Identität & SSO

Richten Sie Single Sign-on für Ihre Certivant-Organisation mit Google, Microsoft, GitHub, SAML 2.0 oder OIDC ein, damit sich Ihr Team mit der bestehenden Unternehmensidentität anmeldet.

Who can do this:Org ownerOrg admin

Was passiert hier?

Single Sign-on (SSO) ermöglicht es Ihren Teammitgliedern, sich mit ihrer bestehenden Unternehmensidentität bei Certivant anzumelden, etwa mit Google Workspace, Microsoft 365, Okta, OneLogin usw. Dadurch müssen sie sich kein weiteres Passwort merken. Es gilt dieselbe Sicherheitsgrenze wie bei Ihrem Identity Provider (IdP). Wenn Sie dort jemanden offboarden, verliert diese Person auch den Zugriff auf Certivant.

Es gibt drei SSO-Modi:

Soziale Anbieter — Google, Microsoft, GitHub. Anmeldung mit einem Klick für einzelne Benutzer. Jeder Benutzer klickt einmal auf „Mit Google anmelden“, und wir verknüpfen ihn anhand der E-Mail-Adresse mit seinem bestehenden Mitgliedseintrag der Organisation.
SAML 2.0 — für Unternehmens-IdPs (Okta, OneLogin, Azure AD, ADFS). Sie richten auf deren Seite eine Unternehmensanwendung ein, fügen die Metadaten in Certivant ein, und die Einrichtung ist abgeschlossen.
OIDC — OpenID Connect für IdPs, die es SAML vorziehen (Auth0, Keycloak, moderne Okta-Mandanten).

Wo finden Sie es?

Einstellungen → Identität & SSO in der linken Seitenleiste.

Diese werden auf Plattformebene vom Super-Administrator konfiguriert. Sie richten sie nicht pro Organisation ein. Entweder sind sie für die gesamte Installation aktiv oder inaktiv. Sind sie aktiv, sehen Ihre Teammitglieder auf der Anmeldeseite die Schaltflächen „Mit Google anmelden“, „Mit Microsoft anmelden“ oder „Mit GitHub anmelden“.

Wenn sich ein Teammitglied über einen sozialen Anbieter anmeldet:

Der IdP liefert die verifizierte E-Mail-Adresse.
Certivant ordnet diese E-Mail-Adresse dem Mitglied zu, das Sie zuvor eingeladen haben.
Die Person landet in Ihrer Organisation, ohne weitere Schritte.

Wenn die E-Mail-Adresse des IdP keinem eingeladenen Mitglied entspricht, erhält die Person die Meldung „Konto nicht gefunden – bitten Sie Ihren Administrator um eine Einladung“.

Wenn alle in Ihrer Organisation Google Workspace nutzen, bitten Sie Ihren Super-Administrator, Google-SSO zu aktivieren und die Anmeldung mit E-Mail und Passwort zu deaktivieren. Dann gibt es ein Passwort weniger zu verwalten und eine Angriffsfläche für Phishing weniger.

SAML 2.0

Für mittlere und große Unternehmen mit einem IdP, der die Bereitstellung von Anwendungen bereits verwaltet.

Bei Certivant: Identität & SSO öffnen

Einstellungen → Identität & SSO → SAML. Schalten Sie SAML aktivieren ein. Der Bildschirm zeigt dann:

Ihre ACS-URL (Assertion Consumer Service): https://app.certivant.com/api/auth/saml/callback/{your-org-id}. Kopieren Sie sie.
Ihre Entity ID (SP-Entity-ID): urn:certivant:org:{your-org-id}. Kopieren Sie sie.
IdP-Metadaten hochladen: Hier fügen Sie nach Schritt 2 das XML Ihres IdP ein.

Beim IdP: eine neue SAML-Anwendung für Certivant anlegen

Die Bezeichnungen unterscheiden sich je nach IdP, die Felder sind aber überall gleich:

SP-Entity-ID — fügen Sie die Entity ID aus Schritt 1 ein.
ACS-/Antwort-URL — fügen Sie die ACS-URL aus Schritt 1 ein.
Name-ID-Format — EmailAddress (wir ordnen Mitglieder anhand der E-Mail-Adresse zu).
Attributaussagen (optional, aber nützlich):
- firstName, lastName — werden verwendet, um das Mitgliederprofil vorzubefüllen.
- groups — Liste der Gruppenzugehörigkeiten. Ordnen Sie sie auf Seite des IdP über die Auswahl den Certivant-Rollen zu.

Laden Sie das XML mit den IdP-Metadaten herunter.

Zurück bei Certivant: Metadaten hochladen

Fügen Sie das XML in das Feld IdP-Metadaten hochladen auf der Seite Identität & SSO ein. Speichern Sie.

Testen

Öffnen Sie ein neues privates Fenster. Klicken Sie auf Mit SAML anmelden und geben Sie Ihre E-Mail-Adresse ein. Sie sollten zu Ihrem IdP weitergeleitet werden, sich dort anmelden und zu Ihrer Certivant-Organisation zurückkehren.

