Single Sign-on (SSO) einrichten

Mit Single Sign-on melden sich die Menschen in Ihrer Organisation über Ihren eigenen Identitätsanbieter bei Polzy an statt mit einem Passwort. Sie richten es einmal für die ganze Organisation ein, alle Workspaces eingeschlossen, über SAML 2.0 oder OpenID Connect (OIDC). Diese Anleitung führt Sie vom Nullpunkt zu einer getesteten, funktionierenden Anmeldung: in Polzy, bei Ihrem DNS-Anbieter und in Ihrem Identitätsanbieter, mit einem eigenen Abschnitt je Anbieter.

So funktioniert es

• Ihre Domains. Single Sign-on gilt für E-Mail-Adressen auf den Domains, die Sie bestätigen, und auf deren Subdomains. Eine Organisation verbindet einen Identitätsanbieter und bestätigt so viele Domains, wie ihre Leute nutzen.
• Anmelden. Wer auf der Anmeldeseite von Polzy eine Adresse Ihrer Domain eingibt, sieht Weiter mit und den Namen auf Ihrer Anmeldeschaltfläche, etwa Okta, statt Google und Microsoft.
• Neue Personen. Sie legen fest, was bei der ersten Anmeldung einer Person Ihrer Domain geschieht: Polzy macht sie sofort zum Mitglied, oder lässt nur bereits eingeladene oder synchronisierte Personen herein.
• SSO verpflichtend. Auf Wunsch können sich Personen Ihrer Domains danach nur noch über Ihren Identitätsanbieter anmelden.

SAML Single Logout und mehr als ein Identitätsanbieter pro Organisation werden nicht angeboten.

Bevor Sie beginnen

Sie brauchen:

• Eine Organisation im Enterprise-Tarif, deren Inhaber Sie sind.
• Zugriff auf das DNS Ihrer Domain, um einen TXT-Eintrag hinzuzufügen. Siehe Den TXT-Eintrag beim DNS-Anbieter hinzufügen.
• Ein Administratorkonto bei Ihrem Identitätsanbieter, um Polzy als Anwendung hinzuzufügen.

Halten Sie zwei Browser-Tabs offen, einen mit Polzy und einen mit Ihrem Identitätsanbieter: Sie kopieren Werte in beide Richtungen.

Die IT einrichten lassen

Betreut jemand anderes Ihren Identitätsanbieter, schicken Sie ihm einen Einrichtungslink, statt Ihre eigene Anmeldung zu teilen.

1. Öffnen Sie Organisationseinstellungen → Sicherheit. Suchen Sie im Abschnitt Single Sign-on nach IT-Einrichtungslinks und wählen Sie Link senden.
2. Geben Sie unter Einrichtungslink senden Ihre E-Mail-Adresse der Person und die Sprache von E-Mail und Seite ein, und wählen Sie Link senden.

Der Link öffnet die Schritte der Einrichtung (Anbieter, Domain, Verbindung, Personen und Testanmeldung) und das SCIM-Token, sonst nichts in Polzy. Er braucht kein Polzy-Konto und belegt keinen Platz, und alles, was darüber geschieht, steht im Audit-Protokoll. Single Sign-on einschalten und verpflichtend machen bleibt Ihnen vorbehalten.

• Ein Link gilt 7 Tage, bis Sie Widerrufen wählen oder bis Sie Single Sign-on einschalten. Bis zu 5 Links können gleichzeitig gelten, und bis zu 20 lassen sich pro Tag senden.
• War Single Sign-on einmal eingeschaltet, zeigt ein neuer Link die Einrichtung und kann das SCIM-Token erstellen; Domains und Verbindung ändern dann nur noch Sie.
• Ein Link kann das SCIM-Token erstellen, aber nicht ersetzen. Wird ein Link widerrufen, endet auch ein damit erstelltes SCIM-Token.

