Dieser Leitfaden zur SSO-Einrichtung erfordert Aktionen, die sowohl auf der Mercell-Plattform als auch in Ihrem Identitätsanbieter (IdP) durchgeführt werden müssen.
Für jede Phase haben wir beschrieben, wo die Aktion erforderlich ist: auf der Mercell-Plattform oder in Ihrem IdP.
Hinweis: Dieser Leitfaden basiert auf Entra ID. Wenn Sie einen anderen Identitätsanbieter (IdP) verwenden, sind die Schritte weitgehend ähnlich, können aber leicht abweichen.
Phase 1: Von Mercell bereitgestellte Informationen
Um mit der Konfiguration in Ihrem Identitätsanbieter (IdP) zu beginnen, benötigen Sie die folgenden zwei wichtigen Endpunkte, die Mercell im SSO-Konfigurationsassistenten generiert:
Entity-ID: Diese identifiziert die Mercell-Anwendung eindeutig gegenüber Ihrem IdP.
Weiterleitungs-URL (Redirect URL): Dies ist das Ziel, an das Ihr IdP das sichere SAML-Token sendet, nachdem sich ein Benutzer erfolgreich authentifiziert hat.
Erforderliche Aktion auf der Mercell-Plattform: Um die Entity-ID und die Weiterleitungs-URL abzurufen, gehen Sie zu Einstellungen > Organisationen > Bearbeiten > SSO > SSO konfigurieren. Beide stehen Ihnen im Konfigurationsassistenten zum Kopieren zur Verfügung.
Erforderliche Aktion in Ihrem IdP: Erstellen Sie eine neue benutzerdefinierte SAML-Anwendung in Ihrem Identitätsanbieter und geben Sie die Werte für die Entity-ID und die Weiterleitungs-URL in den grundlegenden Abschnitt zur SAML-Konfiguration ein.
[Bild des SSO-Konfigurationsassistenten, der die Entity-ID und die Weiterleitungs-URL anzeigt]
Phase 2: Attribut- & Claim-Zuordnung
Damit Benutzerkonten bei der Anmeldung richtig identifiziert und bereitgestellt werden können, muss Ihr IdP spezifische Benutzerdaten (Claims) in der SAML-Antwort senden.
Erforderliche Aktion in Ihrem IdP: Konfigurieren Sie Ihre SAML-Anwendung so, dass die folgenden Attribute an Mercell übermittelt werden:
E-Mail: Die primäre E-Mail-Adresse des Benutzers.
Wichtiger Hinweis für Entra ID-Benutzer: Bitte stellen Sie sicher, dass der Claim, der die E-Mail-Adresse enthält, korrekt zugeordnet ist. Wenn Ihre Umgebung für E-Mails auf dem User Principal Name (UPN) basiert, stellen Sie sicher, dass uns die entsprechende Claim-URL mitgeteilt wird.
Vorname (First Name / Given Name): Der Vorname des Benutzers.
Nachname (Last Name / Surname): Der Nachname des Benutzers.
Bitte notieren Sie sich genau, welche Claim-Namen oder Namespace-URIs Ihr IdP für diese Attribute sendet, da Sie diese Mercell in Phase 3 zur Verfügung stellen müssen.
Phase 3: Vom IdP benötigte Informationen
Mercell benötigt die Daten Ihres Identitätsanbieters, um die Einrichtung auf unserer Seite abzuschließen.
Erforderliche Aktion auf der Mercell-Plattform: Verwenden Sie den SSO-Konfigurationsassistenten, um die folgenden Informationen mit Mercell zu teilen.
Gehen Sie zunächst zurück zu Einstellungen > Organisationen > Bearbeiten > SSO > SSO konfigurieren > Klicken Sie auf Weiter, bis Sie zur Ansicht Details des Identitätsanbieters eingeben gelangen.
Geben Sie den Namen Ihres IdP in das Feld Anbietername ein.
Entscheiden Sie, ob Sie Ihre Metadaten-XML-Datei hochladen oder die Dokument-URL eingeben möchten, und laden Sie dann die Datei hoch oder fügen Sie den Link zur URL in den Assistenten ein.
Die App-Verbundmetadaten-URL (App Federation Metadata URL) ist eine öffentlich zugängliche URL, die von Ihrem IdP generiert wird (endet oft auf .xml). Sie enthält Ihre öffentlichen Signaturzertifikate, die Entity-ID und die Anmelde-Endpunkte.
