In diesem Artikel erfährst du, wie du Single Sign-on (SSO) in Candis mit Microsoft Entra ID oder Google einrichtest. Mit SSO melden sich Nutzer:innen deiner Gesellschaft über den SSO-Anbieter (englisch: Identity Provider, IdP) an.
Als Admin legst du mit SSO fest, dass sich Nutzer:innen mit den Zugangsdaten des SSO-Anbieters deiner Gesellschaft bei Candis anmelden. Candis erkennt, dass eine Nutzer:in zu einer Gesellschaft mit SSO gehört, und leitet sie zur Anmeldung an den SSO-Anbieter weiter. Mit den zusätzlichen SSO-Funktionen musst du Nutzer:innen nicht mehr in jede Gesellschaft einladen, und du legst Berechtigungen im SSO-Anbieter statt in Candis fest. Dafür kontaktierst du den Candis-Support.
Die Einrichtung nutzt das Protokoll SAML 2.0. Darüber sendet der SSO-Anbieter nach erfolgreicher Anmeldung eine Bestätigung (SAML-Assertion) an Candis.
Beachte: SSO steht dir nur ab dem Max-Paket zur Verfügung.
Voraussetzungen
Für die Einrichtung brauchst du Folgendes:
Du hast in jeder Gesellschaft, für die die Konfiguration gelten soll, die Rolle Administrator:in. Eine Buchhalter-Rolle reicht nicht aus.
Du hast beim SSO-Anbieter Admin-Rechte oder ausreichende Berechtigungen, um eine SAML-Anwendung zu konfigurieren.
Candis hat die Funktion für deine Gesellschaft freigeschaltet. Kontaktiere dafür den Candis-Support.
Beachte: Wer die SSO-Konfiguration in Candis anlegt, wird automatisch Eigentümer:in und Administrator:in dieser Konfiguration. Diese Person ist von der SSO-Weiterleitung (englisch: SSO discovery) ausgenommen und meldet sich weiterhin mit E-Mail-Adresse und Passwort an. So kann sie Probleme mit der Konfiguration beheben, zum Beispiel ein Signaturzertifikat aktualisieren.
SSO-Konfiguration in Candis anlegen
Das SSO-Formular in Candis und die Oberflächen der SSO-Anbieter zeigen englische Beschriftungen. Dieser Artikel nennt sie exakt wie angezeigt und in Fettdruck, damit du sie in der Oberfläche wiederfindest.
Öffne in Candis Einstellungen.
Wähle Meine Gesellschaft.
Scrolle zu Single Sign-on.
Klicke auf Neu.
Candis öffnet rechts die Seite Identitätsanbieter konfigurieren.
Das Formular zeigt die Werte des Service Providers (SP, hier: Candis), die du beim SSO-Anbieter einträgst:
SP Entity Provider ID: die ID von Candis als Service Provider.
ACS URL: Assertion Consumer Service und Redirect URI. Das ist der Endpunkt von Candis, an den der SSO-Anbieter nach erfolgreicher Anmeldung die SAML-Assertions sendet.
Beachte: Die ACS URL hängt vom Wert im Feld Identitätsanbieter-Alias ab. Standardmäßig entspricht sie der ID der aktuellen Gesellschaft.
SSO mit Microsoft Entra ID einrichten
Dieser Abschnitt beschreibt die Einrichtung mit Microsoft Entra ID (Azure) als SSO-Anbieter über SAML 2.0. Lege immer eine neue Enterprise Application an.
Enterprise Application anlegen
Öffne im Azure portal Microsoft Entra ID.
Wähle Enterprise Applications.
Klicke auf New application.
Klicke auf Create your own application.
Gib der Anwendung einen Namen.
Wähle Integrate any other application you don't find in the gallery (Non-gallery).
Wähle Set up single sign on.
Wähle SAML.
Danach öffnet sich der Bereich Set up Single Sign-On with SAML.
Werte von Entra ID in Candis eintragen
Kopiere Microsoft Entra Identifier (Punkt 4 im Azure-Formular) in das Candis-Feld Identity provider entity ID.
Kopiere Login URL in das Candis-Feld Single sign-on service URL.
Werte von Candis in Entra ID eintragen
Trage die Service-Provider-Werte aus Candis (SP Entity Provider ID und ACS URL) in die Service provider details der SAML-Anwendung in Entra ID ein.
Pflicht-Attribute (Mapper) hinzufügen
Candis benötigt drei Attribute für SSO-Nutzer:innen: E-Mail-Adresse, Vorname und Nachname. Füge die Mapper im letzten Schritt des Assistenten (Attribute mapping) in Entra ID hinzu und speichere. Damit ist die Grundeinrichtung der SAML-Anwendung in Entra ID abgeschlossen.
Beachte: Öffne und bearbeite jeden einzelnen Claim (Manage claim). Lösche außerdem den Inhalt im Feld Namespace.
⬇️
Zertifikat in Candis eintragen
Öffne in Entra ID den Bereich SAML.
Öffne die Federation Metadata XML im Browser.
Kopiere das X509-Zertifikat.
Füge das Zertifikat im Candis-Formular in das Feld X509 Zertifikate ein.