Die Einrichtung starten

1. Öffnen Sie das Kontomenü unten in der Seitenleiste, wählen Sie Organisationseinstellungen und dann Sicherheit.
2. Wählen Sie im Abschnitt Single Sign-on die Option Single Sign-on einrichten. Die Einrichtung öffnet sich in sechs Schritten: Anbieter, Domain, Verbinden, Personen, Test und Einschalten. Ihre Eingaben werden beim Weitergehen gespeichert: Schließen Sie die Einrichtung jederzeit, Einrichtung fortsetzen bringt Sie zum ersten Schritt mit offenen Aufgaben zurück.
3. Wählen Sie Ihren Identitätsanbieter: Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud, Ping Identity, Anderer SAML-2.0-Anbieter oder Anderer OpenID-Connect-Anbieter. Die Wahl legt das Protokoll und die Feldnamen der nächsten Schritte fest. Okta, Microsoft Entra ID und Google Workspace starten mit SAML; wählen Sie Stattdessen OpenID Connect verwenden, um sie per OIDC zu verbinden.
4. Behalten Sie unter Name auf der Anmeldeschaltfläche den Namen Ihres Anbieters oder geben Sie einen anderen ein, etwa den Ihrer Organisation. Personen Ihrer Domains sehen Weiter mit und diesen Namen.

Single Sign-on

Welchen Identitätsanbieter nutzen Sie?

1. 1Anbieter
2. 2Domain
3. 3Verbinden
4. 4Personen
5. 5Test
6. 6Einschalten

Wählen Sie den Anbieter, mit dem sich Ihr Team anmeldet. Danach richten sich die Feldnamen in den nächsten Schritten; Sie können ihn später ändern.

OktaSAML oder OpenID ConnectMicrosoft Entra IDSAML oder OpenID ConnectGoogle WorkspaceSAML oder OpenID ConnectOneLoginSAMLJumpCloudSAMLPing IdentitySAMLAnderer SAML-2.0-AnbieterSAMLAnderer OpenID-Connect-AnbieterOpenID Connect

Verbindet über SAML.Stattdessen OpenID Connect verwendenSchritt-für-Schritt-Anleitung für Okta

Name auf der Anmeldeschaltfläche

Personen Ihrer Domain sehen „Weiter mit Okta“ auf der Anmeldeseite.

Weiter

Schritt-für-Schritt-Anleitung für Ihren Anbieter, neben jedem Schritt, öffnet den Abschnitt dieses Anbieters auf dieser Seite.

Ihre Domain bestätigen

Polzy vertraut Ihrem Identitätsanbieter nur für Adressen auf einer Domain, die nachweislich Ihnen gehört.

1. Geben Sie im Schritt Domain die Domain der Adressen Ihrer Leute ein, etwa acme.com, und wählen Sie Domain hinzufügen.
2. Polzy zeigt den hinzuzufügenden Eintrag: Typ TXT, Name @ (oder die vollständige Domain, wenn Ihr DNS-Anbieter das verlangt) und einen Wert, der mit polzy-domain-verification= beginnt. Kopieren Sie den Wert.
3. Fügen Sie den Eintrag bei Ihrem DNS-Anbieter hinzu, an der Wurzel der Domain, nicht auf einer Subdomain. Siehe Den TXT-Eintrag beim DNS-Anbieter hinzufügen.
4. Wählen Sie zurück in Polzy Jetzt prüfen. Die Domain wechselt von Wartet auf DNS zu Bestätigt. Ein neuer Eintrag kann einige Minuten bis eine Stunde brauchen, bis er sichtbar ist; prüfen Sie später erneut, wenn er noch nicht gefunden wird.

Sie können mit den nächsten Schritten weitermachen, während das DNS sich aktualisiert: Nur das Einschalten wartet auf eine bestätigte Domain. Fügen Sie jede Domain hinzu, die Ihre Leute nutzen, etwa acme.com und acme.eu; jede hat ihren eigenen Eintrag. Eine bestätigte Domain deckt auch ihre Subdomains ab, etwa eu.acme.com.

Den TXT-Eintrag beim DNS-Anbieter hinzufügen

Ihr DNS-Anbieter verwaltet die Einträge Ihrer Domain: oft die Firma, bei der Sie die Domain gekauft haben, manchmal ein eigener Dienst. Jeder Anbieter fragt nach denselben drei Angaben: dem Typ (TXT), dem Namen oder Host (@ für die Wurzel der Domain) und dem Wert, den Polzy anzeigt. Lassen Sie die Gültigkeitsdauer (TTL) auf dem Standardwert.

Ihren Identitätsanbieter verbinden

Die Verbindung braucht beide Seiten: Ihr Identitätsanbieter braucht die Adressen von Polzy, und Polzy die Ihres Identitätsanbieters.

Die Seite von Polzy, für SAML. Unter In Ihrem Identitätsanbieter einfügen zeigt Polzy zwei Werte zum Kopieren, jeweils unter dem Namen, den Ihr Anbieter dem Feld gibt, und die Attribute, die er senden soll.

