Single Sign-on und SCIM mit Okta oder Microsoft Entra ID einrichten

Bevor Sie beginnen

1. Ein Enterprise-Paket für Ihre Flowtlas-Organisation.
2. Das Konto des Flowtlas-Inhabers. Nur der Inhaber kann die Single-Sign-on-Einstellungen ändern.
3. Administratorzugriff auf Ihre Okta-Organisation oder Ihren Microsoft-Entra-Mandanten.
4. Die E-Mail-Domains, mit denen sich Ihre Kolleginnen und Kollegen anmelden, zum Beispiel example.com.
5. Den Arbeitsbereich und die Rolle, die neu bereitgestellte Kolleginnen und Kollegen erhalten sollen.

Werte von Flowtlas für Ihren Identitätsanbieter

Öffnen Sie in Flowtlas Einstellungen, dann Team, dann Single Sign-on. Der erste Bereich zeigt die folgenden Werte für Ihre Organisation. Kopieren Sie sie von dort; jede Organisation hat eigene URLs.

Okta: SAML-App anlegen

1. Öffnen Sie in der Okta Admin Console Applications, wählen Sie Create App Integration und dann SAML 2.0.
2. Geben Sie der App einen Namen, zum Beispiel Flowtlas, und wechseln Sie zu Configure SAML.
3. Tragen Sie die Assertion-Consumer-Service-URL von Flowtlas als Single sign-on URL ein und verwenden Sie sie auch als Recipient und Destination URL.
4. Tragen Sie die Entity-ID von Flowtlas als Audience URI (SP Entity ID) ein.
5. Setzen Sie Name ID format auf EmailAddress und Application username auf Email.
6. Fügen Sie die Attribute email (user.email), firstName (user.firstName) und lastName (user.lastName) hinzu.
7. Schließen Sie den Assistenten ab, weisen Sie die Personen oder Gruppen zu, die Flowtlas nutzen sollen, und kopieren Sie das Metadaten-XML des Identitätsanbieters aus dem Reiter Sign On.

Okta: SCIM-Bereitstellung aktivieren

1. Bearbeiten Sie im Reiter General der App die App Settings und setzen Sie Provisioning auf SCIM.
2. Wählen Sie in Flowtlas im Bereich SCIM-Bereitstellung Token erstellen und kopieren Sie das Token. Es wird nur einmal angezeigt.
3. Bearbeiten Sie im Reiter Provisioning die Integration: Tragen Sie die SCIM-Basis-URL von Flowtlas als SCIM connector base URL ein und userName als eindeutiges Identifikationsfeld.
4. Wählen Sie Push New Users, Push Profile Updates und Push Groups, als Authentifizierung HTTP Header, und fügen Sie das Token ein.
5. Testen Sie die Connector-Konfiguration und speichern Sie.
6. Aktivieren Sie unter Provisioning, To App die Optionen Create Users, Update User Attributes und Deactivate Users. Übertragen Sie mit Push Groups die Gruppen, die Flowtlas erhalten soll.

Microsoft Entra ID: Unternehmensanwendung anlegen

1. Öffnen Sie im Microsoft Entra Admin Center die Unternehmensanwendungen, wählen Sie Neue Anwendung, dann Eigene Anwendung erstellen, und wählen Sie die Option für eine Anwendung, die nicht im Katalog enthalten ist.
2. Öffnen Sie Einmaliges Anmelden und wählen Sie SAML.
3. Tragen Sie in der SAML-Basiskonfiguration die Entity-ID von Flowtlas als Bezeichner (Entitäts-ID) und die Assertion-Consumer-Service-URL als Antwort-URL ein.
4. Stellen Sie unter Attribute & Ansprüche sicher, dass der eindeutige Benutzerbezeichner (Name ID) die E-Mail-Adresse ist, zum Beispiel user.mail im E-Mail-Adressformat. Behalten Sie die Ansprüche für E-Mail-Adresse, Vorname und Nachname bei.
5. Laden Sie unter SAML-Zertifikate die Verbundmetadaten-XML herunter.
6. Weisen Sie die Benutzer oder Gruppen zu, die Flowtlas nutzen sollen.
7. Optional: Wenn Sie die Tokenverschlüsselung aktivieren, laden Sie das Verschlüsselungszertifikat aus den Single-Sign-on-Einstellungen von Flowtlas hoch.

Microsoft Entra ID: Bereitstellung aktivieren

1. Öffnen Sie in derselben Unternehmensanwendung Bereitstellung und setzen Sie den Bereitstellungsmodus auf Automatisch.
2. Tragen Sie die SCIM-Basis-URL von Flowtlas als Mandanten-URL und ein neues SCIM-Token von Flowtlas als geheimes Token ein, testen Sie die Verbindung und speichern Sie.
3. Prüfen Sie unter Zuordnungen, dass userName einem Attribut mit der E-Mail-Adresse zugeordnet ist, etwa userPrincipalName oder mail.
4. Beschränken Sie den Bereich auf zugewiesene Benutzer und Gruppen, schalten Sie den Bereitstellungsstatus ein und speichern Sie.
5. Microsoft Entra ID stellt in Zyklen bereit. Änderungen können daher etwas Zeit brauchen, bis sie in Flowtlas ankommen.

In Flowtlas abschließen und testen

1. Fügen Sie das Metadaten-XML des Identitätsanbieters in Flowtlas ein und wählen Sie Metadaten lesen. Prüfen Sie die übernommene Entity-ID, Anmelde-URL und das Signaturzertifikat.
2. Tragen Sie Ihre E-Mail-Domains ein und wählen Sie Standard-Arbeitsbereich und Standardrolle für bereitgestellte Kolleginnen und Kollegen.
3. Optional: Aktivieren Sie Benutzer bei der ersten Anmeldung anlegen, wenn Kolleginnen und Kollegen auch ohne SCIM Zugang erhalten sollen.
4. Aktivieren Sie Single Sign-on und speichern Sie.
5. Melden Sie sich ab, geben Sie auf der Anmeldeseite von Flowtlas die geschäftliche E-Mail einer Testperson ein und wählen Sie Mit SSO anmelden.
6. Wenn die Anmeldung funktioniert, prüfen Sie Single Sign-on erzwingen. Mitglieder können sich dann nicht mehr mit Passwort oder Google anmelden, und angemeldete Mitglieder werden abgemeldet. Der Inhaber behält die Passwortanmeldung als Notfallzugang.

Fehlerbehebung

Flowtlas zeigt den Grund für eine fehlgeschlagene SSO-Anmeldung auf der Anmeldeseite an. SCIM-Fehler finden Sie im Bereitstellungsprotokoll Ihres Identitätsanbieters. SCIM-Änderungen werden außerdem im Audit-Log von Flowtlas als SCIM-Bereitstellung erfasst.