SSO für Portale einrichten

Mit Single Sign-On (SSO) melden sich deine Portalnutzer mit einem bestehenden Konto an, zum Beispiel bei Google, Apple, Microsoft oder dem Identitätsanbieter deines Unternehmens. Ein eigenes Portal-Passwort brauchen sie dafür nicht.

Dieser Artikel zeigt dir, wie du einen SSO-Anbieter für dein Portal einrichtest, wie du Daten aus dem Anbieter auf Kontakte überträgst und wie du die Login-Seite steuerst.

---

So funktioniert's

Auf der Login-Seite deines Portals erscheinen die eingerichteten Anbieter unter Oder fortfahren mit als Buttons. Ein Klick leitet zum Anbieter weiter. Nach der Anmeldung dort kommt der Nutzer angemeldet in dein Portal zurück.

epilot unterstützt Anbieter nach dem Standard OpenID Connect (OIDC). Für Apple, Google und Microsoft gibt es Vorlagen mit vorausgefüllten Endpunkten. Andere Anbieter, zum Beispiel ein Firmen-Login für ein Installateurportal, richtest du über Benutzerdefiniert ein.

Beim SSO-Login liefert der Anbieter Informationen über den Nutzer, sogenannte Token-Claims, zum Beispiel E-Mail-Adresse, Vor- und Nachname. Mit diesen Werten:

• Attribut-Zuordnungen: überträgst du Claims auf Felder in epilot, zum Beispiel given_name auf Vorname.

• Entitäts-Abgleich: findest du bestehende Portalnutzer oder Kontakte, zum Beispiel über die E-Mail-Adresse.

• Nutzer automatisch erstellen: legst du einen neuen Portalnutzer an, wenn kein passender gefunden wird.

Konfiguration

Anwendung beim Identitätsanbieter anlegen

1. Lege in der Admin-Konsole deines Identitätsanbieters eine OAuth-2.0- bzw. OpenID-Connect-Anwendung an. Notiere Client ID und Client Secret.

2. Trage dort die Redirect-URI deines Portals als erlaubte Redirect-URI ein. Sie hat das Format https://deine-portal-domain.de/sso, zum Beispiel https://kundenportal.stadtwerke-2punkt0.de/sso.

SSO-Anbieter im Portal hinzufügen

3. Öffne dein Portal im Portal Builder, klicke oben rechts auf das Zahnrad-Symbol und wechsle in den Bereich SSO. Du siehst die bereits eingerichteten Anbieter mit ihrem Typ, zum Beispiel OIDC, und ob ein Secret hinterlegt ist (Secret gesetzt).

4. Klicke auf SSO-Anbieter hinzufügen.

5. Wähle eine Vorlage: Apple, Google, Microsoft oder Benutzerdefiniert für alle anderen OIDC-Anbieter.

6. Fülle unter OIDC-Konfiguration die Felder aus. Bei den Vorlagen sind Issuer und Endpunkte schon eingetragen:

• Flow-Typ: Implicit oder Authorization Code, je nachdem, was dein Anbieter verlangt.

• OIDC Issuer URL, Redirect URI, Client ID und Client Secret: die Daten aus Schritt 1 und 2.

• Scopes und Prompt (optional): welche Daten abgefragt werden und wie sich der Login beim Anbieter verhält.

• OIDC-Endpoints: Authorization, Token, Userinfo und Logout. Für benutzerdefinierte Anbieter findest du die Werte in der Dokumentation deines Anbieters.

7. Prüfe unter Attribut-Zuordnungen, welche Token-Claims auf welche Felder geschrieben werden. Die Vorlagen ordnen schon E-Mail, Vorname und Nachname zu. Mit Attribut-Zuordnung hinzufügen ergänzt du weitere Felder.

8. Lege unter Entitäts-Abgleich mit Regel hinzufügen fest, wie bestehende Portalnutzer oder Kontakte erkannt werden, zum Beispiel über die E-Mail-Adresse. Alle konfigurierten Felder müssen übereinstimmen.

9. Schalte Nutzer automatisch erstellen ein, wenn beim ersten SSO-Login ein neuer Portalnutzer aus den Token-Claims angelegt werden soll, falls kein passender gefunden wird.

10. Klicke auf Anbieter speichern und danach im Einstellungsfenster auf Speichern.

11. Teste den Login in deinem Portal mit einem Testkonto beim Anbieter.

Weitere Optionen im Formular: Logout-Redirect bei „Login als“ überspringen brauchst du für Anbieter, die nach dem Logout nicht zurückleiten. Die Mobile-App-Konfiguration ist nur nötig, wenn dein Portal eine kundenspezifische Mobile App mit eigenem OIDC-Client hat.

Verhalten der Login-Seite festlegen

12. Lege im Bereich SSO unter den Anbietern fest, wie die Login-Seite aussieht:

• Login mit SSO starten: Die Login-Seite zeigt zuerst die SSO-Optionen statt des Passwort-Formulars. Nutzer, die bereits ein Passwort gesetzt haben, sehen weiterhin die Passwort-Ansicht.

• Automatisch zum SSO-Anbieter weiterleiten: Die Login-Seite des Portals wird übersprungen, Nutzer landen direkt beim Anbieter. Das greift nur, wenn genau ein bevorzugter Anbieter ausgewählt ist.

• Bevorzugte SSO-Anbieter: die Anbieter, die auf der Login-Seite angeboten werden.

Beispiel: Für ein Installateurportal, in dem sich nur Mitarbeitende von Partnerbetrieben über deren Firmen-Login anmelden, wählst du genau diesen einen Anbieter als bevorzugt aus und schaltest Automatisch zum SSO-Anbieter weiterleiten ein.

Häufige Fragen

Funktioniert SSO auch in der Mobile App?

Nicht standardmäßig. Wende dich an den Support, wenn du SSO für eine kundenspezifische Mobile App brauchst. Mehr zur App in Portal als Mobile App.

Können sich Nutzer weiter mit Passwort anmelden?

Ja, solange du nicht automatisch zum SSO-Anbieter weiterleitest. Welche weiteren Anmeldemethoden es gibt, zeigt Login-Methoden im Portal.

Was passiert, wenn sich ein unbekannter Nutzer per SSO anmeldet?

Findet der Entitäts-Abgleich keinen passenden Portalnutzer, wird nur dann einer angelegt, wenn Nutzer automatisch erstellen eingeschaltet ist.

Wie entferne ich einen Anbieter?

Klicke in der Anbieterliste auf das Papierkorb-Symbol neben dem Anbieter und speichere die Einstellungen. Mit Edit bearbeitest du einen bestehenden Anbieter.