Die Seite Ihres Identitätsanbieters. Geben Sie Polzy unter Angaben aus Ihrem Identitätsanbieter dessen Einstellungen auf eine von drei Arten:

• Metadaten-URL: Fügen Sie die Adresse der Metadaten ein und wählen Sie Importieren. Sobald Single Sign-on eingeschaltet ist, liest Polzy sie jeden Tag neu, sodass ein neues Signaturzertifikat Polzy von selbst erreicht.
• Datei hochladen: die XML-Metadatendatei, die Ihr Anbieter anbietet, bis 1 MB.
• Manuell eingeben: die Entitäts-ID des Identitätsanbieters (manchmal Issuer genannt), die Anmelde-URL und das Signaturzertifikat, einschließlich der Zeilen BEGIN und END.

Die Attribute, die Polzy liest (SAML). Groß- und Kleinschreibung spielt bei den Namen keine Rolle.

Verwendet Ihr Identitätsanbieter andere Namen, ändern Sie sie im Schritt Personen unter Erweitert: Attributnamen. Die Assertion muss mit SHA-256 oder stärker signiert sein: Eine mit SHA-1 signierte Antwort wird abgelehnt.

Für OpenID Connect kopieren Sie die Weiterleitungs-URI von Polzy in Ihren Identitätsanbieter und geben in Polzy dessen Aussteller-URL, die Client-ID und das Client-Geheimnis ein. Das Client-Geheimnis wird verschlüsselt gespeichert; lassen Sie das Feld später leer, um es zu behalten. Polzy fragt die Scopes openid, email und profile an und liest email, given_name, family_name und, wenn Sie Gruppenregeln nutzen, groups.

Die folgenden Abschnitte zeigen, wohin jeder Wert bei jedem Identitätsanbieter gehört, mit einem Link zur eigenen Anleitung des Anbieters. Die Menüs der Anbieter sind auf Englisch genannt.

Okta

1. Gehen Sie in der Okta Admin Console zu Applications → Applications und wählen Sie Create App Integration. Fragt Okta nach dem Assistenten, wählen Sie Classic experience. Wählen Sie SAML 2.0 und dann Next.
2. Nennen Sie die App Polzy und wählen Sie Next.
3. Fügen Sie die Single sign-on URL von Polzy in Single sign-on URL ein und lassen Sie Use this for Recipient URL and Destination URL ausgewählt. Fügen Sie die Audience URI (SP Entity ID) in Audience URI (SP Entity ID) ein.
4. Setzen Sie Name ID format auf EmailAddress und Application username format auf Email.
5. Fügen Sie unter Attribute Statements email mit dem Wert user.email, firstName mit user.firstName und lastName mit user.lastName hinzu. Um Personen nach Gruppe zuzuordnen, fügen Sie ein Group Attribute Statement namens groups mit einem Filter wie Starts with polzy hinzu.
6. Wählen Sie Next, dann I'm an Okta customer adding an internal app und Finish.
7. Kopieren Sie auf dem Tab Sign On der App die Metadata URL, fügen Sie sie in Polzy unter Metadaten-URL ein und wählen Sie Importieren.
8. Wählen Sie auf dem Tab Assignments die Option Assign und weisen Sie die Personen oder Gruppen zu, die Polzy nutzen.

Für OpenID Connect erstellen Sie die Integration mit OIDC - OpenID Connect und Web Application, fügen die Adresse von Polzy unter Sign-in redirect URIs ein und geben Polzy die Client ID, das Client secret und Ihre Okta-Adresse, etwa https://acme.okta.com, als Aussteller.

Anleitungen von Okta: Create SAML app integrations, Create OpenID Connect app integrations und Assign an app integration to a group.

