Andere Anbieter anbinden

Neben Microsoft 365 gibt es zwei allgemeine Wege. Beide setzen eine verifizierte Domain voraus.

OpenID Connect

Für die meisten modernen Identitätsdienste.

Administration → Enterprise SSO → Identitätsanbieter hinzufügen → OpenID Connect:

Feld	Woher
Anzeigename	frei wählbar; erscheint auf der Anmeldeschaltfläche
Autorisierungs-URL	aus der Konfiguration Ihres Anbieters
Token-URL	ebenda
Benutzerinfo-URL	optional, ebenda
Schlüssel-URL	optional, ebenda
Client-ID	aus der bei Ihrem Anbieter angelegten Anwendung
Client-Secret	ebenda

Viele Anbieter veröffentlichen diese Adressen gebündelt unter einem Konfigurations-Endpunkt — dort finden Sie alle Werte auf einmal.

Nach dem Speichern zeigt das Panel die Umleitungs-URI, die Sie bei Ihrem Anbieter hinterlegen. Kopieren Sie sie von dort, statt sie zu konstruieren.

SAML 2.0

Für ältere oder behördlich vorgegebene Verbünde.

Administration → Enterprise SSO → Identitätsanbieter hinzufügen → SAML 2.0:

1. Anzeigename vergeben.
2. Dann eine von zwei Varianten:
   • Metadaten-URL — die Adresse des Metadaten-Endpunkts Ihres Anbieters. Sie wird abgerufen und ausgewertet.
   • Metadaten-XML — wenn kein öffentlich erreichbarer Endpunkt existiert, laden Sie die Datei bei Ihrem Anbieter herunter und fügen ihren Inhalt in das Textfeld ein.
3. Speichern.

Anschließend tragen Sie bei Ihrem Anbieter die angezeigte Adresse als Assertion Consumer Service ein.

Ändert sich etwas an den Metadaten Ihres Anbieters — etwa nach einem Zertifikatswechsel —, schlägt die Signaturprüfung fehl. Beziehen Sie die Metadaten dann frisch und legen Sie den Anbieter neu an.

Aktivieren

Beide Wege enden gleich: Der Anbieter ist zunächst inaktiv. Legen Sie den Schalter um; er bleibt gesperrt, solange keine Domain verifiziert ist. Danach folgt die automatische Aufnahme.

Testen

Immer in einem privaten Browserfenster — sonst testen Sie Ihre eigene, bereits bestehende Sitzung statt des neuen Weges.

Mehrere Anbieter gleichzeitig

Das ist möglich und in Häusern mit mehreren Zuständigkeiten auch üblich. Entscheidend ist die Domain der eingegebenen Adresse: Danach wird ausgewählt, wohin weitergeleitet wird.

Für Konten ohne passende Domain — etwa Verwaltungskonten — bleibt der Anmeldeweg mit Passwort bestehen.