Google mit SAML SSO

Google Workspace ist ein Identitätsanbieter (Identity Provider, IdP), der es Nutzern ermöglicht, sich mit ihren Google-Zugangsdaten bei mehreren Anwendungen anzumelden. Mit SAML SSO zwischen Google Workspace und Document360 konfiguriert können Ihre Teammitglieder und Leser auf Document360 zugreifen, ohne ein separates Passwort zu benötigen.

Was du mit Google Workspace als deinem IdP machen kannst

Bevor du anfängst

• Sie haben ein aktives Google Workspace-Konto mit Administratorzugriff. Wenn Sie eines erstellen müssen, melden Sie sich workspace.google.com an.
• Du hast Eigentümer - oder Administratorzugriff in deinem Document360-Projekt.
• Öffne Document360 und Google Workspace in zwei separaten Browser-Tabs. Du musst während der Einrichtung mehrmals zwischen ihnen wechseln.

Schritt 1: Erstellen Sie eine benutzerdefinierte SAML-App in Google Workspace

Fügen Sie eine benutzerdefinierte SAML-App hinzu

1. Auf der Startseite der Google Workspace-Admin-Konsole klicken Sie auf Apps und wählen Sie SAML-Apps aus.
2. Klicke auf App hinzufügen und wähle im Dropdown-Menü benutzerdefinierte SAML-App hinzufügen.
3. Geben Sie in den App-Details einen Namen für Ihre App ein und klicken Sie auf Weiter.

Notieren Sie sich die IDP-Daten und laden Sie das Zertifikat herunter

1. Auf der nächsten Seite finden Sie die SSO-URL, die Entitäts-ID und das Zertifikat. Notieren Sie sich diese Details – Sie benötigen sie bei der Konfiguration des Identitätsanbieters in Document360.
2. Im Bereich Zertifikat klicken Sie auf das Download-Symbol, um das Zertifikat im .pem Format auf Ihrem lokalen Speicher zu speichern. Sie laden dieses Zertifikat später in Document360 hoch.

Aktivieren Sie die App für Nutzer

1. Im User Access ist der Service-Status standardmäßig für alle auf AUS gesetzt.
2. Setze es auf EIN, damit alle Nutzer sich mit dieser App authentifizieren können.

Nachdem Sie die Google-seitige Konfiguration abgeschlossen haben, sieht Ihre SAML-App wie folgt aus.

Schritt 2: Konfigurieren Sie das SAML in Google Workspace mit den Document360-Parametern

Holen Sie sich die Parameter des Service Provider von Document360

1. In Document360 navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Enterprise SSO.
2. Klicken Sie auf Create SSO.

3. Im Schritt "Choose IdP" wählen Sie Google als Identitätsanbieter aus.

4. Aus dem Schritt SP konfigurieren kopieren Sie die erforderlichen Parameter.

Geben Sie die Document360-Parameter in Google Workspace ein

1. Wechsle zum Google Workspace-Tab und füge die Document360-Parameter mit der untenstehenden Karte in die Google Custom SAML-App ein.

2. Im Name ID-Format wählen Sie im Dropdown-Menü EMAIL aus.
3. Wählen Sie unter Name ID Basic Information > Primary Email aus.
4. Klicken Sie auf Weitermachen.

Attribute Mapping in Google Workspace hinzufügen

1. Füge Benutzerfelder hinzu und wähle sie im Google Directory aus und weise sie dann mit Dienstanbieterattributen anhand der untenstehenden Tabelle zu.

2. Jedes Mal klicke auf Hinzufügen von Zuordnungen , wenn du ein Attribut hinzufügst.
3. Wenn du fertig bist, klicke auf Beenden.

Schritt 3: Schließen Sie die SSO-Konfiguration in Document360 ab

Konfigurieren Sie den Identitätsanbieter in Document360

1. Wechsle zurück zu Document360 im Schritt SP konfigurieren und klicke auf Nächst, um zum Schritt IdP konfigurieren zu navigieren.
2. Das Feld "Eine bestehende Verbindung konfigurieren" ermöglicht es Ihnen, eine bereits erstellte SSO-Konfiguration zu erben. Wenn Sie diese Option auswählen, wird die aktuelle SSO-Konfiguration als Kind gesetzt und es können keine Änderungen daran vorgenommen werden. Mehr über Vererbung erfahren.

3. Im Schritt "IdP konfigurieren" fügen Sie die von Ihnen auf der Google Custom SAML-App-Seite notierten Informationen mit der untenstehenden Karte hinzu.

4. Schalten Sie den Umschalter "Erlaubt IdP-initiierte Anmeldung" je nach Projektanforderungen ein oder aus.

5. Klicken Sie auf Nächstes, um zum Schritt SCIM-Bereitstellung zu navigieren.

SCIM-Bereitstellungsschritt

SCIM-Bereitstellung wird nicht unterstützt, wenn Google als Ihr Identitätsanbieter (IdP) in Document360 konfiguriert ist.

