Single Sign-On (SSO)

Verbinden Sie Ihren SAML-2.0- oder OpenID-Connect-Identitätsanbieter (Okta, Microsoft Entra ID, Google Workspace, OneLogin, Ping …), damit sich Ihr Team mit den Zugangsdaten des Unternehmens anmeldet. Verfügbar im Enterprise-Tarif. Benutzerkonten können bei der ersten Anmeldung automatisch angelegt werden (Just-in-time-Bereitstellung).

SSO einrichten

1. Öffnen Sie Firmeneinstellungen → Single Sign-On
2. Wählen Sie Ihr Protokoll (SAML 2.0 oder OpenID Connect)
3. Geben Sie Ihrem Identitätsanbieter die unter „Werte für Ihren Identitätsanbieter“ angezeigten Werte: bei SAML die Entity ID und die ACS URL (oder einfach die Metadaten-URL), bei OIDC die Redirect URI
4. Bei SAML: Fügen Sie die Metadaten-URL Ihres IdP ein (oder das Metadaten-XML). Bei OIDC: Geben Sie die Discovery-URL, die Client-ID und das Client-Secret ein
5. Fügen Sie im Abschnitt „E-Mail-Domains“ jede Domain hinzu, mit der sich Ihre Benutzer anmelden (z. B. acme-corp.com)
6. Veröffentlichen Sie den angezeigten DNS-TXT-Eintrag für diese Domain und klicken Sie dann auf „Prüfen“
7. Aktivieren Sie „SSO-Anmeldung aktivieren“ und klicken Sie auf „Konfiguration speichern“

Warum die Domain geprüft wird

Eine Domain wird erst dann an Ihren Identitätsanbieter weitergeleitet, wenn Sie ihren Besitz über einen DNS-TXT-Eintrag nachgewiesen haben. Das verhindert, dass jemand anderes Ihre Domain beansprucht, und ist Voraussetzung dafür, dass die SSO-Erkennung für Ihre Benutzer funktioniert.

Optionen der Anmelderichtlinie

Die Just-in-time-Bereitstellung legt bei der ersten erfolgreichen SSO-Anmeldung automatisch einen Benutzer an (mit der von Ihnen gewählten Standardrolle). „SSO erzwingen“ sperrt die Passwortanmeldung für Benutzer einer geprüften SSO-Domain — empfohlen, sobald SSO läuft, damit die Unternehmensidentität die einzige Quelle der Wahrheit ist (NIST 800-63).

Wie sich Benutzer anmelden

Auf der Anmeldeseite geben die Benutzer ihre dienstliche E-Mail-Adresse ein und klicken auf „Mit SSO anmelden“. Sie werden zu Ihrem Identitätsanbieter weitergeleitet und nach der Authentifizierung zurück nach FreeMaint gebracht — ganz ohne FreeMaint-Passwort.

FreeMaint speichert Ihre IdP-Secrets nie: Sie liegen beim eigens betriebenen, selbst gehosteten Identity-Broker. Die gesamte Prüfung der SAML-Assertions und der Schutz gegen Signature Wrapping finden dort statt.