Microsoft Entra ID

1. Gehen Sie im Microsoft Entra Admin Center zu Entra ID → Enterprise apps → All applications, wählen Sie New application und dann Create your own application.
2. Nennen Sie sie Polzy, wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) und dann Create.
3. Öffnen Sie Single sign-on und wählen Sie SAML.
4. Wählen Sie unter Basic SAML Configuration die Option Edit. Fügen Sie den Identifier (Entity ID) von Polzy in Identifier (Entity ID) und die Reply URL (Assertion Consumer Service URL) in Reply URL (Assertion Consumer Service URL) ein und speichern Sie.
5. Unter Attributes & Claims senden die Standard-Claims bereits die Namen und den Benutzerprinzipalnamen (UPN) als Name ID, den Polzy als E-Mail-Adresse verwendet. Sind die UPNs Ihrer Leute nicht ihre E-Mail-Adressen, wählen Sie Add new claim, nennen ihn email und wählen das Quellattribut user.mail: Polzy liest einen Claim namens email zuerst. Um Personen nach Gruppe zuzuordnen, wählen Sie Add a group claim und Groups assigned to the application.
6. Kopieren Sie unter SAML Certificates die App Federation Metadata Url, fügen Sie sie in Polzy unter Metadaten-URL ein und wählen Sie Importieren.
7. Wählen Sie unter Users and groups die Option Add user/group und weisen Sie die Personen oder Gruppen zu, die Polzy nutzen.

Entra sendet jede Gruppe als Objekt-ID, sofern Sie kein anderes Format wählen; eine Gruppenregel in Polzy nennt die Gruppe also genau so, wie Entra sie sendet. Die Testanmeldung zeigt Ihnen, was das ist.

Für OpenID Connect registrieren Sie unter App registrations eine App mit dem Kontotyp nur für Ihren eigenen Mandanten, fügen die Adresse von Polzy als Web-Weiterleitungs-URI hinzu und erstellen unter Certificates & secrets ein Client-Geheimnis. Der Aussteller ist https://login.microsoftonline.com/<tenant ID>/v2.0, mit der ID Ihres Mandanten.

Anleitungen von Microsoft: Enable SAML single sign-on for an enterprise application, Customize SAML token claims, Configure group claims, Manage users and groups assignment to an application, Register an application, Add a redirect URI und Add credentials.

Google Workspace

1. Gehen Sie in der Google Admin-Konsole zu Apps → Web and mobile apps und wählen Sie Add App → Add custom SAML app.
2. Nennen Sie die App Polzy und fahren Sie fort.
3. Wählen Sie bei Google Identity Provider details die Option Download IDP metadata und bewahren Sie die Datei für Polzy auf.
4. Fügen Sie bei Service Provider Details die ACS URL von Polzy in ACS URL und die Entity ID in Entity ID ein. Setzen Sie Name ID format auf EMAIL und Name ID auf Basic Information > Primary email.
5. Ordnen Sie unter Attribute mapping First name firstName und Last name lastName zu. Um Personen nach Gruppe zuzuordnen, fügen Sie die Gruppen unter Group membership mit dem App-Attribut groups hinzu; Google sendet bis zu 75.
6. Wählen Sie Finish und laden Sie die Metadatendatei in Polzy unter Datei hochladen hoch.
7. Öffnen Sie User access der App und schalten Sie sie für alle ein, oder für die Organisationseinheiten oder Gruppen, die Polzy nutzen. Google kann bis zu 24 Stunden brauchen, bis das greift.

Für OpenID Connect erstellen Sie in der Google Cloud Console einen OAuth-Client vom Typ Web application, fügen die Adresse von Polzy unter Authorized redirect URIs hinzu und geben Polzy Client-ID und Geheimnis mit dem Aussteller https://accounts.google.com. So können sich nur Konten Ihres Google Workspace auf einer Ihrer bestätigten Domains anmelden.

Anleitungen von Google: Set up your own custom SAML app, Manage OAuth clients und OpenID Connect.

OneLogin

1. Gehen Sie in OneLogin zu Applications → Applications und wählen Sie Add App. Suchen Sie SAML Custom Connector (Advanced), nennen Sie ihn Polzy und speichern Sie.
2. Fügen Sie auf dem Tab Configuration die Entity ID von Polzy in Audience (EntityID) ein, und die ACS URL in Recipient und ACS (Consumer) URL. Geben Sie bei ACS (Consumer) URL Validator die ACS URL mit ^ davor und $ dahinter ein.
3. Setzen Sie SAML nameID format auf Email und SAML signature element auf Assertion und speichern Sie.
4. Fügen Sie auf dem Tab Parameters email, firstName und lastName mit den Werten Email, First Name und Last Name hinzu, jeweils in die SAML-Assertion aufgenommen. Um Personen nach Gruppe zuzuordnen, fügen Sie groups mit dem Wert User Roles als mehrwertigen Parameter hinzu.
5. Kopieren Sie auf dem Tab SSO die Issuer URL, fügen Sie sie in Polzy unter Metadaten-URL ein und wählen Sie Importieren.
6. Geben Sie den Personen, die Polzy nutzen, Zugriff auf die App, über ihre Rollen oder unter Users.

