Single Sign-On (SSO)
Anmeldung über das Firmenkonto einrichten.
Für die IT eures Unternehmens: So verbindet ihr euren Identitätsanbieter per SAML 2.0 mit dem KI-Denkraum. Danach melden sich eure Kolleginnen und Kollegen mit ihrem Firmenkonto an, ohne eigenes Passwort. Die Einrichtung dauert etwa 30 Minuten.
Diese Werte tragt ihr ein
| Entity ID (Bezeichner) | https://auth.kidenkraum.com/auth/v1/sso/saml/metadata |
|---|---|
| Antwort-URL (ACS) | https://auth.kidenkraum.com/auth/v1/sso/saml/acs |
| Anmelde-URL | https://kidenkraum.com/de/firmenkonto?domain=<eure-domain.de> |
| NameID | Format persistent; bei Entra ID genügt der Standard |
| Attribute | E-Mail-Adresse (Pflicht), Vorname, Nachname |
In der Anmelde-URL ersetzt ihr <eure-domain.de> durch eure Domain. Über sie startet die Kachel bei Entra ID und Okta die Anmeldung direkt bei uns.
Microsoft Entra ID
- „Unternehmensanwendungen“ → „Neue Anwendung“ → „Eigene Anwendung erstellen“ (nicht aus dem Katalog), Name „KI-Denkraum“.
- „Einmaliges Anmelden“ → „SAML“: Bezeichner, Antwort-URL und Anmelde-URL aus der Tabelle eintragen. Relayzustand und Abmelde-URL bleiben leer.
- „Attribute & Ansprüche“: Standard lassen.
- „Benutzer und Gruppen“: die Personen oder Gruppen zuweisen, die den KI-Denkraum nutzen; nur Mitglieder eures Mandanten, keine Gastkonten.
- Unter „SAML-Zertifikate“ die „App-Verbundmetadaten-URL“ kopieren und uns schicken.
Google Workspace
- Admin-Konsole → „Apps“ → „Web- und mobile Apps“ → „App hinzufügen“ → „Benutzerdefinierte SAML-App hinzufügen“, Name „KI-Denkraum“.
- Die IdP-Metadaten herunterladen; die Datei schickt ihr uns.
- ACS-URL und Entitäts-ID aus der Tabelle eintragen, Name-ID-Format „PERSISTENT“. Die Start-URL bleibt leer.
- „Attributzuordnung“: Primäre E-Mail-Adresse → email, Vorname → firstName, Nachname → lastName.
- „Nutzerzugriff“: für die Organisationseinheiten oder Gruppen einschalten, die den KI-Denkraum nutzen.
- Die Kachel bei Google führt auf unsere Seite, dort gibt die Person ihre Adresse ein. Direkt startet die Anmeldung über ein Lesezeichen mit der Anmelde-URL, etwa als verwaltetes Lesezeichen in Chrome.
Okta
- „Applications“ → „Create App Integration“ → „SAML 2.0“, Name „KI-Denkraum“.
- „Single sign-on URL“ ist die Antwort-URL, „Audience URI (SP Entity ID)“ die Entity ID aus der Tabelle; „Name ID format“ „Persistent“.
- „Attribute Statements“: email = user.email, firstName = user.firstName, lastName = user.lastName.
- „Assignments“: die Personen oder Gruppen zuweisen, die den KI-Denkraum nutzen.
- Für die Kachel: bei der SAML-App „Do not display application icon to users“ setzen und eine „Bookmark App“ mit der Anmelde-URL anlegen und zuweisen.
- Unter „Sign On“ die „Metadata URL“ kopieren und uns schicken.
Was ihr uns schickt
Die Metadaten-URL (Entra ID, Okta) oder die Metadaten-Datei (Google Workspace) und alle Domains eurer Adressen, auch Subdomains. Wir richten die Verbindung ein und melden uns für einen Test mit einer Person.
Auf Wunsch melden sich eure Kolleginnen und Kollegen danach nur noch über das Firmenkonto an.
Gut zu wissen
- NameID: Bei Entra ID ist sie eine dauerhafte Kennung, ein Konto bleibt dasselbe, wenn sich eine Adresse ändert. Bei Google Workspace und Okta ist sie in der Regel die Adresse: Ändert sich eine, entsteht bei der nächsten Anmeldung ein neues Konto.
- Abmelden: Eine Abmeldung im Firmenkonto beendet die Sitzung im KI-Denkraum nicht.
- Ausscheiden: Eine Sperre im Firmenkonto wirkt bei der nächsten Anmeldung. Eine laufende Sitzung endet mit dem Abmelden oder nach 90 Tagen ohne Besuch; soll sie sofort enden, schreibt uns.
- Zertifikat: Sagt uns Bescheid, wenn ihr es wechselt, dann übernehmen wir das neue sofort. Sonst holen wir es bei Entra ID und Okta spätestens nach einem Tag über die Metadaten-URL; bei Google Workspace braucht es die neue Datei.