Single Sign-on

Mit Single Sign-on melden sich Ihre Leute im CMS und in der App mit dem Konto an, das Ihre Firma ohnehin pflegt – in Microsoft Entra ID, Okta, Google Workspace, Keycloak, Auth0, OneLogin, JumpCloud, ADFS, Shibboleth oder jedem anderen Anbieter, der OpenID Connect oder SAML 2.0 spricht. Es gelten die Mehrfaktor-Authentifizierung und die Zugriffsrichtlinien Ihres Anbieters. DDM sieht das Kennwort nie.

Sie richten es selbst ein, nur für Ihre Organisation, im CMS unter Einstellungen › Single Sign-on. Nur Inhaber sehen es: Wer den Anbieter einrichtet, entscheidet, wer sich als wer anmeldet – auch als Inhaber.

So funktioniert es

1. Jemand trägt auf der Anmeldeseite seine E-Mail-Adresse ein. DDM erkennt Ihre Domain und zeigt Weiter mit … – eine Schaltfläche für jeden Ihrer Anbieter, der für die Domain zuständig ist.
   
2. Ein Klick führt zu Ihrem Anbieter, wo sich die Person wie gewohnt anmeldet – mit MFA, wenn Ihr Anbieter danach fragt.
3. Ihr Anbieter schickt sie zurück. DDM prüft die Antwort, meldet sie an – in Ihrer Organisation – und ordnet sie, wenn Sie Gruppen zuordnen, den richtigen Gruppen zu.

DDM lässt nur Personen hinein, deren Adresse auf einer Ihrer bestätigten Domains liegt. Wer noch nicht in DDM ist, bekommt bei der ersten Anmeldung ein Konto – außer Sie schalten das aus.

Was Sie brauchen

• Eine Administratorin oder einen Administrator Ihres Identitätsanbieters, die oder der dort eine Anwendung registrieren darf.
• Eine bestätigte E-Mail-Domain in DDM, unter Einstellungen › Organisation › E-Mail-Domains.

1. Anbieter hinzufügen

Öffnen Sie Einstellungen › Single Sign-on und klicken Sie oben rechts auf Neuer Identitätsanbieter. Wählen Sie unter Identitätsanbieter hinzufügen:

Klicken Sie auf Hinzufügen. Der Anbieter wird ausgeschaltet angelegt – Sie können ihn in Ruhe einrichten. Seine Beschriftung steht oben im Anbieter; um sie später zu ändern, tippen Sie dort und klicken woanders hin – gespeichert wird, sobald Sie das Feld verlassen.

2. DDM bei Ihrem Anbieter registrieren

Was Ihr Anbieter von DDM braucht, hängt vom Protokoll ab.

OpenID Connect

Legen Sie bei Ihrem Anbieter eine Anwendung vom Typ OpenID Connect / Webanwendung mit dem Ablauf Authorization Code und einem geheimen Clientschlüssel an, und tragen Sie als ihre Umleitungs-URI (auch Callback-URL oder Sign-in redirect URI) die Umleitungs-URI aus der Karte Bevor Sie anfangen ein. Sie ist für jede Organisation und jeden Anbieter gleich:

https://cms.documentdistributionmanager.com/api/auth/sso/callback

DDM fragt die Bereiche (Scopes) openid email profile an; die meisten Anbieter gewähren sie von selbst. Ihr Anbieter nennt Ihnen danach drei Dinge: den Aussteller (Issuer), eine Client-ID und einen geheimen Clientschlüssel.

SAML 2.0

Legen Sie bei Ihrem Anbieter eine SAML-Anwendung an und tragen Sie die drei Werte ein, die DDM für diesen Anbieter zeigt – jeder mit einer Schaltfläche zum Kopieren:

Anders als die Umleitungs-URI sind diese Werte für jeden Anbieter verschieden – sie enthalten seine ID. Lassen Sie Ihren Anbieter die E-Mail-Adresse als Attribut (oder als Name ID) mitschicken und, wenn Sie Gruppen zuordnen wollen, die Gruppen. Ihr Anbieter gibt Ihnen danach seine Metadaten – meist als URL.

