SAML SSO mit Entra

Microsoft Entra ID ist Microsofts cloudbasierter Identitäts- und Zugriffsmanagement-Service, früher bekannt als Azure Active Directory. Mit SAML SSO zwischen Microsoft Entra und Document360 konfiguriert können sich Ihre Benutzer und Leser mit ihren bestehenden Microsoft-Zugangsdaten bei Document360 anmelden, ohne ein separates Passwort zu benötigen.

Was du mit Microsoft Entra als deinem IdP machen kannst

Bevor du anfängst

• Sie haben ein aktives Microsoft Azure-Konto mit Administratorzugriff. Melden Sie sich bei entra.microsoft.com an.
• Du hast Eigentümer - oder Administratorzugriff in deinem Document360-Projekt.
• Öffnen Sie Document360 und Microsoft Entra in zwei separaten Browser-Tabs. Du musst während der Einrichtung mehrmals zwischen ihnen wechseln.

Schritt 1: Erstellen Sie eine SAML-Anwendung in Microsoft Entra

Melden Sie sich bei Microsoft Entra an

1. Melden Sie sich unter entra.microsoft.com in Ihrem Microsoft Azure-Konto an.
2. Sie werden zur Seite des Microsoft Entra Admin-Centers navigiert.

Erstellen Sie die Anwendung

1. Im Microsoft Entra Verwaltungszentrum wählen Sie in der linken Navigationsleiste die Entra ID aus und klicken Sie auf Unternehmens-Apps.
2. Auf der Seite Unternehmensanwendungen klicken Sie auf Neue Anwendung > Erstellen Sie Ihre eigene Anwendung.
3. Geben Sie einen Namen für Ihre Anwendung im Feld Eingabename ein und klicken Sie auf Erstellen.

Schritt 2: SAML in Entra mit Document360-Parametern konfigurieren

Holen Sie sich die Parameter des Service Provider von Document360

1. Öffne Document360 in einem separaten Tab.
2. Navigiere zu Einstellungen > Benutzer & Berechtigungen > SSO-Konfiguration.
3. Klicken Sie auf Create SSO.

4. Wählen Sie die Entra-ID als Ihren Identitätsanbieter (IdP) aus, um automatisch zur Seite "Service Provider konfigurieren" (SP) zu gelangen.

5. Die Seite Configure the Service Provider (SP) zeigt die erforderlichen Parameter an, um Ihre SAML-Integration im Identity Provider zu konfigurieren.

Configure SAML in Entra

1. Gehe zu Microsoft Entra und öffne auf der Seite zur erstellten Anwendung den Reiter Single Sign-on und wähle die SAML-Methode aus.

2. Klicken Sie auf Bearbeiten im Abschnitt Basic SAML Configuration und geben Sie die unten gezeigten Parameter aus Document360 ein.

3. Klicken Sie auf Speichern.

Schritt 3: Schließen Sie die SSO-Konfiguration in Document360 ab

Konfigurieren Sie den Identitätsanbieter in Document360

1. Kehren Sie zu Document360 zurück und klicken Sie auf Nächsten, um zur Seite "Configure the Identity Provider (IdP)" zu gelangen.
2. Wenn du bereits eine bestehende SSO-Konfiguration hast, kannst du sie im Dropdown-Menü Eine bestehende Verbindung konfigurieren auswählen, um ihre Einstellungen zu erben. Das eliminiert redundante Einrichtungen und spart Zeit.

3. Füllen Sie die erforderlichen Felder mit den Parametern aus, die im Abschnitt "Set up Document360 SCIM SSO " auf der Entra-Seite gefunden werden, wie unten gezeigt.

4. Laden Sie das Zertifikat (Base64) im Abschnitt SAML-Zertifikate herunter und fügen Sie es dem SAML-Zertifikatsfeld in Document360 an.

5. Schalten Sie die Option "Erlaubt IdP-initiierter Anmeldung" je nach Projektanforderungen an oder aus. Erfahren Sie mehr über die vom Idp initiierte Anmeldung.
6. Klicken Sie auf Weiter, um zur SCIM-Bereitstellungsseite zu gelangen.

Schritt 4: Konfigurieren Sie die SCIM-Bereitstellung

Die SCIM-Bereitstellung automatisiert das Lebenslauf-Management von Benutzer und Lesern zwischen Microsoft Entra und Document360. Wenn aktiviert, werden in Entra hinzugefügte, aktualisierte oder deaktivierte Benutzer automatisch mit Document360 synchronisiert.

Wenn Sie keine SCIM-Bereitstellung benötigen, klicken Sie auf Nächst und folgen Sie den Schritten aus Schritt 5: Mehr Einstellungen.

