Enterprise SSO pro Organisation

Enterprise Single Sign-On (SSO) ermöglicht es jeder Organisation in Auris, die Authentifizierung an ihren eigenen Corporate-Identity-Provider zu delegieren. Wenn sich ein Benutzer mit einer E-Mail-Adresse einer verifizierten Domain anmeldet, leitet Auris ihn automatisch zum IdP seiner Organisation um, anstatt das Standard-Benutzername/Passwort-Formular anzuzeigen. Nach erfolgreicher Authentifizierung beim IdP wird der Benutzer zu Auris zurückgeleitet und entweder einem bestehenden Konto zugeordnet oder automatisch über Just-in-Time (JIT)-Benutzererstellung bereitgestellt.

Diese Funktion ist für B2B-SaaS-Produkte konzipiert, bei denen Enterprise-Kunden verlangen, dass ihre Mitarbeiter sich ausschließlich über unternehmensverwaltete Zugangsdaten authentifizieren.

Unterstützte Protokolle

Auris unterstützt zwei SSO-Protokolle, beide über Keycloaks Identity-Broker-Funktionalität:

SAML 2.0 — Security Assertion Markup Language. Wird von Enterprise-IdPs verwendet, darunter Microsoft Azure AD (Entra ID), Okta, ADFS, Ping Identity und Shibboleth. SAML verwendet XML-basierte Assertions, die mit X.509-Zertifikaten signiert sind.

OIDC (OpenID Connect) — Eine moderne Identitätsschicht über OAuth 2.0. Wird von Google Workspace, Okta (als OIDC-Provider), Microsoft Azure AD (unterstützt auch OIDC) und jedem OAuth 2.0 Authorization Server mit einem OIDC-Discovery-Endpunkt verwendet.

Domain-Verifizierung

Bevor eine SSO-Verbindung aktiviert werden kann, muss die Organisation den Besitz der E-Mail-Domain nachweisen. Dies verhindert, dass eine Organisation Logins für eine Domain abfängt, die ihr nicht gehört.

Die Verifizierung verwendet einen DNS-TXT-Eintrag:

1. Auris generiert ein eindeutiges Verifizierungs-Token für die Domain.
2. Der DNS-Administrator der Organisation erstellt einen TXT-Eintrag: _auris-verify.domain.com mit dem Token als Wert.
3. Ein Admin klickt in der Console auf “Verifizieren” (oder ruft die Verify-API auf).
4. Auris führt eine DNS-Abfrage für den TXT-Eintrag durch und bestätigt, dass das Token übereinstimmt.

{
  "domain": "acme.de"
}

Antwort:

{
  "id": "dom_01HX...",
  "domain": "acme.de",
  "verificationToken": "auris-verify=a1b2c3d4e5f6...",
  "verificationMethod": "TXT",
  "status": "PENDING"
}

Zu erstellender DNS-Eintrag:

_auris-verify.acme.de  TXT  "auris-verify=a1b2c3d4e5f6..."

SAML 2.0-Einrichtung

{
  "type": "SAML",
  "name": "Acme Azure AD",
  "config": {
    "entityId": "https://sts.windows.net/tenant-id-hier/",
    "ssoUrl": "https://login.microsoftonline.com/tenant-id/saml2",
    "certificate": "MIICIjANBgkq...",
    "signRequests": true,
    "nameIdFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
  }
}

{
  "attributeMapping": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
    "firstName": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
    "lastName": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"
  }
}

OIDC-Einrichtung

{
  "type": "OIDC",
  "name": "Acme Google Workspace",
  "config": {
    "discoveryUrl": "https://accounts.google.com/.well-known/openid-configuration",
    "clientId": "123456789-abc.apps.googleusercontent.com",
    "clientSecret": "GOCSPX-...",
    "scopes": ["openid", "profile", "email"],
    "pkce": true
  }
}

https://auth.yourdomain.com/oidc/org-slug/callback

SSO-Login-Ablauf

Sobald eine SSO-Verbindung aktiv ist und eine Domain verifiziert ist, ändert sich der Login-Ablauf für Benutzer mit übereinstimmenden E-Mail-Adressen:

1. Der Benutzer gibt seine E-Mail auf der Auris Hosted-Login-Seite ein.
2. Auris ruft den SSO-Erkennungsendpunkt auf:

{ "email": "[email protected]" }

Antwort bei konfiguriertem SSO:

{
  "ssoRequired": true,
  "connectionType": "SAML",
  "organizationName": "Acme Corporation",
  "loginUrl": "/api/auth/sso/login/acme-azure-ad"
}

3. Auris leitet den Benutzer über folgenden Endpunkt zum IdP weiter:

4. Der Benutzer authentifiziert sich bei seinem Corporate-IdP.

5. Der IdP leitet zurück zu Auris:

6. Auris stellt seinen eigenen Access Token und Refresh Token aus. Ab diesem Punkt ist die SSO-Sitzung unabhängig — die Auris-Token-Lebensdauern werden durch Auris-Einstellungen bestimmt, nicht durch die IdP-Sitzung.

Just-in-Time (JIT)-Benutzerbereitstellung

Wenn sich ein Benutzer erfolgreich beim IdP authentifiziert, aber kein bestehendes Auris-Konto hat, erstellt Auris während des SSO-Callbacks automatisch eines. Dies wird als Just-in-Time-Bereitstellung bezeichnet.

JIT-Bereitstellung erstellt den Benutzer mit:

• E-Mail, firstName und lastName aus der IdP-Antwort oder SAML-Assertion
• Mitgliedschaft in der mit der SSO-Verbindung verknüpften Organisation
• Der für JIT-bereitgestellte Benutzer konfigurierten Standardrolle (pro Verbindung konfigurierbar, Standard: MEMBER)

Das Benutzerkonto bleibt nach dem ersten Login bestehen — nachfolgende Logins werden demselben Konto zugeordnet.

Mehrere SSO-Verbindungen pro Organisation

Eine Organisation kann mehrere aktive SSO-Verbindungen haben — zum Beispiel SAML für eine Azure-AD-Bereitstellung und OIDC für eine Teilmenge von Benutzern in Google Workspace.

Der SSO-Erkennungsendpunkt stimmt basierend auf der verifizierten E-Mail-Domain überein. Wenn mehrere Verbindungen dieselbe Domain teilen, hat die zuletzt aktivierte Verbindung Vorrang. In der Praxis sollte jede SSO-Verbindung mit verschiedenen verifizierten Domains verknüpft sein, um Mehrdeutigkeiten zu vermeiden.

SSO-Verbindungen verwalten

Console-Anleitung

Die SSO-Verwaltung ist auf der Organisations-Detailseite in der Admin Console unter dem Tab “Enterprise SSO” verfügbar.

SAML-Verbindung hinzufügen:

1. Navigiere zu Admin Console → Organisationen → [Org-Name] → Enterprise SSO.
2. Klicke auf “SSO-Verbindung hinzufügen”. Wähle SAML 2.0 aus.
3. Gib die IdP-Metadaten-URL ein oder füge das XML ein.
4. Überprüfe die geparste Konfiguration (Entity ID, SSO-URL, Zertifikat).
5. Speichern. Die Verbindung wird in einem inaktiven Zustand erstellt.
6. Navigiere zum Tab “Domains” und füge die E-Mail-Domain der Organisation hinzu.
7. Füge den DNS-TXT-Eintrag hinzu und klicke auf “Domain verifizieren”.
8. Sobald die Domain verifiziert ist, kehre zum SSO-Tab zurück und klicke auf “Aktivieren”.

OIDC-Verbindung hinzufügen:

Gleicher Ablauf, aber das Formular fordert Discovery-URL, Client-ID und Client-Secret an. Auris ruft das Discovery-Dokument automatisch ab und füllt die verbleibenden Felder aus.

Erforderliche Berechtigungen

Verwandte Seiten

• B2B Multi-Tenant-Organisationen — Organisations-Setup, Mitgliederrollen und Einladungen
• SCIM 2.0-Provisionierung — Automatisierte Benutzerbereitstellung als Ergänzung zu SSO
• Hosted Login — Integration der Hosted-Login-Seite mit SSO-Erkennung
• Console: Organisationen — Vollständige Console-Anleitung