Schritt-für-Schritt-Anleitungen für beide Protokolle:

• Microsoft Entra ID
• Okta
• Google Workspace

3. Anbieter in DDM eintragen

OpenID Connect

Klicken Sie auf Speichern. DDM liest die Konfiguration Ihres Anbieters sofort – stimmt der Aussteller nicht, bekommen Sie den Fehler hier, nicht erst bei der ersten Anmeldung.

SAML 2.0

Wählen Sie unter Metadaten Ihres Anbieters, wie DDM sie bekommt:

Prüfen Sie auch das E-Mail-Attribut: den Namen des Attributs, in dem die Adresse steht. DDM schlägt vor, was Ihr Anbieter üblicherweise schickt; fehlt das Attribut, gilt die Name ID als Adresse.

Klicken Sie auf Speichern. DDM liest die Metadaten sofort und zeigt die Entity ID Ihres Anbieters und wie lange sein Zertifikat gültig ist. Metadaten ohne brauchbare Anmelde-URL oder mit abgelaufenem Zertifikat werden hier abgewiesen.

Verbindung testen

Klicken Sie auf Verbindung testen:

4. Einschalten

In der Karte Zugang:

• Single Sign-on aktiv – ab jetzt erscheint die Schaltfläche für Ihre Domains.
• Domains – bleibt das Feld leer, ist der Anbieter für alle Ihre bestätigten Domains zuständig. Wählen Sie einzelne, wenn er nur diese anmelden soll – siehe Mehrere Anbieter.
• Konten beim ersten Login anlegen – wen Ihr Anbieter kennt und wessen Adresse auf Ihrer Domain liegt, bekommt bei der ersten Anmeldung Konto und Mitgliedschaft. Schalten Sie es aus, wenn nur eingeladene oder übernommene Personen hineinkommen sollen.
• Gruppe für neue Personen – wer über diesen Anbieter dazukommt und durch keine Zuordnung in eine Gruppe kommt, landet in dieser Gruppe und sieht so sofort etwas.

Dann ausprobieren: Öffnen Sie ein privates Browserfenster, gehen Sie zur Anmeldeseite, tragen Sie Ihre Adresse ein und klicken Sie auf Weiter mit ….

Gruppen zuordnen

Ihr Anbieter weiß, wer im Vertrieb ist und wer im Marketing. Mit einer Gruppenzuordnung übernimmt DDM das: Bei jeder Anmeldung kommen die Personen in die DDM-Gruppen, die zu ihren Gruppen bei Ihrem Anbieter passen.

1. Tragen Sie in der Karte Gruppen den Gruppen-Anspruch (Claim) ein – den Anspruch (OpenID Connect) oder das Attribut (SAML), in dem Ihr Anbieter die Gruppen einer Person aufführt. Meist groups.
2. Klicken Sie für jede Gruppe auf Zuordnung hinzufügen: links der Wert, wie Ihr Anbieter ihn schickt, rechts die DDM-Gruppe.
3. Klicken Sie auf Speichern.

Wie der Wert aussieht, hängt vom Anbieter ab:

Die Regeln:

• Eine zugeordnete Gruppe füllt Ihr Anbieter. Wer einen zugeordneten Wert hat, kommt in die Gruppe; wer ihn nicht mehr hat, verlässt die Gruppe bei der nächsten Anmeldung. Groß- und Kleinschreibung spielen beim Vergleich keine Rolle.
• Gruppen ohne Zuordnung bleiben unberührt – egal, wer jemanden hineingesetzt hat, von Hand oder per Verzeichnis.
• Ist jemand in keiner der zugeordneten Gruppen, fehlt der Gruppen-Anspruch unter Umständen ganz – das gilt als „keine Gruppen", und die Person verlässt die zugeordneten Gruppen.
• Ausnahme: Für jemanden in mehr als 200 Gruppen schickt Entra ID keine Gruppenliste, nur einen Verweis. DDM lässt die Gruppen dieser Person dann, wie sie sind.
• Gruppe für neue Personen greift nur, wenn keine Zuordnung eine neue Person eingeordnet hat.

Mehrere Anbieter

Eine Organisation kann mehrere Identitätsanbieter anbinden – klicken Sie einfach erneut auf Neuer Identitätsanbieter. Typische Fälle:

• Eine Tochterfirma mit eigenem Mandanten: Anbieter Kunde Entra für firma.de, Anbieter Tochter Okta für tochter.de – unter Zugang › Domains beschränken Sie jeden auf seine Domain.
• Ein Umzug: der neue Anbieter neben dem alten, beide aktiv, bis sich alle einmal über den neuen angemeldet haben. Dann schalten Sie den alten aus.