Anleitung von OneLogin: Advanced SAML Custom Connector.

JumpCloud

1. Gehen Sie im JumpCloud Admin Portal zu Access → SSO Applications, wählen Sie Add New Application, dann Custom Application, und wählen Sie Manage Single Sign-On (SSO) mit Configure SSO with SAML. Nennen Sie sie Polzy.
2. Geben Sie eine eindeutige IdP Entity ID ein, etwa Ihre Domain. Fügen Sie die Entity ID von Polzy in SP Entity ID und die ACS URL unter ACS URLs ein.
3. Setzen Sie SAMLSubject NameID auf email und SAMLSubject NameID Format auf urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress, und signieren Sie die Assertion.
4. Fügen Sie unter User Attributes email, firstName und lastName hinzu, zugeordnet zu E-Mail, Vorname und Nachname der Person. Um Personen nach Gruppe zuzuordnen, wählen Sie Include Group Attribute; Polzy liest den Standardnamen von JumpCloud, memberOf, ebenso wie groups.
5. Aktivieren Sie die Anwendung, wählen Sie Export Metadata und laden Sie die Datei in Polzy unter Datei hochladen hoch. Oder wählen Sie Copy Metadata URL und importieren Sie sie.
6. Fügen Sie auf dem Tab User Groups die Gruppen hinzu, die Polzy nutzen.

Anleitungen von JumpCloud: SSO using custom SAML application connectors und SSO application connector fields.

Ping Identity

1. Gehen Sie in PingOne zu Applications → Applications und fügen Sie eine Anwendung hinzu. Nennen Sie sie Polzy, wählen Sie SAML Application und dann Configure.
2. Wählen Sie Manually Enter: Fügen Sie die ACS URL von Polzy unter ACS URLs und die Entity ID in Entity ID ein. Oder wählen Sie Import from URL mit der Metadaten-URL von Polzy. Speichern Sie.
3. Ordnen Sie auf dem Tab Attribute Mappings saml_subject der Email Address zu, und fügen Sie email (Email Address), firstName (Given Name) und lastName (Family Name) hinzu. Um Personen nach Gruppe zuzuordnen, fügen Sie groups hinzu, zugeordnet zu Group Names.
4. Kopieren Sie auf dem Tab Overview der App die IDP Metadata URL, fügen Sie sie in Polzy unter Metadaten-URL ein und wählen Sie Importieren.
5. Schalten Sie die Anwendung ein und geben Sie auf dem Tab Access den Gruppen, die Polzy nutzen, Zugriff.

Erstellen Sie in PingFederate eine SP-Verbindung aus der Metadaten-URL von Polzy, mit der E-Mail-Adresse als Subject, und geben Sie Polzy die Metadaten dieser Verbindung.

Anleitungen von Ping Identity: Adding an application, Editing a SAML application, IdP metadata for SAML applications und Accessing SP connections.

Ein anderer SAML-2.0-Anbieter

Jeder Identitätsanbieter mit SAML 2.0 funktioniert. Wählen Sie im ersten Schritt Anderer SAML-2.0-Anbieter und gehen Sie in Ihrem Identitätsanbieter so vor:

• Fügen Sie eine SAML-Anwendung mit der ACS URL und der Entity ID von Polzy hinzu, oder lassen Sie sie die Metadaten-URL von Polzy lesen.
• Senden Sie die E-Mail-Adresse als NameID im Format E-Mail-Adresse, oder als Attribut email.
• Signieren Sie die Assertion mit SHA-256 oder stärker. Polzy akzeptiert mehrere Signaturzertifikate gleichzeitig, sodass sich ein Zertifikat ohne Unterbrechung austauschen lässt.
• Fügen Sie die Attribute firstName und lastName hinzu und, um Personen nach Gruppe zuzuordnen, groups.

Geben Sie Polzy dann die Metadaten, per URL oder als XML-Datei, oder tragen Sie die Einstellungen von Hand ein.

OpenID Connect

Nutzen Sie OpenID Connect mit jedem Identitätsanbieter, der es anbietet. Wählen Sie im ersten Schritt Anderer OpenID-Connect-Anbieter, oder Stattdessen OpenID Connect verwenden für Okta, Microsoft Entra ID oder Google Workspace.