(Optional) Auf SAML beschränken

Sobald Sie die Funktion bestätigt haben, können Sie SAML für jedes Mitglied Ihrer Organisation verlangen: Einstellungen → Identität & SSO → Schalter SSO erforderlich aktivieren. Die Anmeldung mit E-Mail und Passwort bleibt für den Eigentümer Ihrer Organisation als Notausgang erhalten. Für alle anderen ist sie gesperrt.

Just-in-time-Bereitstellung (JIT)

Meldet sich ein neuer IdP-Benutzer zum ersten Mal an, kann Certivant Folgendes tun:

Blockieren — nur zuvor eingeladene Mitglieder werden zugelassen.
Automatisch als Mitglied anlegen — jeder IdP-Benutzer mit einer gültigen SAML-Antwort wird automatisch Mitglied der Organisation.
Automatisch anlegen mit Rolle aus Gruppenangabe — liest das Attribut groups aus der SAML-Antwort und weist anhand einer von Ihnen konfigurierten Zuordnung die Rolle Eigentümer / Admin / Mitglied zu.

Wählen Sie dies unter Einstellungen → Identität & SSO → SAML → Bereitstellung neuer Benutzer. JIT ist bequem, verringert aber Ihre Kontrolle. Wenn Ihr IdP jeden Mitarbeiter übermittelt, werden alle automatisch aufgenommen, unabhängig davon, ob sie Certivant benötigen.

OIDC

OIDC funktioniert ähnlich, verwendet aber einfacheres JSON statt XML.

Einstellungen → Identität & SSO → OIDC. Aktivieren Sie den Schalter.

Kopieren Sie die Redirect-URI: https://app.certivant.com/api/auth/oidc/callback/{your-org-id}.

Legen Sie beim IdP eine OIDC-Anwendung an. Fügen Sie die Redirect-URI ein. Konfigurieren Sie die Bereiche (Scopes): openid, email, profile sowie groups, falls Sie eine Rollenzuordnung wünschen.

Tragen Sie bei Certivant die Issuer-URL, die Client-ID und das Client-Geheimnis des IdP ein.

Speichern Sie. Testen Sie die Anmeldung aus einem privaten Fenster über Mit SSO anmelden.

SSO entfernen

Schalten Sie den betreffenden Anbieter unter Einstellungen → Identität & SSO aus. Bereits angemeldete Mitglieder bleiben angemeldet, bis ihre Sitzung abläuft. Ihre nächste Anmeldung muss über E-Mail und Passwort oder einen anderen aktivierten Anbieter erfolgen.

Haben Sie SSO zuvor verpflichtend gemacht und möchten Sie es nun abschaffen, schalten Sie außerdem SSO erforderlich aus, damit die Mitglieder wieder auf E-Mail und Passwort zurückgreifen können.

Fehlerbehebung

„SSO ist für diese Organisation nicht konfiguriert“

Sie haben den Anbieter aktiviert, die Konfiguration ist jedoch unvollständig. Öffnen Sie den Bereich SAML bzw. OIDC und prüfen Sie, ob alle Pflichtfelder ausgefüllt sind.

„Ungültige SAML-Antwort“ / „Ungültiges OIDC-Token“

Häufige Ursachen:

Zeitversatz zwischen Ihrem IdP und unseren Servern. Die meisten IdPs sind NTP-synchronisiert, Ihre eigene Umgebung aber möglicherweise nicht.
Falsche Entity ID / Zielgruppe auf Seite des IdP. Prüfen Sie, ob die von Certivant angezeigten Werte mit denen in Ihrer IdP-Anwendung übereinstimmen.
Signaturabweichung — Sie haben beim IdP die Zertifikate neu erzeugt, ohne die Metadaten erneut in Certivant hochzuladen. Fügen Sie die aktuellen Metadaten erneut ein.

„Konto nicht gefunden“

Der IdP hat eine E-Mail-Adresse zurückgegeben, die keinem eingeladenen Mitglied entspricht. Entweder:

Laden Sie den Benutzer zuerst unter Einstellungen → Mitglieder ein (mit derselben E-Mail-Adresse, die der IdP zurückgibt).
Oder aktivieren Sie die JIT-Bereitstellung, damit das Konto automatisch angelegt wird.

Das ist so vorgesehen. Der Eigentümer kann sich immer mit E-Mail und Passwort anmelden, auch wenn SSO erforderlich aktiviert ist. So haben Sie einen Notausgang, falls SSO ausfällt. Schlägt auch das fehl, wenden Sie sich an Ihren Super-Administrator, damit er es auf Plattformseite behebt.

Teammitglieder einladen — die Mitgliederliste bildet die Grundlage für den Abgleich der E-Mail-Adressen bei SSO.
Rollen auf einen Blick — Zuordnung von Gruppenangaben zu Rollen.
Gefahrenzone — das Deaktivieren von SSO lässt sich über das Eigentümerkonto rückgängig machen.

Identität & SSO

On this page