Anmeldeverfahren

DDM kennt vier Wege, sich anzumelden. Sie lassen sich kombinieren – eine Firma kann ihre Belegschaft aus dem Active Directory übernehmen, sie über ihr Entra ID anmelden lassen und trotzdem eine externe Agentur mit einem normalen DDM-Passwort einladen.

Zum DDM-Konto und zum Verzeichnisdienst kommt auf Wunsch ein Passkey: Anmelden mit Fingerabdruck, Face ID oder der PIN des Geräts statt mit dem Passwort. Ob das erlaubt, verboten oder Pflicht ist, legt die Organisation unter Einstellungen › Sicherheit fest.

Jede Organisation bindet ihren eigenen Identitätsanbieter an – oder mehrere, z. B. einen je Tochterfirma. Zwei Kunden auf derselben DDM-Installation können beide Entra ID nutzen – jeder mit seinem eigenen Mandanten –, und ein dritter Okta per SAML. Dafür muss niemand DDM zentral registrieren.

Anmelden ist nicht Zugang

Egal welches Verfahren: Es beantwortet nur, wer jemand ist. Ob die Person in eine Organisation kommt und was sie dort sieht, entscheidet DDM selbst: Sie braucht eine Mitgliedschaft in der Organisation, und ihre Gruppen bestimmen, welche Kategorien sie sieht.

Eine Mitgliedschaft entsteht auf einem von vier Wegen:

• Einladung – die Administration lädt die Adresse unter Benutzer ein, siehe Benutzer.
• Verzeichnisdienst – der Import legt Konto und Mitgliedschaft an und ordnet die Person Gruppen zu, siehe Verzeichnisdienste.
• Single Sign-on – ist Konten beim ersten Login anlegen an, legt die erste Anmeldung Konto und Mitgliedschaft an, und eine Gruppenzuordnung ordnet die Person Gruppen zu, siehe Single Sign-on.
• Registrierung – wer die Organisation registriert, wird ihr Inhaber.

Ihr Identitätsanbieter spricht nur für Adressen Ihrer bestätigten Domains. Selbst wenn er die Adresse von jemandem aus einer anderen Firma meldete, würde DDM die Anmeldung abweisen.

Ihre E-Mail-Domains

Unter Einstellungen › Organisation › E-Mail-Domains stehen die Domains Ihrer Firma (z. B. firma.de; Subdomains wie werk.firma.de sind eingeschlossen). Eine Domain bewirkt dreierlei:

• Sie führt Kolleginnen und Kollegen, die sich zum ersten Mal anmelden, zu Ihrer Organisation,
• sie entscheidet, welche Adressen zu Ihrem Single Sign-on geschickt werden, und
• sie erlaubt Ihrem Verzeichnisdienst und Ihrem Single Sign-on, Konten mit Adressen dieser Domain anzulegen und bestehende zu übernehmen.

Eine Domain zählt erst, wenn sie bestätigt ist. Die Domain der Person, die die Organisation registriert hat, ist bestätigt, sobald diese ihre E-Mail-Adresse bestätigt. Eine weitere Domain kann hinzufügen, wer selbst eine bestätigte Adresse genau dieser Domain hat. Domains mit dem Vermerk nicht bestätigt wirken nicht – Erneut beanspruchen bestätigt sie.

Wer meldet sich wie an?

Die Liste unter Benutzer zeigt für jede Person das Login-System: Lokal (DDM-Passwort), den Namen des Verzeichnisses, aus dem sie kommt, Single Sign-on, Microsoft, Google, Okta – oder Kein Login, wenn die Person noch nichts eingerichtet hat.

Wessen Name und E-Mail aus einem Verzeichnis oder aus dem Single Sign-on kommen, kann sie unter Mein Konto nicht ändern – sie werden an der Quelle gepflegt.

Was die Anmeldeseite tut

Auf der Anmeldeseite gibt es ein Feld für die E-Mail und eines für das Passwort. Sobald jemand seine E-Mail-Adresse eingetragen hat, prüft DDM, ob seine Organisation Single Sign-on nutzt – dann erscheint die Schaltfläche Weiter mit … mit dem Namen, den Ihre Administration gewählt hat – eine für jeden Anbieter, der für die Domain zuständig ist. Sonst prüft DDM zuerst das DDM-Passwort und fragt, wenn es nicht passt, die Verzeichnisdienste. Deshalb steht unter dem Passwortfeld der Hinweis LDAP-Konten: Firmenkennwort verwenden – die Person muss nichts auswählen.

Erzwingt Ihre Organisation Single Sign-on, verschwindet das Passwortfeld für Ihre Adressen. Inhaber können es mit Stattdessen mit Passwort anmelden wieder einblenden – siehe Single Sign-on erzwingen.