Konfiguration von Single Sign-On

Konfiguration von Single Sign-On

Notes
Relevant für: Workspace-Owner*innen (siehe "Nutzer*innen-Rollen")

Entra ID konfigurieren (früher Azure AD)

Voraussetzungen

  1. Sie müssen einen Azure Active Directory-Mandanten haben.
  2. Sie kennen Ihre Applysia Workspace-Subdomain.

Schritte

  1. Erstellen Sie eine neue Azure AD App-Registrierung im Azure-Portal und nennen Sie sie z. B. "Applysia".
  2. Nachdem Sie die App-Registrierung erstellt haben, navigieren Sie zur Übersichtsseite der App-Registrierung und suchen Sie die Anwendungs-ID (Client). Speichern Sie diese ID, da Sie sie später benötigen werden.
  3. Klicken Sie auf "Ein Zertifikat oder Geheimnis hinzufügen" und erstellen Sie einen neuen Clientschlüssel. Speichern Sie den Wert des Clientschlüssels für später.
  4. Klicken Sie auf der Registrierungsübersichtsseite auf "Umleitungs-URI hinzufügen" und dann auf "Plattform hinzufügen". Erstellen Sie drei Plattformen mit diesen Werten:
    1. Erstellen Sie eine Plattform vom Typ "Web" und geben Sie https://<YOUR_SUBDOMAIN>.applysia.app/auth/sso/openid_connect/callback als Redirect-URI ein. Ersetzen Sie <YOUR_SUBDOMAIN> durch den Arbeitsbereich Ihrer Organisation.
    2. Erstellen Sie eine Plattform vom Typ “iOS / macOS” und geben Sie de.applysia.app als Bundle ID ein.
  5. Navigieren Sie auf der Übersichtsseite der App-Registrierung zum Abschnitt API-Berechtigungen und fügen Sie die folgenden delegierten Berechtigungen hinzu:
    1. Microsoft Graph > User.Read
    2. Microsoft Graph > email
    3. Microsoft Graph > openid
    4. Microsoft Graph > profile
  6. Navigieren Sie auf der Übersichtsseite der App-Registrierung zur “Tokenkonfiguration” und klicken Sie auf "Optionalen Anspruch hinzufügen". Wählen Sie "ID" als Token-Typ und fügen Sie diesen Anspruch hinzu:
    1. email
    2. family_name
    3. given_name

Applysia konfigurieren

Voraussetzungen

  1. Sie sind ein*e Workspace-Owner*in.
  2. Sie haben die Konfiguration im Azure AD Admin Center abgeschlossen. Dabei haben Sie die folgenden Werte erhalten:
    1. Ihre Verzeichnis-ID (Mandant) (wird auf der Übersichtsseite der App-Registrierung angezeigt)
    2. Die Anwendungs-ID (Client) und einen Clientschlüssel der App-Registrierung

Schritte

  1. Melden Sie sich bei Applysia an und navigieren Sie zu den Workspace Einstellungen: https://<IHRE_SUBDOMAIN>.applysia.app/tenant/edit
  2. Aktivieren Sie OpenID Connect
  3. Geben Sie einen Namen für Ihren IdP-Anbieter ein, z.B. "Entra ID" oder "ACME Account". Ihre Benutzer sehen dies auf dem Anmeldebildschirm als zusätzliche Schaltfläche mit dem Text "Login with <Verzeichnis-ID (Mandant)>".
  4. Als Issuer URL geben Sie "https://login.microsoftonline.com/<Ihre Directory (Tenant) ID>/v2.0" ein.
  5. Als nächstes geben Sie bei Client ID die Anwendungs-ID (Client) und bei Client Secret den Clientschlüssel aus dem Azure AD Admin Center ein
  6. Geben Sie https://<IHRE_SUBDOMAIN>.applysia.app/auth/sso/openid_connect/callback als Redirect Url ein.
  7. Als Mobile Redirect Url geben Sie msauth.de.applysia.app://auth/ ein.
  8. Sie können die Mobile Client ID leer lassen
  9. Wenn Sie neue Benutzerkonten automatisch bereitstellen möchten, wenn Sie sich das erste Mal über Entra ID anmelden, können Sie dies hier aktivieren. Benutzerkonten, die automatisch provisioniert werden, erhalten automatisch die Rolle "Beobachter*in".
  10. Aktivieren Sie schließlich die Option "Email verified überschreiben" mit Hilfe des Schiebereglers.