1. Erstellen Sie in Ihrem Identitätsanbieter eine Webanwendung, die sich mit dem Authorization Code Flow anmeldet und ein Client-Geheimnis hat.
2. Fügen Sie die Weiterleitungs-URI von Polzy als Anmelde-Weiterleitungs-URI hinzu.
3. Erlauben Sie die Scopes openid, email und profile. Ein Claim groups im ID-Token ist optional, um Personen nach Gruppe zuzuordnen.
4. Geben Sie in Polzy die Aussteller-URL ein: die Adresse, unter der /.well-known/openid-configuration Ihres Anbieters zu finden ist. Dann Client-ID und Client-Geheimnis der Anwendung.

Eine Adresse, die Ihr Identitätsanbieter als nicht bestätigt markiert, wird abgelehnt. Bei Microsoft Entra ID muss der Aussteller Ihren Mandanten nennen: https://login.microsoftonline.com/<tenant ID>/v2.0. Die gemeinsamen Aussteller common, organizations und consumers werden abgelehnt, weil sich darüber jedes Microsoft-Konto anmelden könnte.

Anleitungen: OpenID Connect Discovery (die Spezifikation der OpenID Foundation zur Aussteller-Adresse) und Microsoft: OpenID Connect on the Microsoft identity platform.

Festlegen, wer hereinkommt

Der Schritt Personen legt fest, was geschieht, wenn sich jemand Ihrer Domain zum ersten Mal über Ihren Identitätsanbieter anmeldet.

• Mitglied automatisch anlegen. Wählen Sie den Workspace, dem die Person beitritt, und ihre Rolle darin, zu Beginn Betrachter. Ein neues Mitglied belegt einen Platz; solange keiner frei ist, wird die Anmeldung abgelehnt.
• Nur bereits eingeladene oder synchronisierte Personen. Wer noch kein Mitglied ist, wird abgewiesen und gebeten, sich an einen Admin zu wenden, auch mit einer gültigen Anmeldung bei Ihrem Identitätsanbieter.

Wer schon Mitglied ist, behält Workspaces und Rollen. Die erste Anmeldung über Ihren Identitätsanbieter verknüpft das Polzy-Konto damit. Ein deaktiviertes Mitglied bleibt deaktiviert.

Gruppenregeln (optional) ordnen Personen nach Gruppe zu: Fügen Sie je Gruppe eine Regel hinzu, mit dem Gruppennamen, wie Ihr Identitätsanbieter ihn sendet, einem Workspace und einer Rolle. Bei der ersten Anmeldung einer Person liest Polzy das Gruppenattribut: Das neue Mitglied tritt dem Workspace bei, den jede seiner Gruppen nennt, mit der Rolle aus der Regel. Spätere Anmeldungen ändern keinen Workspace und keine Rolle, ohne SCIM erreicht eine Regel Personen also nur bei ihrer Ankunft. Ihr Identitätsanbieter muss das Gruppenattribut senden.

Unter Erweitert: Attributnamen ändern Sie die Namen, aus denen Polzy E-Mail-Adresse, Vorname, Nachname und Gruppen liest. Unter Workspace-Felder füllt ein Attribut Ihres Identitätsanbieters, etwa eine Abteilung oder ein Land, ein Feld des Workspaces: Es wird beim Beitritt geschrieben und bei jeder Anmeldung aktualisiert.

Nutzen Sie auch die SCIM-Bereitstellung, ordnet sie Personen mit demselben Workspace, derselben Rolle und denselben Gruppenregeln zu: SCIM hat keine eigenen Regeln, und dort öffnet Gruppenregeln bearbeiten diesen Schritt. Mit SCIM kommen die Gruppen aus Ihrem Verzeichnis statt aus der Anmeldung, und die Regeln gelten jedes Mal, wenn es jemanden einer Gruppe hinzufügt oder aus ihr entfernt, auch für Personen, die zuerst durch eine Anmeldung kamen.

Die Anmeldung testen

1. Wählen Sie im Schritt Test die Option Anmeldung testen. Ihr Identitätsanbieter öffnet sich in einem neuen Tab; blockiert Ihr Browser ihn, wählen Sie Testanmeldung öffnen.
2. Melden Sie sich bei Ihrem Identitätsanbieter als jemand mit einer bestätigten Domain an.
3. Zurück in Polzy erscheint das Ergebnis von selbst; falls nicht, wählen Sie Ergebnis abrufen.