Auf der Anmeldeseite sieht jemand eine Schaltfläche für jeden aktiven Anbieter, der für seine Domain zuständig ist. Ein Anbieter, der auf einige Domains beschränkt ist, hat über Adressen auf den anderen nichts zu sagen – selbst wenn er eine meldete, würde DDM die Anmeldung abweisen.

Personen werden mit jedem Anbieter einzeln verknüpft. Wer sich schon über den alten Anbieter angemeldet hat, wird bei der ersten Anmeldung über den neuen an seiner E-Mail-Adresse erkannt.

Single Sign-on erzwingen

Single Sign-on erzwingen schaltet das Passwort für die Domains des Anbieters ab: Niemand kann sich mehr mit DDM-Passwort oder Firmenkennwort anmelden, nur noch über Ihren Anbieter. Das gilt auch für die Schaltflächen Microsoft, Google und Okta der Installation, und mit einer Adresse dieser Domains kann sich niemand mehr mit Passwort registrieren. Die Anmeldeseite zeigt dann nur die Schaltfläche.

Inhaber der Organisation können sich weiter mit ihrem Passwort anmelden – über Stattdessen mit Passwort anmelden. Das ist der Weg zurück, falls Ihr Anbieter ausfällt oder seine Konfiguration kaputtgeht; über einen Anbieter, der nicht funktioniert, kann niemand die Konfiguration reparieren. Sorgen Sie dafür, dass mindestens ein Inhaber ein DDM-Passwort hat.

Wer hineinkommt

DDM entscheidet selbst, wen Ihr Anbieter anmelden darf:

Jede Anmeldung über Single Sign-on, die DDM erreicht – erfolgreich oder abgewiesen –, steht im Audit-Log, Abweisungen mit dem Grund, erfolgreiche mit den Gruppen, die hinzugekommen oder weggefallen sind.

Meldungen, die Ihre Leute sehen können

Anbieter ändern oder entfernen

Ein Feld ändern und auf Speichern klicken – etwa einen neuen Schlüssel, wenn der alte abläuft. Ändern Sie den Aussteller, liest DDM die Konfiguration des neuen Anbieters erneut. Bei SAML übernimmt Metadaten neu laden ein neues Zertifikat von der Metadaten-URL.

Der Papierkorb neben dem Namen des Anbieters (Anbieter entfernen) fragt erst nach – bestätigen Sie mit Endgültig entfernen. Er löscht seine Konfiguration und die Verknüpfungen zwischen Ihren Leuten und diesem Anbieter. Wer über ihn angemeldet ist, wird abgemeldet – ebenso, wenn Sie ihn ausschalten. Die Personen bleiben, mit ihren Gruppen. Wer weder ein DDM-Passwort noch einen anderen Anbieter hat, vergibt ein Passwort über Passwort vergessen? auf der Anmeldeseite.

Für den Betrieb von DDM

• Nichts einzurichten für Anbieter im Internet – Entra ID, Okta, Google und andere Cloud-Anbieter funktionieren sofort, mit beiden Protokollen.
• Ein Anbieter im eigenen Netz des Kunden (Keycloak, ADFS im LAN) muss freigegeben werden: Tragen Sie seine Adresse in SSO_TRUSTED_ORIGINS ein, mehrere durch Kommas getrennt, z. B. SSO_TRUSTED_ORIGINS="https://sso.firma.local". Das gilt auch für SAML-Metadaten-URLs.
• Die App unter eigener Adresse (z. B. app.firma.de neben ddm.firma.de): Beide müssen unter derselben übergeordneten Domain liegen, mit AUTH_COOKIE_DOMAIN="firma.de" – sonst merkt die App die Anmeldung nicht.
• SAML-Anbieter schicken die Anmeldung von ihrer eigenen Adresse per POST an <BETTER_AUTH_URL>/api/auth/sso/saml2/sp/acs/… zurück; ein Reverse Proxy oder eine Web Application Firewall vor DDM muss das durchlassen.