Single Sign-on (SAML) und Bereitstellung

Mit Single Sign-on (SSO) melden sich Ihre Mitarbeitenden mit ihrem Firmenkonto bei Hermetry an, und ausscheidende Personen verlieren den Zugang, sobald Sie sie in Ihrem Verzeichnis deaktivieren. Jede Organisation kann ihren eigenen SAML-2.0-Identity-Provider anbinden und Mitglieder mit SCIM 2.0 synchron halten. Diese Seite erklärt die Einrichtung.

Für SAML benötigen Sie die Rolle Owner, für SCIM-Token die Rolle Admin.

SAML 2.0

Öffnen Sie SAML SSO (Adresse /admin/saml). Die Übersicht zeigt den Status (Active, Disabled oder Not configured), Successful logins, JIT-provisioned users, Last login und SSO Activity aus dem Audit-Log. Wählen Sie Settings zur Konfiguration.

1. Hermetry-Angaben an Ihren Identity Provider übergeben

Die Karte Service Provider Info: „Provide these values to your Identity Provider during SAML app setup“.

Feld	Verwendung im Identity Provider
Entity ID (Audience URI)	Die Audience- / SP-Entity-ID
ACS URL (Reply URL)	Die Adresse, an die der Provider die Assertion sendet
Metadata URL	Importieren Sie diese statt der Felder einzeln einzutragen, sofern Ihr Provider dies unterstützt

SP Metadata XML bietet Copy XML und Download XML.

2. Einstellungen Ihres Identity Providers eintragen

Identity Provider Settings:

Feld	Wert
IdP Entity ID	Die Entity-ID Ihres Providers
IdP SSO URL	Die Anmeldeadresse Ihres Providers
IdP Certificate (PEM or Base64)	Das Signaturzertifikat des Providers. „Include or omit the —–BEGIN CERTIFICATE—– header — both formats are accepted.“

Wählen Sie Save IdP Settings. Wo erlaubt, können Sie diese Felder vorausfüllen, indem Sie die veröffentlichten Metadaten Ihres Providers importieren (SAML Advanced Settings).

3. Attribute zuordnen

Attribute Mapping: „Map SAML assertion attributes to user profile fields“.

Feld	Bedeutung
Email Attribute	„Attribute name from your IdP that contains the user email“
Name Attribute	„Attribute name for the user’s display name“
NameID Format	Das Format der NameID des Subjekts (standardmäßig das E-Mail-Format)
Sign Authentication Requests	Signiert die Anfragen, die Hermetry mit seinem eigenen Schlüssel sendet
Allow IdP-initiated SSO	„Permit logins started from the IdP dashboard without an SP request“. Deaktiviert ist sicherer.

Wählen Sie Save Mapping.

4. Mitglieder Just-in-Time bereitstellen

Just-In-Time Provisioning: „Unknown users that authenticate via your IdP will be auto-provisioned into this tenant.“

Feld	Bedeutung
Enable Just-In-Time provisioning	Legt das Mitglied bei der ersten SSO-Anmeldung an. Aus: Nur bestehende Mitglieder können sich per SSO anmelden.
Role attribute name (optional)	„Values containing ‚owner‘ map to OWNER, ‚admin‘ to ADMIN.“
Default member role	Die Rolle, wenn kein Rollenattribut zugeordnet ist.

Wählen Sie Save Provisioning Settings. Überlegen Sie genau, bevor Sie die Rolle Owner aus Ihrem Verzeichnis zuordnen: Jede Person, die Ihr Verzeichnis entsprechend markiert, wird Owner.

5. Aktivieren

Schalten Sie unter SAML Status Enable SAML SSO ein: „Allows members to log in via your Identity Provider“.

Testen Sie mit einem zweiten Browser, bevor Sie sich abmelden, damit ein Fehler Sie nicht aussperren kann.

Sicherheit von SAML

• Assertions müssen signiert sein, mit SHA-256 oder SHA-512. SHA-1 und unsignierte Assertions werden abgelehnt. Eine Verbindung mit schwächeren gespeicherten Einstellungen wird deaktiviert, bis Sie sie erneut speichern: „SAML sign-in is off for this connection: its signature settings are too weak…“
• Mit aktivierter Assertion Replay Detection wird eine Assertion abgelehnt, deren ID bereits gesehen wurde.
• Der erlaubte Uhrenversatz beträgt wenige Sekunden; halten Sie die Uhr Ihres Providers korrekt.
• Der private Schlüssel von Hermetry für SAML wird verschlüsselt gespeichert und nie exportiert. Für eine Schlüsselrotation kann ein zweites Zertifikat hinzugefügt werden.
• Single Logout (SLO) gibt, sofern aktiviert, die Abmeldung zwischen Hermetry und Ihrem Provider weiter. Dafür benötigen Sie die SLO-Adresse Ihres Providers.
• Eine Warnung wird im Audit-Log geschrieben, wenn das Signaturzertifikat Ihres Providers bald abläuft (standardmäßig 30 Tage vorher).

Ein bestehendes Konto wird nur dann mit SAML verknüpft, wenn die E-Mail in der Assertion übereinstimmt. Ausstehende Einladungen an eine verifizierte Adresse werden bei der ersten SSO-Anmeldung angenommen.

SCIM-2.0-Bereitstellung

SCIM ermöglicht es Ihrem Identity Provider, Mitglieder automatisch anzulegen, zu aktualisieren und zu deaktivieren.

1. Öffnen Sie Settings > SCIM Provisioning. Kopieren Sie den SCIM 2.0 Endpoint (Copy SCIM endpoint): https://<your host>/tenant/<tenantId>/api/scim/v2.
2. Wählen Sie Generate SCIM token. „Copy this token now — it will not be shown again.“ Er trägt die Scopes scim:read und scim:write.
3. Tragen Sie im Identity Provider den Endpoint als Connector-Basisadresse und das Token als HTTP-Header Authorization: Bearer <token> ein.

SCIM	Hermetry
userName, primäre E-Mail	Die Konto-E-Mail
externalId	SCIM external ID auf der Mitgliederseite
active: false	Mitgliedsstatus Inactive (Zugang endet sofort)
Löschen	Das Mitglied wird entfernt; das Konto bleibt für andere Organisationen bestehen

Über SCIM gesendete Namen werden nicht gespeichert. Gruppen werden nicht unterstützt: Die Endpunkte Groups liefern eine leere Liste, daher weisen Sie Rollen und Gruppen in Hermetry zu. Revoke beendet die Nutzung eines Tokens durch den Provider sofort: „name stops working at once…“. Die Token-Liste zeigt Last used und das Ablaufdatum.

Social Sign-in

Mitglieder können sich auch über gängige Anbieter per Social Sign-in anmelden, mit OpenID Connect oder OAuth, sofern die Plattform sie anbietet. Ihre Organisation kann sie einschränken:

• Settings > Authentication & SSO listet die Anbieter auf; Installation und Konfiguration der Anbieter erfolgt im Marketplace.
• Ein Mitglied verknüpft einen Anbieter unter My Profile > Connected Accounts; die E-Mail des Anbieters muss übereinstimmen. Siehe Ihr Profil, Sprache und Zeitzone.

Verwandte Themen

• Zwei-Faktor-Anmeldung und Passkeys
• Benutzer und Rollen