Anmeldung & Verzeichnisse

Google Workspace

Das Google Workspace Ihrer Organisation anbinden – einen OAuth-Client anlegen und in DDM eintragen.

Mit Google Workspace melden sich Ihre Leute mit dem Konto an, das sie für Gmail und Drive nutzen. Sie legen in Ihrem Google-Cloud-Projekt einen OAuth-Client an und tragen ihn in DDM unter Einstellungen › Single Sign-on ein.

1. OAuth-Client anlegen

In der Google Cloud Console, in einem Projekt Ihrer Google-Workspace-Organisation:

Zustimmungsbildschirm

Unter Google Auth Platform (früher OAuth-Zustimmungsbildschirm) tragen Sie den App-Namen DDM und eine Support-Adresse ein und wählen als Zielgruppe Intern – dann können sich nur Konten Ihres eigenen Workspace anmelden, und Google muss die App nicht prüfen.

Client

Unter Clients › Client erstellen wählen Sie Webanwendung und tragen als Autorisierte Weiterleitungs-URI die Umleitungs-URI aus DDM ein, Einstellungen › Single Sign-on – z. B. https://cms.documentdistributionmanager.com/api/auth/sso/callback.

Zugangsdaten kopieren

Kopieren Sie die Client-ID und den Clientschlüssel.

2. In DDM eintragen

Feld	Wert
Beschriftung	z. B. `Google` oder der Name Ihrer Firma
Aussteller (Issuer)	`https://accounts.google.com`
Client-ID	`….apps.googleusercontent.com`
Geheimer Clientschlüssel	von Google
E-Mail-Anspruch (Claim)	`email`

Klicken Sie auf Speichern, dann auf Verbindung testen, und schalten Sie Single Sign-on aktiv ein – siehe Single Sign-on.

Gruppen zuordnen

Google schickt über OpenID Connect keine Gruppen. Damit DDM Ihre Leute anhand ihrer Google-Gruppen Gruppen zuordnet, binden Sie Google Workspace stattdessen per SAML an – siehe unten.

Stattdessen mit SAML

Fügen Sie unter Einstellungen › Single Sign-on einen Anbieter mit Google Workspace und SAML 2.0 hinzu. DDM zeigt drei Werte dafür.
Gehen Sie in der Google Admin-Konsole zu Apps › Web- und mobile Apps › App hinzufügen › Benutzerdefinierte SAML-App hinzufügen und nennen Sie sie DDM.
Klicken Sie auf der Seite Details zum Google-Identitätsanbieter auf Metadaten herunterladen und fügen Sie den Inhalt der Datei in DDM unter Metadaten Ihres Anbieters › Metadaten einfügen ein. Speichern.
Tragen Sie zurück bei Google unter Details des Dienstanbieters die Antwort-URL (ACS-URL) aus DDM als ACS-URL ein und den Bezeichner (Entity ID) aus DDM als Element-ID. Format der Namens-ID: EMAIL, Namens-ID: Grundlegende Informationen › Primäre E-Mail-Adresse.
Fügen Sie unter Attributzuordnung Primäre E-Mail-Adresse → email, Vorname → firstName und Nachname → lastName hinzu. Für Gruppen fügen Sie unter Gruppenmitgliedschaft die Google-Gruppen hinzu, die DDM kennen soll, und nennen das App-Attribut groups – tragen Sie das in DDM als Gruppen-Anspruch (Claim) ein und ordnen Sie die Gruppen nach ihrem Namen zu.
Schalten Sie die App unter Nutzerzugriff für alle ein (oder für eine Organisationseinheit).

Häufige Fehler

Problem	Lösung
`Fehler 400: redirect_uri_mismatch`	Die Weiterleitungs-URI bei Google weicht von der in DDM ab – erneut kopieren.
`Fehler 403: org_internal`	Die Person hat sich mit einem Konto außerhalb Ihres Workspace angemeldet – z. B. einer privaten Gmail-Adresse.
Ihre E-Mail-Adresse liegt auf keiner bestätigten Domain Ihrer Organisation	Die Adresse des Kontos liegt auf einer Domain, die Sie in DDM nicht bestätigt haben – z. B. einer weiteren Domain Ihres Workspace. Bestätigen Sie sie unter Einstellungen › Organisation.

Google-Anmeldung für die ganze Installation

Der Betrieb einer DDM-Installation kann außerdem Mit Google Workspace anmelden für alle Organisationen darauf anbieten, eingerichtet auf dem Server (GOOGLE_CLIENT_ID, GOOGLE_CLIENT_SECRET, NUXT_PUBLIC_SSO_PROVIDERS="google", Weiterleitungs-URI <BETTER_AUTH_URL>/api/auth/callback/google). Sie legt keine Konten an und ist für alle gleich; eine Organisation mit eigenem Client und eigenen Regeln nutzt Single Sign-on wie oben beschrieben.

Okta

Das Okta Ihrer Organisation anbinden – eine OpenID-Connect-App-Integration anlegen und in DDM eintragen.

Zwei-Faktor-Authentifizierung

Nach dem Passwort ein Code aus einer Authenticator-App – freiwillig für alle, Pflicht für Ihre Organisation, wenn Sie das festlegen, mit Codes per E-Mail als Ausweg, den Sie abschalten können.