Single Sign-On (SSO) mit Okta, Microsoft Entra ID, Google Workspace und mehr einrichten

Single Sign-on (SSO) ermöglicht es Ihrem Team, sich bei RedirHub mit dem Identitätsanbieter Ihres Unternehmens statt mit einem separaten RedirHub-Passwort anzumelden. RedirHub unterstützt SAML 2.0 und funktioniert mit Okta, Microsoft Entra ID (früher Azure AD), Google Workspace, OneLogin, JumpCloud, PingOne, Auth0, AD FS und jedem anderen SAML 2.0-Identitätsanbieter. SSO ist in Pro als Zusatzoption für 200 $/Monat und in Enterprise per Vertrag verfügbar.

Unterstützte Identitätsanbieter#

Schritt 1: Holen Sie sich Ihre RedirHub-SAML-Details#

Sobald SSO für Ihren Arbeitsbereich aktiviert ist, stellt RedirHub Ihnen zwei Werte zur Verfügung, die Sie in Ihren Identitätsanbieter einfügen können. Anbieter verwenden dafür unterschiedliche Bezeichnungen:

• ACS-URL: auch Single-Sign-on-URL, Reply-URL, Recipient oder Assertion Consumer Service URL genannt.
• Entitäts-ID: auch Audience URI, Identifier, Audience oder SP Entity ID genannt.

Schritt 2: Erstellen Sie die RedirHub-App in Ihrem Identitätsanbieter#

Die Schritte sind bei jedem Anbieter gleich:

1. Erstellen Sie eine neue SAML-2.0-Anwendung und nennen Sie sie RedirHub.
2. Fügen Sie die ACS-URL und die Entitäts-ID aus Schritt 1 ein.
3. Setzen Sie das Name-ID-Format auf E-Mail-Adresse und senden Sie die primäre E-Mail-Adresse des Nutzers.
4. Weisen Sie die Personen oder Gruppen zu, die sich bei RedirHub anmelden können sollen.
5. Kopieren Sie die Metadaten-URL der App oder laden Sie die Metadaten-XML herunter.

Hier finden Sie die jeweiligen Einstellungen bei den gängigsten Anbietern.

Okta#

1. Gehen Sie in der Admin Console zu Applications › Applications › Create App Integration und wählen Sie SAML 2.0.
2. Fügen Sie die ACS-URL in Single sign-on URL und die Entitäts-ID in Audience URI (SP Entity ID) ein.
3. Setzen Sie das Name-ID-Format auf E-Mail-Adresse und den Anwendungsbenutzernamen auf E-Mail.
4. Weisen Sie Personen oder Gruppen auf der Registerkarte Zuweisungen zu und kopieren Sie dann die Metadaten-URL aus der Registerkarte Anmelden.

Microsoft Entra ID (Azure AD)#

1. Gehen Sie im Microsoft Entra Admin Center zu Unternehmensanwendungen › Neue Anwendung › Eigene Anwendung erstellen und wählen Sie die Option ohne Galerie.
2. Öffnen Sie Single Sign-On, wählen Sie SAML aus und fügen Sie unter Grundlegende SAML-Konfiguration die Entity ID in Bezeichner und die ACS-URL in Antwort-URL ein.
3. Legen Sie unter Attribute und Ansprüche die Eindeutige Benutzer-ID auf die E-Mail-Adresse des Benutzers (user.mail) im E-Mail-Adressformat fest.
4. Weisen Sie unter Benutzer und Gruppen Personen oder Gruppen zu und kopieren Sie dann die App Federation Metadata URL aus SAML-Zertifikaten.

Google Workspace#

1. Gehen Sie in der Google Admin-Konsole zu Apps › Web- und mobile Apps › App hinzufügen › Benutzerdefinierte SAML-App hinzufügen.
2. Klicken Sie auf dem Bildschirm mit den Details des Google Identity Providers auf Metadaten herunterladen.
3. Unter den Details des Dienstanbieters fügen Sie die ACS-URL und die Entity-ID ein, setzen Sie Name-ID-Format auf EMAIL und Name-ID auf Grundinformationen › Primäre E-Mail-Adresse.
4. Unter Benutzerzugriff schalten Sie die App für alle oder für die Organisationseinheiten oder Gruppen ein, die sie benötigen.

