Mit einem Single sign-on können sich Nutzer über eine einzige Authentifizierungsquelle in Propstack anmelden. Wie die SSO Funktion in Propstack aktiviert und genutzt wird, erfahrt Ihr in diesem Artikel.
SSO in Propstack aktivieren
Die SSO Funktion kann in Propstack in der Verwaltung unter dem Punkt "Systemeinstellungen" aktiviert werden.
Dafür muss eine gültige Identity Provider URL eingetragen werden, mit Verweis auf die zu verwendende SAML Datei. Wie die URL der SAML Datei bei Microsoft und Google abgerufen werden, erklären wir im nächsten Schritt.
Die Login Methode beschreibt, ob ausschließlich SSO zur Anmeldung in Propstack genutzt werden soll, was bedeutet, dass der Login mit Passwort und E-Mail nicht mehr möglich ist. Oder ob SSO und eine E-Mail Anmeldung parallel möglich sein soll.
Wir empfehlen beim Einrichten der SSO Funktion immer beide Login Möglichkeiten (SSO+Mail) zu nutzen.
SAML Microsoft
Um einen SSO Login mit Microsoft zu ermöglichen, sind die folgenden Schritte nötig.
Erstellung einer neuen Anwendungsintegration
Im Microsoft Azure Portal anmelden: https://portal.azure.com/
Im linken Menü "Azure Active Directory" auswählen.
Eine neue (Unternehmen) Anwendung hinzufügen und im darauffolgenden Schirm "Eigene Anwendung erstellen" klicken.
Einen Namen für die Anwendung vergeben, z.B. "Propstack" und die Option "Integrate any other application you don't find in the gallery" aktivieren.
SAML-Integration
In diesem Schritt richten wir die eben erstellte Anwendung für SSO ein. Dafür rufen wir wieder das Azure Active Directory auf, wählen im linken Menü Unternehmensanwendungen und anschließend unsere gerade erzeugte Anwendung aus.
Alternativ kann die erzeugte Anwendung über die Suche gefunden und ausgewählt werden.
Innerhalb unserer Anwendung, im linken Menü zu den Punkt "Einmaliges Anmelden" navigieren und anschließend als SSO-Methode "SAML" auswählen.
Jetzt kann mit der Einrichtung von SAML für unsere Anwendung begonnen werden. Dafür klicken wir in dem Bereich "Grundlegende SAML-Konfiguration" auf das Stift Symbole um den Bearbeitungsmodus zu öffnen.
Im folgenden Fenster tragen wir die Werte für Bezeichner (Entitäts-ID)
und die Antwort-URL (Assertionsverbraucherdienst-URL) ein. Die anderen Werte müssen nicht ausgefüllt werden.
Bezeichner (Entitäts-ID):
https://crm.propstack.de/idp
Antwort-URL (Assertionsverbraucherdienst-URL): https://crm.propstack.de/saml_sessions/callback
Jetzt können wir die App URL aus dem Bereich "SAML Zertifikate" kopieren, indem wir bei dem Feld "App Verbundmetadaten-URL" auf das Kopie Symbole klicken.
Diese Verbundmetadaten-URL können wir nun in Propstack unter Einstellungen >
Systemeinstellungen > SAML Single Sign-on (SSO) hinterlegen und so SSO für Propstack aktivieren.
Benutzerzuweisung
Als letzten Schritt müssen wir entscheiden welche Benutzer das SSO Verfahren nutzen dürfen oder ob es für alle Benutzer aktiviert wird. Um die Anmeldung in Propstack mit SSO für alle Benutzer freizugeben, wählen wir zuerst wieder unsere erstellte Anwendung in Azure aus und navigieren zu den Eigenschaften der Anwendung (Verwalten > Eigenschaften). Dort finden wir den Punkt "Zuweisung erforderlich" und stellen diesen auf "Nein", damit alle Benutzer die Anwendung und somit das SSO Verfahren nutzen können.
Wenn nur einzelnen Benutzer die Möglichkeit eingeräumt werden soll, dass SSO Verfahren zu nutzen, so können diese explizit zugefügt werden. Dafür in den Bereich "Benutzer und Gruppen" wechseln. In diesem Bereich können einzelne Benutzer zu Anwendung hinzugefügt werden.
SAML Google
Um einen SSO Login mit Google zu ermöglichen, sind die folgenden Schritte nötig.
Erstellung einer neuen SAML App
In der Google Admin Console anmelden: https://admin.google.com/
Im linken Menü "Apps" und dann "Web und mobile Apps" auswählen.
Eine neue App hinzufügen und im Dropdown "Benutzerdefinierte SAML-App hinzufügen"" auswählen.
Einen App-Namen eingeben, z.B. "Propstack" und auf weiter klicken.
Metadaten herunterladen und für später speichern. Anschließend auf weiter klicken.
Nun können wir die Entitäts-ID und ACS-URl eintragen. Außerdem beim Name-ID-Format -> EMAIL auswählen und auf weiter klicken.
Im letzten Fenster "Fertigstellen" auswählen damit die App erstellt wird.
Entitäts-ID:
ACS-URL:
Nutzerzugriff konfigurieren
Die vorher erstellt App aufrufen und auf Nutzerzugriff klicken.
Bei Dienststatus für alle aktiviert auswählen.
Metadaten in Propstack hinterlegen
In der Propstack Verwaltung -> Systemeinstellung -> SAML Single sign-on (SSO) aufrufen.
Nun auf SAML-XML hochladen klicken und die XML Datei aus Schritt 5 hochladen. Anschließend speichern klicken und wir haben SSO für Google konfiguriert.