Polzy zeigt genau, was Ihr Identitätsanbieter gesendet hat: unter Was eine Anmeldung verwenden würde die E-Mail-Adresse, die Namen und die Gruppen, jeweils Empfangen oder Nicht gesendet; und unter Alles, was Ihr Anbieter gesendet hat, jedes Attribut mit seinem Wert.

Schlägt der Test fehl, sagt Polzy in einfachen Worten, warum, und wo Sie es beheben. Ändern Sie die Einstellung bei Ihrem Identitätsanbieter und wählen Sie Erneut testen.

Ein Test meldet niemanden an und erstellt keine Sitzung. Jeder Test öffnet sich über eine Adresse, die einmal und 10 Minuten lang funktioniert, und die Seite wartet bis zu zwei Minuten auf die Antwort. Ein bestandener Test gilt 7 Tage: Einschalten und Verpflichten brauchen einen Test aus den letzten 7 Tagen.

Einschalten

Der Schritt Einschalten listet, was noch fehlt: eine bestätigte Domain, Ihr verbundener Identitätsanbieter, die geregelte erste Anmeldung und eine bestandene Testanmeldung in den letzten 7 Tagen. Ist alles abgehakt, wählen Sie Single Sign-on einschalten.

Ab dann melden sich Personen Ihrer bestätigten Domains über Ihren Identitätsanbieter an:

• Auf der Anmeldeseite geben sie ihre E-Mail-Adresse ein und wählen Weiter mit und den Namen auf Ihrer Schaltfläche.
• Ein Link in einen Ihrer Workspaces und die Polzy-Kachel in Ihrem Identitätsanbieter führen sie durch dieselbe Anmeldung.
• Für ein Lesezeichen verwenden Sie app.polzy.ai/login?sso= gefolgt von der Adresse Ihres Workspaces, etwa app.polzy.ai/login?sso=acme.

Solange Sie Single Sign-on nicht verpflichtend machen, können sich alle auch wie bisher anmelden. Das Einschalten beendet jeden IT-Einrichtungslink, der noch gilt.

Solange Single Sign-on eingeschaltet ist, bleiben Ihre Domains Ihre: Eine Registrierung bei Polzy mit einer Adresse dieser Domains, per Formular oder mit Google oder Microsoft, wird abgelehnt, und die Seite bietet stattdessen die Anmeldung Ihrer Organisation an.

Ihr Identitätsanbieter bürgt nur für Personen in den Workspaces Ihrer Organisation. Wer sich darüber angemeldet hat und dann einen Workspace einer anderen Polzy-Organisation öffnet, wird zuerst nach dem eigenen Code der Zwei-Schritt-Verifizierung gefragt, falls diese eingeschaltet ist, es sei denn, auf diesem Gerät wurde Diesem Gerät 30 Tage lang vertrauen gewählt.

SSO verpflichtend machen

Mit Single Sign-on verpflichtend können sich Personen Ihrer bestätigten Domains nur noch über Ihren Identitätsanbieter anmelden. Ein Passwort, ein per E-Mail gesendeter Anmeldelink und die Anmeldung mit Google oder Microsoft werden für sie abgelehnt.

1. Öffnen Sie Verwalten im Abschnitt Single Sign-on. Der letzte Schritt heißt jetzt Single Sign-on verwalten.
2. Schalten Sie Single Sign-on verpflichtend ein. Polzy sagt, wie viele Mitglieder sich danach nur noch über Ihren Identitätsanbieter anmelden.
3. Wählen Sie Verpflichtend machen. Die Sitzungen der Mitglieder, die sich anders angemeldet haben, enden sofort, Ihre nie.

• Es braucht eine bestätigte Domain, eine bestandene Testanmeldung in den letzten 7 Tagen und einen Weg zurück für Sie: selbst per Single Sign-on angemeldet sein, oder die Zwei-Schritt-Verifizierung eingeschaltet haben.
• Enthält Ihr Tarif kein Single Sign-on mehr, entfällt die Pflicht und Mitglieder melden sich wieder auf den anderen Wegen an. Niemand wird ausgesperrt.
• Es gilt nur für Adressen auf Ihren bestätigten Domains. Ein Mitglied auf einer anderen Domain, etwa ein externer Dienstleister, meldet sich weiter mit Passwort, Link oder Google oder Microsoft an.

