Single Sign-On (SSO) — Einstellungen

"Einstellungen" → "Administration" → "Single Sign-On (SSO)" verbindet Ihre Organisation mit Microsoft Entra ID, sodass sich Mitglieder mit ihrem beruflichen Microsoft-Konto anmelden können. Microsoft Entra ID ist der einzige Anbieter auf diesem Bildschirm. Hier befindet sich auch der Schalter, der die Microsoft-Anmeldung verpflichtend macht.

Wer es ändern kann

Nur ein Administrator kann diesen Bildschirm öffnen und hier etwas ändern.

Bevor Sie beginnen

Sie brauchen eine App-Registrierung in Ihrem Microsoft-Entra-Verzeichnis. Drei Dinge sind dort wichtig:

Fügen Sie die auf diesem Bildschirm angezeigte Redirect URI als Weiterleitung der Plattform Web in die App-Registrierung ein. Sie ist für jede Flowtly-Organisation dieselbe Adresse.
Aktivieren Sie den optionalen Claim email in der App-Registrierung. Ohne ihn schlägt die erste Anmeldung oft auf verwirrende Weise fehl.
Erstellen Sie ein Clientgeheimnis und bewahren Sie seinen Wert auf, der in Entra nur einmal angezeigt wird.

Die Bedienelemente auf diesem Bildschirm

Der Bildschirm öffnet sich im Einrichtungsmodus, solange nichts eingegeben ist. Nachdem eine Konfiguration gespeichert wurde, zeigt er stattdessen eine Zusammenfassung, und "Konfiguration bearbeiten" bringt das Einrichtungsformular zurück.

"Microsoft Entra ID": die Überschrift der Verbindung. Darunter steht entweder, dass Mitglieder sich mit ihrem beruflichen Microsoft-Konto anmelden können (vor der Einrichtung), oder das Wort „Verzeichnis:“ gefolgt von Ihrer Verzeichnis-ID.

Die Statusanzeige oben rechts zeigt, wie es um die Verbindung steht:

Status	Bedeutung
Nicht konfiguriert	Es wurde noch nichts eingegeben.
Erste Anmeldung ausstehend	Eine Konfiguration ist gespeichert, aber noch niemand hat sich damit über Microsoft angemeldet.
Aktiv	Eine Anmeldung über Microsoft war erfolgreich. Der Bildschirm zeigt dann Zuletzt verifiziert mit dem Datum.
Verbindungsfehler	Die Verbindung ist als fehlgeschlagen markiert. Der Bildschirm zeigt den Fehlertext oder „Der letzte Anmeldeversuch ist fehlgeschlagen.“, wenn es keinen gibt.

"Redirect URI": die Adresse, die Sie in Ihre Entra-App-Registrierung einfügen. Sie ist schreibgeschützt. Die Kopierschaltfläche daneben ("Redirect URI kopieren") legt sie in die Zwischenablage und zeigt kurz "Kopiert!".

Die Formularfelder:

"Verzeichnis-ID (Mandanten-ID)": die ID Ihres Entra-Verzeichnisses. Erforderlich.
"Anwendungs-ID (Client-ID)": die ID der App-Registrierung. Erforderlich.
"Clientgeheimnis": der in Entra erzeugte Geheimniswert. Das Feld zeigt nie ein gespeichertes Geheimnis. Ist eines hinterlegt, lassen Sie das Feld leer, um es zu behalten, oder geben Sie einen neuen Wert ein, um es zu ersetzen.
"Verifizierte Domains": die E-Mail-Domains, deren Mitglieder sich mit Microsoft anmelden dürfen, durch Kommas getrennt, zum Beispiel acme.com, acme.eu. Einträge werden in Kleinbuchstaben umgewandelt, Duplikate entfallen.
"Vorhandene Benutzer zu dieser Organisation hinzufügen": ein Schalter, standardmäßig aus. Siehe unten.
"Konfiguration speichern": speichert die Konfiguration. Bleibt nicht verfügbar, bis beide IDs ausgefüllt sind. Eine Meldung "Erfolg" bestätigt es.
"Abbrechen": verlässt das Formular ohne Speichern. Erscheint erst, wenn eine Konfiguration existiert.

In der Zusammenfassung sehen Sie die "Anwendungs-ID (Client-ID)" und, sobald die Verbindung "Aktiv" ist, die "Verifizierte Domains" als Chips. "Konfiguration bearbeiten" öffnet das Formular erneut.

