Mit Single Sign-On melden sich Ihre Mitarbeitenden mit ihrem Microsoft-Arbeitskonto bei portierX an. Die Einrichtung braucht die Rolle Organisationsadministrator in portierX, Administratorrechte in Microsoft Entra ID und Zugriff auf die DNS-Einträge Ihrer E-Mail-Domain. Sie beginnt unter Integrationen auf der Registerkarte Verfügbar mit der Karte Entra ID SSO SAML.
Andere Bezeichnungen: SSO, SAML-Anmeldung, Anmeldung mit dem Microsoft-Konto.
Eine Unternehmensanwendung in Microsoft Entra ID, bei der Single Sign-On auf SAML steht. Legen Sie sie unter Enterprise applications an. Eine App-Registrierung bietet kein SAML und lässt sich nachträglich nicht umstellen.
Die App Federation Metadata Url dieser Anwendung. Sie steht in Entra auf der Seite Single sign-on im Abschnitt SAML Certificates.
Die Rolle Organisationsadministrator in portierX. Andere Rollen sehen auf der Verbindung nur den Hinweis "Nur ein Organisationsadmin kann dies ändern."
Zugriff auf die DNS-Einträge der Domain, mit der sich Ihre Mitarbeitenden anmelden.
Öffnen Sie Integrationen und bleiben Sie auf Verfügbar.
Öffnen Sie die Karte Entra ID SSO SAML über Details und wechseln Sie auf die Registerkarte Verbinden.
Tragen Sie unter Name einen Namen ein. Auf der Anmeldeseite erscheint er hinter Anmelden mit.
Fügen Sie die Metadaten-URL in das Feld App Federation Metadata Url (from Entra) ein.
Klicken Sie auf Aktivieren.
Aus der Metadaten-URL übernimmt portierX die Anmeldeadresse, die Kennung und das Signaturzertifikat Ihrer Entra-Anwendung. Nichts davon tragen Sie von Hand ein.
Nach dem Aktivieren öffnet portierX die Seite der Verbindung unter Verbunden. Die Registerkarte Konfiguration beginnt mit der Karte Was Entra von portierX braucht. Ihre Angaben zum Dienstanbieter führen die Kennung (Entity ID) und die Antwort-URL (Assertion Consumer Service URL), jeweils mit einer Schaltfläche zum Kopieren.
Kopieren Sie beide Werte.
Öffnen Sie in Entra die Seite Single sign-on Ihrer Anwendung und bearbeiten Sie Basic SAML Configuration.
Tragen Sie die Kennung unter Identifier (Entity ID) und die Antwort-URL unter Reply URL ein. Lassen Sie Sign on URL leer. Die Anmeldung beginnt immer in portierX.
Speichern Sie in Entra.
Die Karte zeigt außerdem den Broker-Alias. Nennen Sie ihn dem Support, wenn eine Anmeldung fehlschlägt.
portierX entscheidet anhand der Domain der eingegebenen geschäftlichen E-Mail-Adresse, ob es Single Sign-On anbietet. Solange keine Domain verifiziert ist, erscheint die Verbindung nicht auf der Anmeldeseite.
Tragen Sie auf der Registerkarte Konfiguration unter E-Mail-Domains Ihre Domain ein, zum Beispiel nordwerk.example, und klicken Sie auf Domain hinzufügen.
portierX zeigt den DNS-TXT-Eintrag, den Sie anlegen: Typ TXT, Name _portierx-verify.nordwerk.example, Wert das Token genau wie angezeigt. Legen Sie den Eintrag bei Ihrem DNS-Anbieter an. Der Name ist der vollständige Host mit _portierx-verify, nicht @. Der Wert ist das Token allein, ohne Präfix und ohne Anführungszeichen.
Klicken Sie neben der Domain auf Verifizieren. Die Kennzeichnung wechselt von Ausstehend auf Verifiziert.
Steht die Kennzeichnung auf Fehlgeschlagen, hat portierX den Eintrag nicht gefunden. DNS-Änderungen brauchen eine Weile. Prüfen Sie den Namen des Eintrags und verifizieren Sie erneut.
Die Karte Single Sign-On erzwingen auf der Registerkarte Konfiguration trägt einen Schalter und die Kennzeichnung Optional oder Erforderlich.
Ausgeschaltet bleibt das Passwortformular neben der SSO-Schaltfläche stehen. Externe und ausgelagerte Mitarbeitende nutzen oft Ihre Domain, ohne in Entra zu existieren. Eingeschaltet sehen alle Personen auf einer verifizierten Domain nur die SSO-Schaltfläche und den Hinweis "Ihre Organisation verlangt eine Anmeldung per SSO." Nach dem Anlegen steht der Schalter aus.
Die Registerkarte Zusammenfassung zeigt in der Verbindungsübersicht die Anmeldebereitschaft, den Anbieter (den Namen der Verbindung), den Broker-Alias und unter Single Sign-On die Einstellung ERFORDERLICH oder OPTIONAL. Zwei Kacheln zählen die Domains (E-Mail-Domains) und die verifizierten darunter (Verifiziert). Die Karte Anmeldestatus trägt Aktiv oder Handlung erforderlich und einen Satz dazu, was zu tun ist.
Bereit: Personen mit einer geschäftlichen E-Mail-Adresse auf einer verifizierten Domain wird Single Sign-On angeboten.
Keine verifizierte Domain: Fügen Sie unter Konfiguration eine Domain hinzu und verifizieren Sie sie.
Nicht eingerichtet: Die Verbindung wurde gespeichert, aber beim Identitätsdienst nicht angelegt. Nennen Sie dem Support den Broker-Alias.
Melden Sie sich ab und öffnen Sie die Anmeldeseite von portierX.
Geben Sie unter Geschäftliche E-Mail-Adresse eine Adresse auf der verifizierten Domain ein und klicken Sie auf Weiter.
Klicken Sie auf Anmelden mit und den Namen Ihrer Verbindung. Microsoft meldet Sie an und schickt Sie zurück zu portierX.
Erscheint statt der Schaltfläche nur das Passwortformular, ist die Domain nicht verifiziert oder die Verbindung nicht eingerichtet. Die Zusammenfassung sagt, was von beidem fehlt.
Mit Aktivieren legt portierX die Verbindung beim Identitätsdienst an, meldet "Verbindung aktiviert." und führt die Verbindung unter Verbunden.
Mit der ersten verifizierten Domain wird die Verbindung aktiv und auf der Anmeldeseite angeboten.
Bei der Anmeldung ordnet portierX das Microsoft-Konto dem Benutzer mit derselben E-Mail-Adresse zu. Wer in keiner Organisation Benutzer ist, sieht "Keine Organisation gefunden".
Single Sign-On ändert, wie sich eine Person anmeldet, nicht, was sie darf. Die Person braucht ein Benutzerkonto in Ihrer Organisation mit derselben E-Mail-Adresse, von Hand angelegt oder über SCIM. Rolle und Zugang vergeben Sie in portierX.
Wer die Anwendung in Entra nutzen darf, legen Sie in Entra unter Users and groups fest.
Eine Domain gehört zu genau einer Verbindung, über alle Organisationen hinweg. Ist sie schon vergeben, scheitert das Hinzufügen. Wenden Sie sich an den Support.
Wer Single Sign-On erzwingen ausschaltet, bekommt das Passwortformular zurück. Die Verbindung bleibt auf der Anmeldeseite.
Die Zusammenfassung und die Konfiguration sieht nur der Organisationsadministrator. Andere Rollen sehen den Hinweis "Nur ein Organisationsadmin kann dies ändern."