Wählen Sie aus den optionalen Möglichkeiten:
SAML-Signatur und Verschlüsselung (SAML-Anfrage an diesen Anbieter signieren, weitere Informationen siehe Phase 4).
Verschlüsselte SAML-Assertions von diesem Anbieter anfordern.
Klicken Sie auf Weiter, bis Sie zur Ansicht Benutzerattribute zuordnen gelangen:
Geben Sie den genauen String- oder URI-Namen an, der für das E-Mail-Attribut gesendet wird (z. B. email, mail oder http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress).
Geben Sie die Claim-Namen an, die für den Vornamen und den Nachnamen gesendet werden.
Klicken Sie auf SSO aktivieren.
[Die Ansicht des SSO-Konfigurationsassistenten zur Eingabe der IdP-Details]
[Die Ansicht des SSO-Konfigurationsassistenten zur Zuordnung der Benutzerattribute]
Phase 4: Benutzerdomains zur SSO-Einrichtung hinzufügen
Fügen Sie E-Mail-Domains für die Just-in-Time (JIT)-Bereitstellung hinzu, damit Mercell-Benutzerkonten bei ihrer ersten erfolgreichen SSO-Anmeldung automatisch erstellt werden können.
Um diese Phase abzuschließen, müssen Sie Ihrem Mercell-Ansprechpartner die von Ihrer Organisation verwendeten autorisierten E-Mail-Domain(s) (z. B. @ihre-firma.com) mitteilen. Das Technikteam von Mercell übernimmt die Konfiguration, um diese Bereitstellungsfunktion für Ihre Domains zu aktivieren.
Phase 5: (falls zutreffend): Verschlüsselung der SAML-Assertion
Für erhöhte Sicherheit kann Ihre Organisation verlangen, dass die an Mercell gesendeten SAML-Assertions verschlüsselt werden. Dies stellt sicher, dass die Nutzlast der Benutzerdaten während der Übertragung verschlüsselt ist und nur von Mercell entschlüsselt werden kann. Um dies zu aktivieren, stellt Ihnen Mercell unser öffentliches Verschlüsselungszertifikat zur Verfügung:
Öffentliches Mercell-Schlüsselzertifikat (.crt-Datei): [Mercell stellt diese Datei auf Anfrage zur Verfügung]
Erforderliche Aktion in Ihrem IdP:
Laden Sie das von Mercell bereitgestellte öffentliche Zertifikat herunter.
Navigieren Sie in der SAML-Konfiguration Ihres Identitätsanbieters zur Token-Verschlüsselung (Token Encryption).
Laden Sie das öffentliche Zertifikat von Mercell hoch und aktivieren Sie es, um ausgehende SAML-Token zu verschlüsseln.
Phase 6: Abschluss und Testen
Erforderliche Aktion in Ihrem IdP:
Weisen Sie der Anwendung in Ihrem Identitätsanbieter einen Testbenutzer zu.
Führen Sie eine Testanmeldung durch (auf der Mercell-Plattform), um zu bestätigen, dass das Routing korrekt ist, das SAML-Token korrekt signiert und verschlüsselt ist, der Benutzer automatisch bereitgestellt wird und das E-Mail-Attribut erfolgreich übermittelt wird.
Phase 7: Benutzerdomains zur SSO-Einrichtung hinzufüge
Fügen Sie E-Mail-Domains für die Just-in-Time (JIT)-Bereitstellung hinzu, damit Mercell-Benutzerkonten bei ihrer ersten erfolgreichen SSO-Anmeldung automatisch erstellt werden können.
Erforderliche Aktion auf der Mercell-Plattform: Geben Sie die autorisierte(n) E-Mail-Domain(s) an, die von Ihrer Organisation verwendet wird/werden (z. B. @ihre-firma.com).
Gehen Sie zurück zu Einstellungen > Organisationen > Bearbeiten > SSO > SSO konfigurieren.
Wählen Sie Domains hinzufügen (Add domains).
Geben Sie Ihre autorisierte(n) E-Mail-Domain(s) ein und wählen Sie Speichern.
So richten Sie SSO ein
Das Technikteam von Mercell übernimmt die Konfiguration, um diese Bereitstellungsfunktion für Ihre Domains zu aktivieren.
[Der „Domains hinzufügen“-Konfigurator zur Eingabe jeder autorisierten E-Mail-Domain]
Article Reference: 150520260851