Single Sign-On über SAML

Pieter-Jan Dries · · 3 min

In diesem Artikel

SAML-SSO in Vizito einrichten

Vizito unterstützt SAML-basiertes Single Sign-On (SSO), um die Sicherheit zu erhöhen und die Zugriffsverwaltung zu vereinfachen. Folgen Sie den Schritten unten, um die SAML-2.0-Authentifizierung zu konfigurieren.

1. Die SAML-Einstellungen öffnen

  1. Melden Sie sich im Vizito-Backoffice an.
  2. Gehen Sie im linken Menü zu “Kontoeinstellungen” > “Integrationen” und scrollen Sie zum Abschnitt “Single Sign On (SSO) über SAML”.

2. SSO über SAML aktivieren

Schalten Sie “SSO über SAML aktivieren” ein, um die SAML-Authentifizierung zu aktivieren.

3. Die SAML-Einstellungen konfigurieren

Sie müssen die folgenden Angaben Ihres Identitätsanbieters (IdP) hinterlegen:

  • Einstiegspunkt: die Anmelde-URL, die Ihr IdP für die Authentifizierung bereitstellt.

  • Zertifikat: das öffentliche Zertifikat Ihres IdP zur Prüfung der Authentifizierungsanfragen.

4. Ihre Domäne hinzufügen

Bevor sich Benutzer über SAML anmelden können, müssen Sie mindestens eine Domäne hinterlegen, die zu den E-Mail-Adressen Ihrer Organisation passt.

So fügen Sie eine Domäne hinzu:

  1. Klicken Sie auf die Schaltfläche “Domäne hinzufügen”.
  2. Geben Sie Ihre Unternehmensdomäne ein (zum Beispiel ihrunternehmen.de).
  3. Klicken Sie auf Speichern, um die Domänenbeschränkung anzuwenden.

Beispiel einer SAML-Konfiguration in Vizito

📌 Hinweis:

  • Benutzer benötigen eine E-Mail-Adresse, die zur hinterlegten Domäne passt, um die SAML-Authentifizierung zu nutzen.
  • Benutzer müssen außerdem in Vizito existieren, legen Sie sie über die Benutzerverwaltung an.
  • Wenn Sie mehrere Domänen hinterlegen, können sich Benutzer aus allen diesen Domänen über SAML authentifizieren.

5. Speichern und die Konfiguration testen

  1. Prüfen Sie, ob alle Angaben korrekt sind, und klicken Sie auf Speichern.
  2. Testen Sie den Authentifizierungsablauf, indem Sie sich mit einem Benutzer der angegebenen Domäne anmelden.

Beispiel: Microsoft Entra ID (Azure AD)

Mit diesen Schritten erhalten Sie den Einstiegspunkt und das Zertifikat, die Vizito benötigt. Führen Sie sie zuerst in Azure aus und schließen Sie danach die Schritte in Vizito oben ab.

1. Vizito als Unternehmensanwendung registrieren

  1. Melden Sie sich im Azure-Portal an.
  2. Gehen Sie zu Microsoft Entra ID > Unternehmensanwendungen.
  3. Klicken Sie auf Neue Anwendung > Eigene Anwendung erstellen.
  4. Geben Sie einen Namen ein (zum Beispiel “Vizito SAML”), wählen Sie “Nicht im Katalog gefundene andere Anwendung integrieren” und schließen Sie den Assistenten ab.

2. SAML-basiertes einmaliges Anmelden konfigurieren

  1. Öffnen Sie Ihre Anwendung Vizito SAML und wählen Sie Einmaliges Anmelden > SAML.
  2. Tragen Sie unter SAML-Basiskonfiguration Folgendes ein:
    • Bezeichner (Entitäts-ID): vizito-saml
    • Antwort-URL (Assertionsverbraucherdienst-URL): https://backoffice.vizito.be/api/auth/saml/callback

3. Den E-Mail-Anspruch hinzufügen

Vizito ordnet die SAML-Anmeldung einem bestehenden Benutzer anhand der E-Mail-Adresse zu, deshalb muss Azure eine E-Mail-Adresse mitsenden.

  1. Gehen Sie zu Attribute & Ansprüche und klicken Sie auf Neuen Anspruch hinzufügen.
  2. Name: email
  3. Quellattribut: user.userprincipalname (verwenden Sie user.mail, wenn Ihre E-Mail-Adressen vom Benutzerprinzipalnamen abweichen).
  4. Klicken Sie auf Speichern.

Wir empfehlen außerdem, den Anspruch Eindeutiger Benutzerbezeichner (NameID) auf dasselbe Quellattribut zu setzen.

Anspruch Quellattribut
email user.userprincipalname
NameID user.userprincipalname

4. Benutzer zuweisen

Weisen Sie unter Benutzer und Gruppen > Benutzer/Gruppe hinzufügen die Benutzer oder Gruppen zu, die sich bei Vizito anmelden dürfen.

5. Die Einstellungen in Vizito übernehmen

Im Abschnitt “Vizito SAML einrichten” der Seite Einmaliges Anmelden:

  • Kopieren Sie die Anmelde-URL in das Feld Einstiegspunkt in Vizito.
  • Laden Sie das Zertifikat (Base64) herunter und fügen Sie seinen Inhalt in das Feld Zertifikat in Vizito ein.

Speichern Sie anschließend und testen Sie die Anmeldung wie in Schritt 5 oben beschrieben.

Fehlerbehebung

“Username does not exist: [undefined]” Azure sendet keine E-Mail-Adresse. Prüfen Sie, ob der Anspruch email vorhanden ist und auf user.userprincipalname oder ein anderes Attribut mit der E-Mail-Adresse des Benutzers verweist.

Mehr zur Zuordnung von Ansprüchen: Anleitung von Microsoft zum Anpassen von SAML-Tokenansprüchen.