SAML SSO mit Google

Google Workspace ist ein Identitätsanbieter (Identity Provider, IdP), der es Nutzern ermöglicht, sich mit ihren Google-Zugangsdaten bei mehreren Anwendungen anzumelden. Mit SAML SSO zwischen Google Workspace und Document360 können Ihre Teammitglieder und Leser auf Document360 zugreifen, ohne ein separates Passwort zu benötigen.

Was du mit Google Workspace als deinem IdP machen kannst

Bevor du anfängst

• Du hast ein aktives Google Workspace-Konto mit Administratorzugriff. Wenn Sie eine erstellen müssen, melden Sie sich bei workspace.google.com an.
• Du hast Eigentümer - oder Administratorzugriff in deinem Document360-Projekt.
• Öffne Document360 und Google Workspace in zwei separaten Browser-Tabs. Du musst während der Einrichtung mehrmals zwischen ihnen wechseln.

Schritt 1: Erstellen Sie eine benutzerdefinierte SAML-App in Google Workspace

Fügen Sie eine benutzerdefinierte SAML-App hinzu

1. Auf der Startseite der Google Workspace-Admin-Konsole klicken Sie auf Apps und wählen Sie SAML-Apps aus.
2. Klicke auf App hinzufügen und wähle im Dropdown-Menü benutzerdefinierte SAML-App hinzufügen.
3. Geben Sie in den App-Details einen Namen für Ihre App ein und klicken Sie auf Weiter.

Notieren Sie sich die IDP-Daten und laden Sie das Zertifikat herunter

1. Auf der nächsten Seite finden Sie die SSO-URL, die Entitäts-ID und das Zertifikat. Notieren Sie sich diese Details – Sie benötigen sie bei der Konfiguration des Identitätsanbieters in Document360.
2. Im Bereich Zertifikat klicken Sie auf das Download-Symbol, um das Zertifikat im .pem Format in Ihrem lokalen Speicher zu speichern. Sie werden dieses Zertifikat später in Document360 hochladen.

Aktivieren Sie die App für Nutzer

1. Im User Access ist der Service-Status standardmäßig für alle auf AUS gesetzt.
2. Setze es auf EIN, damit alle Nutzer sich mit dieser App authentifizieren können.

Nachdem Sie die Google-seitige Konfiguration abgeschlossen haben, sieht Ihre SAML-App wie folgt aus.

Schritt 2: Konfigurieren Sie das SAML in Google Workspace mit den Document360-Parametern

Holen Sie sich die Parameter des Service Provider von Document360

1. In Document360 navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > SSO-Konfiguration.
2. Klicken Sie auf Create SSO.

3. Auf der Seite "Choose your Identity Provider" (IdP) wählen Sie Google als Identitätsanbieter aus.

4. Von der Seite "Service Provider (SP konfigurieren" kopieren Sie die folgenden Parameter.

Geben Sie die Document360-Parameter in Google Workspace ein

1. Wechsle zum Google Workspace-Tab und füge die Document360-Parameter mit der untenstehenden Karte in die Google Custom SAML-App ein.

2. Im Name ID-Format wählen Sie im Dropdown-Menü EMAIL aus.
3. Wählen Sie unter Name ID Basic Information > Primary Email aus.
4. Klicken Sie auf Weitermachen.

Attribute Mapping in Google Workspace hinzufügen

1. Füge Benutzerfelder hinzu und wähle sie im Google Directory aus und weise sie dann mit Dienstanbieterattributen anhand der untenstehenden Tabelle zu.

2. Jedes Mal klicke auf Hinzufügen von Zuordnungen , wenn du ein Attribut hinzufügst.
3. Wenn du fertig bist, klicke auf Beenden.

Schritt 3: Schließen Sie die SSO-Konfiguration in Document360 ab

Konfigurieren Sie den Identitätsanbieter in Document360

1. Wechsle zurück zu Document360 auf der Seite Configure the Service Provider (SP) und klicke auf Next , um zur Seite "Configure the Identity Provider (IdP)" zu gelangen.
2. Das Feld "Eine bestehende Verbindung konfigurieren" erlaubt es Ihnen, eine bereits erstellte SSO-Konfiguration zu erben. Durch die Auswahl dieser Option wird die aktuelle SSO-Konfiguration als Kind gesetzt und es können keine Änderungen daran vorgenommen werden. Um mehr über Erbschaft zu erfahren.

3. Fügen Sie auf der Seite "Configure the Identity Provider (IdP)" die Informationen hinzu, die Sie auf der Google Custom SAML App Seite mit der untenstehenden Karte angegeben haben.

4. Schalten Sie den Umschalter "Erlaubt IdP-initiierte Anmeldung" je nach Projektanforderungen ein oder aus.

5. Klicken Sie auf Weiter, um zur SCIM-Bereitstellungsseite zu gelangen.

SCIM-Bereitstellungsseite

SCIM-Bereitstellung wird nicht unterstützt, wenn Google als Ihr Identitätsanbieter (IdP) in Document360 konfiguriert ist.