OneLogin#

1. Gehen Sie zu Anwendungen › App hinzufügen und wählen Sie SAML Custom Connector (Advanced) aus.
2. Fügen Sie auf der Registerkarte „Konfiguration“ die Entity-ID in Audience (EntityID) und die ACS-URL in Recipient und ACS (Consumer) URL ein. Setzen Sie das SAML-NameID-Format auf E-Mail.
3. Gewähren Sie Zugriff über Rollen und laden Sie dann die Metadaten über Weitere Aktionen › SAML-Metadaten herunter.

JumpCloud#

1. Gehen Sie zu SSO-Anwendungen › Neue Anwendung hinzufügen › Benutzerdefinierte Anwendung und wählen Sie die Konfiguration von SSO mit SAML aus.
2. Fügen Sie die Entity-ID in SP Entity ID und die ACS-URL in ACS URL ein. Setzen Sie die SAMLSubject NameID auf E-Mail.
3. Binden Sie die Benutzergruppen, die Zugriff benötigen, und klicken Sie dann auf Metadaten exportieren.

PingOne (Ping Identity)#

1. Gehen Sie zu Anwendungen, fügen Sie eine Anwendung hinzu und wählen Sie SAML-Anwendung.
2. Geben Sie die ACS-URL und die Entity-ID manuell ein und ordnen Sie saml_subject unter Attributzuordnungen der E-Mail-Adresse zu.
3. Gewähren Sie den richtigen Gruppen Zugriff, aktivieren Sie die Anwendung und klicken Sie auf der Registerkarte Konfiguration auf Metadaten herunterladen.

Auth0#

1. Erstellen Sie eine reguläre Webanwendung, öffnen Sie die Registerkarte Addons und aktivieren Sie SAML2 Web App.
2. Fügen Sie die ACS-URL in Anwendungs-Callback-URL ein und setzen Sie audience in den Einstellungen auf die Entity-ID.
3. Kopieren Sie den Link zu den Metadaten des Identity Providers aus der Registerkarte Verwendung.

AD FS (Active Directory Federation Services)#

1. Gehen Sie in der AD FS-Verwaltung zu Relying Party Trusts › Add Relying Party Trust, wählen Sie Claims aware aus und geben Sie die Daten manuell ein.
2. Aktivieren Sie das SAML-2.0-WebSSO-Protokoll mit der ACS-URL und fügen Sie die Entity ID als Vertrauensstellungskennzeichnung der vertrauenden Partei hinzu.
3. Fügen Sie Claim Rules hinzu, die E-Mail-Adressen als E-Mail-Adresse senden, und transformieren Sie dann die E-Mail-Adresse in die Name ID mit dem E-Mail-Format.
4. Ihre Metadaten finden Sie unter https://your-adfs-server/FederationMetadata/2007-06/FederationMetadata.xml.

Jeder andere SAML-2.0-Anbieter#

Erstellen Sie eine benutzerdefinierte SAML-2.0-Anwendung, fügen Sie die ACS-URL und die Entity ID ein, senden Sie die E-Mail-Adresse des Benutzers als Name ID und exportieren Sie die Metadaten. Wenn Ihr Anbieter keine Metadatendatei hat, notieren Sie stattdessen die SSO-URL, den Issuer (IdP Entity ID) und das X.509-Signaturzertifikat.

Schritt 3: Fügen Sie RedirHub die Details Ihres Identitätsanbieters hinzu#

Geben Sie RedirHub die Metadaten-URL oder das Metadaten-XML aus Schritt 2. Wenn Sie keine Metadaten haben, stellen Sie die SSO-URL, den Issuer und das Signaturzertifikat bereit.

Schritt 4: Anmeldung testen#

Melden Sie sich mit einer Person an, die der RedirHub-App in Ihrem Identitätsanbieter zugewiesen ist. Ihre E-Mail-Adresse im Identitätsanbieter muss mit der E-Mail-Adresse ihres RedirHub-Kontos übereinstimmen. Sobald das funktioniert, rollen Sie SSO für den Rest Ihres Teams aus.

Gut zu wissen#

• Die Anmeldung mit Google ist eine Anmeldeoption in jedem Plan, nicht SAML Single Sign-On. Siehe Schützen Sie Ihr Konto.
• Anmeldezertifikate laufen ab. Wenn Sie Ihr Zertifikat erneuern, geben Sie RedirHub die neuen Metadaten, bevor das alte Zertifikat abläuft, sonst funktioniert die SSO-Anmeldung nicht mehr.
• Die Rolle jeder Person in RedirHub wird weiterhin in Ihrem Workspace verwaltet. Siehe Teammitglieder einladen und ihre Rolle auswählen.