entra:
Identifier (Entity ID): exakt aus der edoobox Metadata.
Reply URL (Assertion Consumer Service URL): exakt aus der edoobox Metadata.
Sign-on URL: die in der SAML-Verwaltung angezeigte edoobox SSO-URL für den Adminlogin; Teilnehmer testen Sie aus dem Buchungsprozess.
Die Entra-Metadaten haben Sie bereits beim Anlegen des edoobox Providers hinterlegt. Kontrollieren Sie nach dem Austausch Entity ID, Login-Service und Zertifikat auf beiden Seiten. Die ursprüngliche Metadatenquelle wird beim gespeicherten edoobox Provider unter Informationen schreibgeschützt angezeigt.
4. Claims und Field Mapping prüfen
Die aktuelle edoobox Zuordnung kennt die üblichen Microsoft-Claim-URIs:
| Claim | edoobox Feld |
|---|---|
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress | email |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname | first_name |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname | last_name |
edoobox.acl | acl, wenn Rechteverwaltung aktiviert ist |
Prüfen Sie das empfangene Mapping in edoobox. Ein technisch gültiges SAML-Login genügt nicht, wenn E-Mail, Name oder ACL unter einem anderen Claim-Namen eintreffen.
5. Adminrechte mit Ausweichrecht oder ACL steuern
Ohne aktivierte ACL-Übernahme bleibt bei bereits berechtigten Admins die Rechtepflege in edoobox massgeblich. Das konfigurierte Ausweichrecht allein erlaubt keine beliebige neue Adminidentität. Mit Rechteverwaltung via edoobox kann der Claim edoobox.acl eine der folgenden Rollen liefern:
| Wert | Wirkung beim Adminlogin |
|---|---|
edoobox.acl.0 oder edoobox.acl.1 | Kein zulässiger Adminzugang; die Anmeldung wird wegen fehlender Adminberechtigung abgelehnt. |
edoobox.acl.2 | Leitungsrecht |
edoobox.acl.3 | Administrationsrecht |
edoobox.acl.4 | Super-Admin-Recht |
Wenn mehrere Rollen eintreffen, verwendet edoobox die höchste gültige ACL-Stufe. Erteilen Sie acl.4 nur einer sehr kleinen, kontrollierten Gruppe.
6. Weitere aktuelle Provideroptionen
| Option | Wirkung |
|---|---|
| Admins mit SAML verknüpfen | Sucht beim ersten Login einen bestehenden Admin mit derselben E-Mail-Adresse und verbindet ihn. |
| Auth Request Signed | Signiert den AuthnRequest mit dem edoobox Providerzertifikat; Entra muss dies passend erwarten. |
| Teilnehmer-Tags | Weist nur über diesen Provider angemeldeten Teilnehmenden indirekte Tags zu. |
| Tag-Filterung erzwingen | Beschränkt die normale Angebotsübersicht auf Angebote mit allen gewählten Filtertags. |
| Angebote zusätzlich anzeigen | Blendet passende getaggte Angebote zusätzlich ein, auch für gezielte interne Angebotszugänge. |
Filtertags müssen Teil der Provider-Tags sein. Admins erhalten keine Teilnehmer-Tags. Planen Sie Adminrechte und Teilnehmerzugriff deshalb getrennt.
7. Benutzer und Gruppen zuweisen
Öffnen Sie in der Enterprise Application Users and groups und weisen Sie die Testgruppe zu. Wenn Sie ACL verwenden, konfigurieren Sie die vorgesehenen App-Rollen und deren Ausgabe im passenden Claim. Kontrollieren Sie den tatsächlich gelieferten Attributnamen und mappen Sie ihn in edoobox auf acl. Der generische Microsoft-Rollenclaim wird nicht automatisch als edoobox ACL erkannt. Dokumentieren Sie, welche Entra-Gruppe welcher edoobox Rolle entspricht.
Gruppenzuweisungen vereinfachen den Betrieb, ersetzen aber keinen Entzug in edoobox, wenn ein bestehender Admin ausserhalb des SAML-Prozesses weiterhin Zugang besitzt.