"Anmeldung testen" erscheint, solange der Status ausstehend ist, und "Anmeldetest wiederholen" erscheint, wenn ein Verbindungsfehler angezeigt wird. Es öffnet ein Microsoft-Anmeldefenster für Ihr eigenes Konto, mit Ihrer Firmen-E-Mail-Adresse. Wenn das Fenster sich schließt, lädt die Seite den Status vom Server neu. Liegt Ihre E-Mail nicht in einer verifizierten Domain oder ist die Konfiguration nicht gespeichert, meldet eine Nachricht, dass der Test nicht ausgeführt werden konnte. Blockiert der Browser das Fenster, bittet eine Nachricht darum, Pop-ups zuzulassen.

"SSO für diese Organisation erzwingen": ein Schalter, standardmäßig aus. Er bleibt nicht verfügbar, bis der Status "Aktiv" ist. Das Einschalten öffnet eine Bestätigung, "Microsoft-Anmeldung erzwingen" für den Namen Ihrer Organisation, mit "Abbrechen" und "Microsoft-Anmeldung erzwingen". Das Ausschalten wirkt sofort und braucht keine Bestätigung.

"Hilfe & Doku": ein Seitenbereich mit drei Hinweisen ("Reihenfolge der Einrichtung einhalten", "Sicherheitsauswirkungen prüfen", "Hilfe holen, wenn Sie nicht weiterkommen"). "Support kontaktieren" öffnet eine E-Mail an den Flowtly-Support. Der Bereich wechselt zwischen "Kompakt" und "Erweitern".

So funktioniert die Anmeldung

Eine Person meldet sich nur an, wenn ihre E-Mail-Adresse in einer der "Verifizierte Domains" liegt.
Eine Person mit Flowtly-Konto, die bereits Mitglied der Organisation ist, meldet sich wie gewohnt an.
Eine Person mit Flowtly-Konto, die noch kein Mitglied ist, wird der Organisation nur hinzugefügt, wenn "Vorhandene Benutzer zu dieser Organisation hinzufügen" eingeschaltet ist. Personen ohne Flowtly-Konto können sich auf diese Weise nicht anmelden: Laden Sie sie zuerst ein. Eine Person, die Sie bereits eingeladen haben, wird eingelassen, ob der Schalter ein- oder ausgeschaltet ist.
Das Ändern der Mandanten-ID, der Client-ID oder des Clientgeheimnisses einer gespeicherten Konfiguration setzt den Status bis zur nächsten erfolgreichen Anmeldung auf "Erste Anmeldung ausstehend" zurück. Das Bearbeiten nur der verifizierten Domains oder des Schalters tut das nicht.

Was das Erzwingen von SSO bewirkt

Sobald "SSO für diese Organisation erzwingen" eingeschaltet ist, wird die Anmeldung per Passwort für Mitglieder abgelehnt, deren E-Mail in einer verifizierten Domain liegt, und sie müssen mit Microsoft fortfahren. Ein Mitglied, dessen E-Mail in einer anderen Domain liegt, behält seine übliche Anmeldung. Wer zu mehreren Organisationen gehört, dem wird ein Passwort nur wegen einer Organisation verweigert, die SSO erzwingt und deren verifizierte Domains seine E-Mail enthalten.

Ein Mitglied, das sich noch nie über Microsoft angemeldet hat, ist in dem Moment von der Passwortanmeldung ausgeschlossen, in dem Sie bestätigen. Prüfen Sie vor dem Einschalten, dass sich alle über Microsoft anmelden können, und nutzen Sie zuerst "Anmeldung testen". Das Ausschalten des Schalters ist jederzeit möglich und stellt die Passwortanmeldung wieder her.

Anwendungsbeispiele

Ein Administrator verbindet das Microsoft-Verzeichnis des Unternehmens, meldet sich einmal über "Anmeldung testen" an, und der Status wird "Aktiv".
Ein Administrator fügt nach einer Fusion eine zweite Domain zu "Verifizierte Domains" hinzu.
Ein Administrator schaltet "Vorhandene Benutzer zu dieser Organisation hinzufügen" ein, damit Kollegen, die bereits ein Flowtly-Konto haben, ohne einzelne Einladung beitreten.
Ein Administrator fügt vor Ablauf des alten Werts in Entra einen neuen Wert in "Clientgeheimnis" ein und testet dann die Anmeldung erneut.
Nachdem er bestätigt hat, dass sich alle über Microsoft anmelden können, schaltet ein Administrator "SSO für diese Organisation erzwingen" ein.