Diese Einschränkung gilt in zwei Szenarien:

• Beim Einrichten einer neuen Google IdP-Konfiguration.
• Wenn man eine bestehende SSO-Konfiguration geerbt hat, die Google als IdP verwendet.

Klicken Sie auf Weiter, um zu weiteren Einstellungen zu gelangen.

Schritt 4: Mehr Einstellungen

Konfigurieren Sie den SSO-Namen und die Anmeldeoptionen

1. Im SSO-Namensfeld geben Sie einen Namen für die SSO-Konfiguration ein.
2. Geben Sie im Login-Anpassen-Button den Text ein, den Sie auf dem Login-Button anzeigen möchten.
3. Automatische Zuweisung der Lesergruppe – diese Option ist nur für bestehende SSO-Konfigurationen verfügbar. Bei neu erstellten SSO-Konfigurationen wird dieser Schalter nicht angezeigt, da SCIM Benutzer und Gruppen automatisch bereitstellt. Erfahren Sie mehr über die Auto-Assign-Lesergruppe.
4. Wählen Sie aus, ob Sie alle Nutzer oder ausgewählte Nutzer mit den Optionen bestehende Benutzer- und Leserkonten in SSO-Radiobuttons einladen .

5. Klicken Sie auf Erstellen , um die SSO-Konfiguration abzuschließen.

Die SSO-Konfiguration basierend auf dem SAML-Protokoll wurde erfolgreich mit Google Workspace konfiguriert.

Von einer anderen Anwendung erben

Beim Erstellen einer neuen SSO-Konfiguration in Document360 können Sie Einstellungen von einer bestehenden SSO-Verbindung übernehmen. Dies vereinfacht den Einrichtungsprozess, vermeidet wiederholte Konfigurationsschritte und hilft Administratoren, Zeit zu sparen und gleichzeitig Konsistenz über die Integrationen hinweg zu gewährleisten.

Auf der Seite "Identitätsanbieter konfigurieren" (IdP) wählen Sie das Feld "Eine bestehende Verbindung konfigurieren" aus und wählen Sie die übergeordnete SSO SCIM-fähige Anwendung aus, von der Sie erben möchten. Die Wahl dieser Option bestimmt das aktuelle Projekt als Kindprojekt und erbt alle relevanten Eigenschaften vom Elternteil.

Da die SCIM-Bereitstellung keine Google IdP-Konfigurationen unterstützt, können SCIM-Einstellungen vom Hauptprojekt nicht übernommen werden.

Während andere SSO-Konfigurationseinstellungen vom Elternprojekt übernommen werden, können SCIM-Einstellungen allein nicht geerbt werden.

Verwaltung von Nutzern in Google IdP

Da SCIM für Google IdP nicht unterstützt wird, müssen Benutzer und Leser manuell in Document360 verwaltet werden.

Um Leser anzuzeigen, die über Ihre Google SAML-App hinzugefügt wurden:

1. In Document360 navigieren Sie zu Einstellungen > Benutzer & Berechtigungen > Leser & Gruppen.
2. Wählen Sie einen Leser aus, um zu dessen Leserprofil zu navigieren.

Leser, die über SCIM bereitgestellt wurden, zeigen neben ihrem Namen ein SSO-SCIM-Badge an.

Verwaltung des Inhaltszugriffs von Lesern, Nutzern und Gruppen

Die Standard-Inhaltsrolle, die jedem neuen Nutzer, Leser oder Gruppe zugewiesen wird, basiert auf dem, was während der SCIM-Bereitstellung konfiguriert wurde. Die Berechtigungen werden standardmäßig auf Keine gesetzt, können aber jederzeit aktualisiert werden.

1. Wählen Sie den gewünschten Reader aus und klicken Sie auf Inhaltszugriff verwalten.
2. Wählen Sie die gewünschte Zugriffsstufe aus dem Dropdown-Menü und klicken Sie auf Aktualisieren.

Best Practices

• Aktiviere die App für alle Nutzer, bevor du SSO testest. Der Status des Google SAML-App-Dienstes ist standardmäßig für alle ausgeschaltet. Ändere es für alle auf EIN, bevor du die Nutzer einlädst, sich mit SSO anzumelden.
• Speichern Sie das .pem-Zertifikat sicher. Laden Sie das Google-Zertifikat herunter und speichern Sie, bevor Sie die Konfiguration in Document360 abschließen. Du wirst nicht aufgefordert, es erneut herunterzuladen.
• Nutze manuelle Benutzerverwaltung für Google IdP. Da SCIM nicht unterstützt wird, planen Sie, wie Sie Benutzer in Document360 hinzufügen, aktualisieren und entfernen werden, wenn Sie Google als IdP verwenden.
• Zieh Okta oder Entra in Betracht, wenn du SCIM-Provisionierung brauchst. Wenn automatisiertes Benutzerlebenszyklusmanagement erforderlich ist, konfigurieren Sie stattdessen SSO mit Okta oder Microsoft Entra als Identitätsanbieter.

FAQ