8. Aktivieren und produktiv testen
Kontrollieren Sie den Providerstatus in edoobox. Nach erfolgreicher Anlage ist der Provider aktiv; bei bestehenden Providern lässt sich der Status unter Konfiguration ändern.
Öffnen Sie die angezeigte SSO-URL in einem privaten Browserfenster.
Prüfen Sie NameID, E-Mail, Vorname, Nachname und das erwartete Recht.
Testen Sie einen Benutzer ohne App-Zuweisung und bei ACL zusätzlich einen Benutzer ohne gültige Rolle.
Bei User-Scope prüfen Sie normale, gefilterte und additive Angebote.
Dokumentieren Sie Zertifikatsablauf und Verantwortlichkeit für Metadata-Rotation.
Fehlersuche
Reply-Fehler: Identifier und Reply URL mit der aktuellen edoobox Metadata vergleichen.
Benutzer nicht zugelassen: App-Zuweisung, Tenant und Entra-Richtlinien prüfen.
Admin fehlt: Admin-Verknüpfung oder ACL aktivieren und Claim-Wert kontrollieren.
Falsches Recht: App-Rollen, Claim
edoobox.aclund höchste übergebene Stufe prüfen.Signaturfehler: Zertifikat, Metadata, Auth Request Signed und Uhrzeitsynchronisation kontrollieren.
Falsche Angebote: Provider-Tags, Angebots-Tags und additiven beziehungsweise erzwungenen Modus prüfen.
Anwendungsbeispiele
Anwendungsbeispiel: Kursadministration über Entra-Gruppen
Die Gruppe «Kursadministration» liefert edoobox.acl.3, die kleine Gruppe «edoobox Super-Admins» edoobox.acl.4. Eine Person ohne gültige App-Rolle erhält keinen Adminzugang. Alle drei Fälle werden vor der Freigabe getestet.
Anwendungsbeispiel: Bestehende Admins sicher migrieren
Eine Organisation aktiviert Admins mit SAML verknüpfen und testet mit einem bestehenden Admin, dessen Entra- und edoobox E-Mail identisch sind. Erst nach erfolgreichem Login und Rechtevergleich werden weitere Gruppen zugewiesen.
Anwendungsbeispiel: Interne Angebote zusätzlich für Mitarbeitende
Ein User-Provider weist den Tag Mitarbeitende zu. Interne Angebote tragen denselben Angebotstag. Im additiven Modus erscheinen diese Angebote nach Entra-Login zusätzlich; die öffentliche Angebotsauswahl bleibt für alle anderen unverändert.
Rollen und Claim-Namen abstimmen
Für Rollen folgen Sie der Microsoft-Anleitung zu App-Rollen. Die Ausgabe und Benennung der SAML-Attribute konfigurieren Sie nach SAML token claims anpassen. Entscheidend für edoobox ist, dass das gemappte ACL-Attribut gültige Werte wie edoobox.acl.3 enthält.
Bedienhinweise und weiterführende Einrichtung
Der Providerdialog ist in Konfiguration, Datenfeld Mapping und Informationen aufgeteilt. Die ursprüngliche Metadatenquelle wird unter Informationen schreibgeschützt angezeigt. Bei Quellenwechsel oder einer notwendigen Erneuerung einer hochgeladenen XML planen Sie die Umstellung mit Ihrer zuständigen SSO-Administration.
Konfigurieren Sie den Datenabgleich mit SAML-Datenfelder und Adminrechte. Für Nur User, zusätzliche Teilnehmerfelder, indirekte Provider-Tags, interne Angebote und den Login in eingebundenen Buchungsseiten lesen Sie Teilnehmer-SSO, Tags und Angebotszugriff.
Die Portalnavigation und Rollen richten sich nach der offiziellen Microsoft-Anleitung zur SAML-Konfiguration (geprüft am 16. Oktober 2026). Dafür benötigen Sie etwa Cloud Application Administrator, Application Administrator oder die entsprechende Eigentümerrolle der Anwendung. Verwenden Sie eine geeignete Enterprise Application mit SAML-Konfiguration.