Single Sign-On (SSO) in Journeys

Mit Single Sign-On (SSO) melden sich deine Kunden mit einem bestehenden Konto bei einem Identitätsanbieter an, zum Beispiel mit Microsoft, Google oder Apple. Sie brauchen kein eigenes Passwort für dein Portal und keinen Einmalcode.

Dieser Artikel zeigt dir, wie du einen SSO-Anbieter in deinem Portal einrichtest und SSO im Block Authentifizierung deiner Journey aktivierst.

---

So funktioniert's

SSO nutzt den Standard OpenID Connect (OIDC). Du legst bei deinem Identitätsanbieter eine Anwendung an und hinterlegst deren Daten in den Portaleinstellungen. Beim Login leitet das Portal deine Kunden zum Anbieter weiter und bekommt von dort ihre Daten zurück, zum Beispiel E-Mail-Adresse, Vor- und Nachname.

• Attribut-Zuordnungen: welche Angaben vom Anbieter in welche Felder in epilot fließen.

• Entitäts-Abgleich: woran epilot erkennt, ob es die Person schon als Portalnutzer oder Kontakt gibt.

• Nutzer automatisch erstellen: ob ein neuer Portalnutzer angelegt wird, wenn es noch keinen passenden gibt.

Konfiguration

Anwendung beim Identitätsanbieter anlegen

1. Lege in der Admin-Konsole deines Identitätsanbieters eine OAuth-2.0- bzw. OpenID-Connect-Anwendung an. Notiere Client ID und Client Secret.

2. Trage die SSO-Redirect-URI deines Portals in die erlaubten Redirect-URIs ein. Das Format ist https://deine-portal-domain.de/sso.

SSO-Anbieter im Portal hinzufügen

3. Öffne Konfiguration > Portale und dein Portal. Klicke oben auf das Zahnrad für die Einstellungen und wähle SSO.

4. Klicke auf SSO-Anbieter hinzufügen und wähle einen vorkonfigurierten Anbieter, also Apple, Google oder Microsoft, oder Benutzerdefiniert für einen anderen OIDC-Anbieter.

5. Bei einem vorkonfigurierten Anbieter sind Issuer URL, Endpoints, Scopes und Attribut-Zuordnungen schon ausgefüllt. Ergänze unter OIDC-Konfiguration die Redirect URI, die Client ID und das Client Secret.

6. Bei Benutzerdefiniert trägst du zusätzlich OIDC Issuer URL, Scopes und unter OIDC-Endpoints die Adressen für Authorization Endpoint, Token Endpoint, Userinfo Endpoint und den Logout ein. Die Werte findest du in der Dokumentation deines Anbieters.

Daten zuordnen und Nutzer abgleichen

7. Unter Attribut-Zuordnungen ordnest du jedem Token-Claim ein Entitätsattribut zu, zum Beispiel email → E-Mail, given_name → Vorname und family_name → Nachname. Über Attribut-Zuordnung hinzufügen ergänzt du weitere.

8. Unter Entitäts-Abgleich legst du mit Regel hinzufügen fest, woran bestehende Portalnutzer oder Kontakte erkannt werden, zum Beispiel am Token-Claim email und dem Attribut E-Mail. Alle Regeln müssen übereinstimmen.

9. Lass Nutzer automatisch erstellen an, wenn für neue Kunden automatisch ein Portalnutzer angelegt werden soll.

10. Klicke auf Anbieter speichern und danach auf Speichern. Teste den Login in deinem Portal.

SSO in der Journey aktivieren

11. Öffne deine Journey, klappe den Block Authentifizierung auf und wähle das Portal, in dem du SSO eingerichtet hast.

12. Aktiviere unter Authentifizierungsmethoden die Option Single Sign-On (SSO). Solange im Portal kein Anbieter eingerichtet ist, ist die Option ausgegraut. Über das Symbol neben der Option springst du zu den Portaleinstellungen.

13. Speichere die Journey und teste die Anmeldung in einem privaten Browserfenster.

Wie du den Block Authentifizierung und private Schritte einrichtest, liest du im Artikel Anmeldung und private Schritte in Journeys.

Häufige Fragen

Kann ich SSO und E-Mail mit Einmalcode gleichzeitig anbieten?

Ja. Aktiviere im Block Authentifizierung beide Methoden. Deine Kunden wählen dann selbst, wie sie sich anmelden.

Was passiert, wenn sich jemand zum ersten Mal per SSO anmeldet?

Ist Nutzer automatisch erstellen aktiv, legt epilot aus den Daten des Anbieters einen neuen Portalnutzer an. Passt eine Abgleichregel auf einen bestehenden Kontakt, wird dieser verwendet.

Kann ich mehrere SSO-Anbieter einrichten?

Ja. Über SSO-Anbieter hinzufügen legst du weitere Anbieter an, zum Beispiel Microsoft und Google.