Wer sich weiterhin ohne anmelden kann. Damit die Organisation nie ausgesperrt ist, wenn Ihr Identitätsanbieter ausfällt, kann sich der Inhaber immer auf anderem Weg anmelden, ebenso jeder Admin, den Sie mit Admin hinzufügen hinzufügen. Jede dieser Personen braucht dafür die Zwei-Schritt-Verifizierung: Die Liste zeigt, wer sie hat. Wer von der Liste genommen wird, während Single Sign-on verpflichtend ist, verliert sofort seine anderen Sitzungen.

Verwalten, ausschalten oder löschen

Admins sehen unter Organisationseinstellungen → Sicherheit, wie Single Sign-on steht: Ihre bestätigten Domains, der Identitätsanbieter mit der letzten Anmeldung, ob Single Sign-on verpflichtend ist, die IT-Einrichtungslinks und SCIM. Nur der Inhaber sieht Verwalten.

Unter Gefahrenbereich in Single Sign-on verwalten:

• Single Sign-on ausschalten (Ausschalten): Alle melden sich wieder mit Passwort oder Anmeldelink an, und die Pflicht endet ebenfalls. Die Einstellungen bleiben erhalten, um es später wieder einzuschalten.
• Verbindung löschen (Löschen): entfernt die Verbindung und alle ihre Einstellungen; Ihre bestätigten Domains bleiben. Eine eingeschaltete Verbindung lässt sich nicht löschen: Schalten Sie sie zuerst aus. Auch der Wechsel zwischen SAML und OpenID Connect setzt das voraus.

Zertifikate

Ein SAML-Signaturzertifikat hat ein Ablaufdatum, das bei Ihrer Verbindung unter Organisationseinstellungen → Sicherheit steht. Polzy warnt die Admins der Organisation, in der App und per E-Mail, 30, 7 und 1 Tag vor Ablauf des nächsten Zertifikats, und erneut, sobald alle gespeicherten Zertifikate abgelaufen sind. Mehrere Zertifikate können gleichzeitig aktiv sein: Fügen Sie das neue bei Ihrem Identitätsanbieter hinzu, geben Sie Polzy die aktualisierten Metadaten, und ziehen Sie erst danach das alte zurück.

Haben Sie Polzy eine Metadaten-URL gegeben, liest Polzy sie jeden Tag neu, solange Single Sign-on eingeschaltet ist, und speichert ein neues Zertifikat von selbst. Antwortet die Adresse nicht mehr, funktionieren die gespeicherten Zertifikate weiter; der Tab Sicherheit zeigt seit wie vielen Tagen, und die Admins erfahren es nach drei Tagen in Folge.

Polzy schaltet Single Sign-on nie wegen eines Zertifikats aus, aber sobald Ihr Identitätsanbieter mit einem Zertifikat signiert, das Polzy nicht hat, schlagen Anmeldungen fehl, bis Sie Polzy die aktualisierten Metadaten geben.

Fehlerbehebung

Führen Sie zuerst eine Testanmeldung durch: Sie zeigt, was Ihr Identitätsanbieter gesendet hat, und die Meldung sagt, was zu beheben ist.

Zwei weitere Ursachen, die der Test nicht nennt:

• Die falsche Adresse kommt an. In Okta ist der Anwendungsbenutzername der Okta-Benutzername, sofern Sie Application username format nicht auf Email setzen. In Entra ist die Name ID der Benutzerprinzipalname. Ist das nicht die Adresse, die die Person in Polzy nutzt, senden Sie die richtige in einem Attribut email.
• Gruppenregeln greifen nicht. Der Gruppenname in der Regel muss dem entsprechen, was Ihr Identitätsanbieter sendet: Entra sendet Objekt-IDs, sofern Sie das Format nicht ändern. Kopieren Sie den Wert aus Alles, was Ihr Anbieter gesendet hat im Test.

Nützliche Links

• Okta: Create SAML app integrations
• Microsoft: Enable SAML single sign-on for an enterprise application
• Google: Set up your own custom SAML app
• OneLogin: Advanced SAML Custom Connector
• JumpCloud: SSO using custom SAML application connectors
• Ping Identity: Adding an application
• Weiter: Mitglieder mit SCIM bereitstellen, und Sicherheit der Organisation für Sitzungsdauer und Zwei-Schritt-Verifizierung.