Diese Einschränkung gilt in zwei Szenarien:

• Beim Einrichten einer neuen Google IdP-Konfiguration.
• Wenn man eine bestehende SSO-Konfiguration geerbt hat, die Google als IdP verwendet.

Klicken Sie auf Weiter, um fortzufahren.

Konfigurieren Sie den SSO-Namen und die Anmeldeoptionen

1. Im SSO-Namensfeld geben Sie einen Namen für die SSO-Konfiguration ein.
2. Geben Sie im Login-Button-Text den Text ein, den Sie auf dem Login-Button anzeigen möchten.
3. Automatische Zuweisung der Lesergruppe – diese Option ist nur für bestehende SSO-Konfigurationen verfügbar. Für neu erstellte SSO-Konfigurationen wird dieser Schalter nicht angezeigt, da SCIM Benutzer und Gruppen automatisch bereitstellt. Erfahren Sie mehr über die Lesergruppe "Automatisch zuweisen".
4. Wählen Sie aus, ob Sie alle Nutzer oder ausgewählte Nutzer mit den Optionen bestehende Benutzer- und Leserkonten in SSO-Radiobuttons einladen .

5. Klicken Sie auf Erstellen , um die SSO-Konfiguration abzuschließen.

Die SSO-Konfiguration basierend auf dem SAML-Protokoll wurde erfolgreich mit Google Workspace konfiguriert.

Von einer anderen Anwendung erben

Beim Erstellen einer neuen SSO-Konfiguration in Document360 können Sie Einstellungen von einer bestehenden SSO-Verbindung übernehmen. Dies vereinfacht den Einrichtungsprozess, vermeidet wiederholte Konfigurationsschritte und hilft Administratoren, Zeit zu sparen und gleichzeitig Konsistenz zwischen den Integrationen sicherzustellen.

Im Schritt 'IdP konfigurieren' wählen Sie das Feld 'Eine bestehende Verbindung konfigurieren' aus und wählen Sie die übergeordnete SSO SCIM-fähige Anwendung aus, von der Sie erben möchten. Wenn Sie diese Option auswählen, wird das aktuelle Projekt als Kindprojekt bezeichnet und alle relevanten Eigenschaften vom Elternprojekt übernommen.

Da die SCIM-Bereitstellung keine Google IdP-Konfigurationen unterstützt, können SCIM-Einstellungen vom Hauptprojekt nicht übernommen werden.

Während andere SSO-Konfigurationseinstellungen vom Elternprojekt übernommen werden, können SCIM-Einstellungen allein nicht geerbt werden.

Verwaltung von Nutzern in Google IdP

Da SCIM für Google IdP nicht unterstützt wird, müssen Benutzer und Leser manuell in Document360 verwaltet werden.

Um Leser anzuzeigen, die über Ihre Google SAML-App hinzugefügt wurden:

1. In Document360 navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Leser & Gruppen.
2. Wählen Sie einen Leser aus, um zu dessen Leserprofil zu navigieren.

Leser, die über SCIM bereitgestellt wurden, zeigen neben ihrem Namen ein SSO-SCIM-Badge an.

Verwaltung des Inhaltszugriffs von Lesern, Nutzern und Gruppen

Die Standard-Inhaltsrolle, die jedem neuen Benutzer, Leser oder Gruppe zugewiesen wird, basiert auf dem, was während der SCIM-Bereitstellung konfiguriert wurde. Die Berechtigungen werden standardmäßig auf Keine gesetzt, können aber jederzeit aktualisiert werden.

1. Wählen Sie den gewünschten Reader aus und klicken Sie auf Inhaltszugriff verwalten.
2. Wählen Sie die gewünschte Zugriffsstufe aus dem Dropdown-Menü und klicken Sie auf Aktualisieren.

Best Practices

• Aktiviere die App für alle Nutzer, bevor du SSO testest. Der Google SAML-App-Servicestatus ist standardmäßig für alle AUS. Ändere ihn für alle auf EIN, bevor du Nutzer einlädst, sich mit SSO anzumelden.
• Speichere das .pem-Zertifikat sicher. Lade das Google-Zertifikat herunter und speichere es, bevor du die Konfiguration in Document360 abschließt. Du wirst nicht aufgefordert werden, es erneut herunterzuladen.
• Nutze manuelle Benutzerverwaltung für Google IdP. Da SCIM nicht unterstützt wird, plane, wie du Nutzer in Document360 hinzufügen, aktualisieren und entfernen wirst, wenn du Google als IdP verwendest.
• Zieh Okta oder Entra, wenn du SCIM-Provisionierung brauchst. Wenn automatisiertes Benutzerlebenszyklusmanagement erforderlich ist, konfiguriere SSO stattdessen mit Okta oder Microsoft Entra als Identitätsanbieter.

FAQ