Aktivieren Sie SCIM in Document360

1. Aktivieren Sie auf der SCIM-Bereitstellungsseite in Document360 den Aktivieren der SCIM-Bereitstellung.
2. Ein Bestätigungsdialog erscheint. Lesen Sie die Bedingungen und klicken Sie auf Zustimmen. Anschließend wird eine Reihe von Parametern angezeigt.

Konfigurieren Sie die SCIM-Bereitstellung in Entra

1. Gehe zu Entra, wähle im linken Menü den Reiter Provisioning aus und wähle dann im oberen Menü neue Konfiguration .

2. Die Seite zur neuen Bereitstellungskonfiguration wird angezeigt. Füllen Sie die Felder im Abschnitt Admin-Zugangsdaten mit den unten gezeigten Parametern aus Document360 aus.

Setze Standardrollen und -gruppen in Document360

1. Gehen Sie zurück zu Document360 und aktivieren Sie den Schalter Gruppensynchronisation aktivieren . Wenn aktiviert, werden Benutzer und Lesergruppen automatisch basierend auf den IdP-Gruppenzuordnungen zugewiesen.
2. Im Feld Standardrolle ist die Rolle standardmäßig auf Beitragsmitglied gesetzt. Du kannst das bei Bedarf im Dropdown-Menü ändern.

3. In den Feldern Benutzergruppen und Lesergruppen wählen Sie die Gruppen aus, die Sie hinzufügen möchten. Mehrere Gruppen können hinzugefügt werden, und sie übernehmen die zuvor gewählte Standardrolle.
4. Klicken Sie auf Weiter, um zur Seite Mehr-Einstellungen zu gelangen.

Schritt 5: Weitere Einstellungen

Konfigurieren Sie den SSO-Namen und die Anmeldeoptionen

1. Im SSO-Namensfeld geben Sie einen Namen für die SSO-Konfiguration ein.
2. Im Login-Anpassen-Button geben Sie den Text für den Login-Button ein, der den Nutzern angezeigt wird.
3. Automatische Zuweisung der Lesergruppe – diese Option ist nur für bestehende SSO-Konfigurationen verfügbar. Bei neu erstellten SSO-Konfigurationen wird dieser Schalter nicht angezeigt, da SCIM Benutzer und Gruppen automatisch bereitstellt. Erfahren Sie mehr über die Auto-Assign-Lesergruppe.
4. Aktivieren Sie bei Bedarf den Ausloggungs-Idle-SSO-Benutzer und stellen Sie die Dauer des Leerlaufs ein.
5. Entscheiden Sie, ob Sie bestehende Nutzer- und Leserkonten zum SSO einladen.

6. Klicken Sie auf Erstellen , um die SSO-Konfiguration abzuschließen.

Die SSO-Konfiguration in Document360 wird erfolgreich erstellt.

Schritt 6: Abschließen Sie die SCIM-Bereitstellung in Entra

Testen und speichern Sie die SCIM-Verbindung

1. Gehen Sie zurück zu Entra, wo die Seite zur neuen Bereitstellung angezeigt wird.
2. Sobald alle erforderlichen Felder ausgefüllt sind, klicken Sie auf "Verbindung testen ", um die Konfiguration zu überprüfen.

3. Eine Bestätigungsmeldung erscheint, sobald die SCIM-Bereitstellungsverbindung zwischen Entra und Document360 erfolgreich ist.
4. Klicken Sie auf Erstellen , um die Konfiguration abzuschließen.

Die SCIM-Bereitstellung zwischen Entra und Document360 wurde erfolgreich geschaffen.

Best Practices

• Erstellen Sie eine Nicht-Galerie-Anwendung. Verwende beim Erstellen deiner Entra-Anwendung immer die Option "Integriere jede andere Anwendung", die du nicht in der Galerie findest . Galerie-Apps unterstützen keine benutzerdefinierte SCIM-Bereitstellung.
• Bewahren Sie beide geheimen Token sicher auf. Behandle die primären und sekundären SCIM-Token wie Passwörter. Speichere sie in einem Secrets-Manager oder Passwort-Tresor, nicht in Klartextdateien oder Code-Repositories.
• Teste die SCIM-Verbindung nicht, bevor du die Document360-Konfiguration speicherst. Der Test wird in diesem Stadium scheitern. Immer zuerst die Document360 SSO-Konfiguration abschließen und speichern und dann zu Entra zurückkehren, um zu testen.
• Setze die Attributzuordnung auf Benutzerebene, nicht auf Gruppenebene. Bei der Konfiguration des Attributs isTeamAccount sollte man es immer auf Benutzerebene festlegen, um Konflikte für Nutzer zu vermeiden, die mehreren Gruppen angehören.
• Richten Sie den Leerlauf-Timeout an Ihre Sicherheitsrichtlinie ab. Aktivieren Sie den Ausloggen-Leerlauf-SSO-Benutzer und stellen Sie die Dauer so ein, dass sie den Anforderungen Ihrer Organisation an das Sitzungsmanagement entspricht.

FAQ