Beachte: Kopiere den gesamten Wert des Zertifikats.
Konfiguration in Candis abschließen
Lass NameID Policy Format auf Persistent stehen.
Aktiviere HTTP-POST binding for AuthnRequest.
Aktiviere HTTP-POST binding response.
Aktiviere den Schalter Signaturen validieren.
Weiter geht es im Abschnitt SSO-Konfiguration prüfen und zuweisen.
SSO mit Google einrichten
Dieser Abschnitt beschreibt die Einrichtung mit Google als SSO-Anbieter über SAML. Bei Google erhältst du zuerst die Daten des SSO-Anbieters und trägst danach die Service-Provider-Werte von Candis ein.
SAML-App in der Admin-Konsole anlegen
Öffne in der Admin-Konsole das Menü.
Wähle Apps.
Wähle Web- und mobile Apps.
Klicke auf App hinzufügen.
Wähle Benutzerdefinierte SAML-App hinzufügen.
Gib den App-Namen ein.
Klicke auf Weiter.
Weitere Informationen findest du im Google-Hilfeartikel zur benutzerdefinierten SAML-App.
Werte von Google in Candis eintragen
Google zeigt auf der Seite Details zum Google-Identitätsanbieter die Daten des SSO-Anbieters an. Trage diese Werte in das Candis-Formular ein:
Kopiere die SSO-URL in das Candis-Feld Single Sign-on Service URL. Die URL hat die Form
https://accounts.google.com/o/saml2/idp?idpid=[ID].Kopiere die Entitäts-ID in das Candis-Feld Entitäts-ID des Identitätsanbieters. Die ID hat die Form
https://accounts.google.com/o/saml2?idpid=[ID].Kopiere das Zertifikat deines Google-SSO-Anbieters in das Candis-Feld X509 Zertifikate.
Werte von Candis in Google eintragen
Trage die Service-Provider-Werte aus Candis in die Details zum Dienstanbieter der SAML-App in Google ein:
Kopiere SP Entity Provider ID aus Candis in das Google-Feld Entitäts-ID.
Kopiere ACS URL aus Candis in das Google-Feld ACS-URL.
Lass die übrigen Standardwerte unverändert und klicke auf Weiter.
Pflicht-Attribute (Mapper) hinzufügen
Candis benötigt drei Attribute für SSO-Nutzer:innen: E-Mail-Adresse, Vorname und Nachname. Klicke im letzten Schritt des Assistenten auf Zuordnung hinzufügen. Wähle unter Google-Verzeichnisattribute ein Feld aus und gib unter App-Attribute das passende Attribut ein. Klicke danach auf Beenden. Damit ist die Grundeinrichtung der SAML-App in Google abgeschlossen.
SSO-Konfiguration prüfen und zuweisen
Die Schritte gelten für Entra ID und für Google.
Speichere die Konfiguration in Candis.
Candis zeigt im Formular den neuen Link Service Provider Metadata Endpoint. Öffne den Link im Browser und prüfe, ob alles richtig eingerichtet ist.
Klicke auf Speichern, wenn die Prüfung passt.
Wähle die erstellte SSO-Konfiguration aus der Dropdown-Liste.
Jede Gesellschaft kann eine vorhandene SSO-Konfiguration verwenden oder eine neue anlegen. Weise die Konfiguration jeder Gesellschaft zu, die sie nutzen soll.
SSO testen
Teste SSO mit einer anderen Nutzer:in als dir.
Lade eine Nutzer:in in die Gesellschaft ein, oder bitte Nutzer:innen, die schon zur Gesellschaft gehören, sich anzumelden.
Candis erkennt, dass die Nutzer:in zu einer Gesellschaft gehört, die für deinen SSO-Anbieter eingerichtet ist, und leitet sie zur Anmeldung an den SSO-Anbieter weiter.
Beachte: Du kannst SSO nicht selbst testen. Als Ersteller:in der Konfiguration meldest du dich weiterhin mit E-Mail-Adresse und Passwort an.
Zusätzliche SSO-Funktionen
Einige Funktionen sind im SSO-Formular noch nicht enthalten. Kontaktiere den Candis-Support, wenn du sie nutzen möchtest.
Registrierung über SSO erlauben
Du kannst E-Mail-Domains für deinen SSO-Anbieter hinterlegen und die automatische Registrierung für Nutzer:innen erlauben, die sich über deinen SSO-Anbieter per SSO anmelden. Dann musst du Nutzer:innen nicht mehr in jede Gesellschaft einladen.
Rollenzuordnung
Gesellschaften mit SSO können die Berechtigungen in ihrem SSO-Anbieter festlegen. Die Rollenverwaltung findet dann nicht mehr in Candis statt. Der Candis-Support unterstützt dich dabei, die Mapper deines SSO-Anbieters den Candis-Rollen zuzuordnen.
SSO-Weiterleitung für einzelne Nutzer:innen vermeiden
Manchmal musst du Nutzer:innen einladen, die nicht zur Gesellschaft und nicht zum SSO-Anbieter gehören, zum Beispiel Berater:innen oder Prüfer:innen. Der Candis-Support stellt diese Nutzer:innen auf die Anmeldung ohne SSO um.