Single Sign-On (SSO)

This page is not available in the language you requested. You have been redirected to the English version of the page.

Link to this page copied to clipboard

Informationen über SAML 2.0 Single Sign-On, Anmeldeabläufe und Bereitstellungsoptionen

Not for use with personal data

Single Sign-On (SSO) ermöglicht es Ihren Nutzern, sich mit dem Identitätsanbieter Ihrer Organisation bei Deque-Produkten anzumelden.

Vorteile

Zentralisiertes Benutzer-Management über Ihren Identitätsanbieter
Beseitigung des Passwortverwaltung-Aufwands für Deque-Produkte
Einhaltung der Authentifizierungsrichtlinien Ihrer Organisation
Unterstützung von Multi-Faktor-Authentifizierung (MFA) über Ihren Identitätsanbieter
Vereinfachtes Benutzer-Offboarding, wenn Mitarbeiter Ihre Organisation verlassen

Funktionenübersicht

Funktion	Unterstützung
Protokoll	Nur SAML 2.0 (OpenID Connect und WS-Federation nicht verfügbar)
Anmeldeabläufe	Sowohl SP-initiiert (Benutzer beginnt bei Deque) als auch IdP-initiiert (Benutzer beginnt bei Ihrem Anwendungsportal)
Identitätsanbieter	Okta, Microsoft Entra ID, PingFederate und jeder SAML 2.0-kompatible Anbieter
Benutzerattribute	E-Mail, Vorname, Nachname
Multi-Faktor-Authentifizierung	Unterstützt (Ihr Identitätsanbieter steuert die Richtlinie)
Zertifikate	Selbstsigniert oder von einer CA ausgestellt; beide unterstützt
Hostingoptionen	SaaS (USA, EU, Australien, Frankfurt), Private Cloud, Vor-Ort
Benutzerbereitstellung	Manuell, Just-in-Time (automatische Neueinrichtung von Nutzern) oder SCIM 2.0

Anmeldeabläufe

SP-Initiierte (Service Provider-initiierte)

Der Benutzer beginnt auf einer Anmeldeseite eines Deque-Produkts und wählt „Mit Ihrer Organisation anmelden“. Der Benutzer wird zur Authentifizierung zu Ihrem Identitätsanbieter umgeleitet und dann zu Deque zurückgeführt.

Vorteil: Funktioniert für alle Identitätsanbieter. Keine anbieter-spezifische Konfiguration erforderlich über die Standardeinstellungen von SAML hinaus.

IdP-Initiierte (Identity Provider-initiierte)

Der Benutzer beginnt an Ihrem Anwendungsportal, wählt eine Deque-Produktkachel aus und wird nach der Authentifizierung sofort zu diesem Produkt geschickt.

Vorteil: Nahtlose Benutzererfahrung innerhalb des Anwendungssystems Ihrer Organisation. Erfordert: Eine separate Verbindung für jedes Deque-Produkt und anbieter-spezifische Konfiguration (siehe Okta, Microsoft Entra ID, PingFederate).

E-Mail-Domänen

Verbindungen werden über die E-Mail-Domäne nach dem Symbol @ abgeglichen. Jede Domäne erfordert eine eigene Verbindung, und Subdomänen werden separat von ihrer übergeordneten Domäne konfiguriert.

Beispiel: Ein Unternehmen mit Nutzern bei @acme.com und @dev.acme.com erfordert zwei separate SSO-Verbindungen.

Alle Verbindungen können auf denselben Identitätsanbieter verweisen.

Benutzerbereitstellung

Manuelle Bereitstellung

Ein Administrator erstellt Benutzerkonten in Deque, bevor der Benutzer sich zum ersten Mal über SSO anmeldet. Funktioniert mit allen Einrichtungsarten.

Just-in-Time (JIT) Bereitstellung

Wenn sich ein Benutzer zum ersten Mal über SSO anmeldet, erstellt Deque automatisch sein Konto anhand der Informationen aus der SAML-Aussage. Der Vor- und Nachname des Benutzers werden importiert, wenn sie von Ihrem Identitätsanbieter gesendet werden.

SCIM 2.0 Bereitstellung

Ihr Identitätsanbieter erstellt, aktualisiert und entfernt automatisch Deque-Benutzerkonten und kann Benutzer basierend auf der Gruppenmitgliedschaft im Verzeichnis Produkten zuweisen. Dies erfordert einen separaten Einrichtungsschritt. Siehe Automatische Benutzerbereitstellung (SCIM) für Details.

Einschränkungen und Überlegungen

Alle Benutzer in einer aktivierten Domäne müssen SSO verwenden

Sobald SSO für eine Domäne aktiv ist, meldet sich jeder Benutzer mit einer E-Mail-Adresse in dieser Domäne über Ihren Identitätsanbieter an. Die Anmeldung mit Passwort ist für sie nicht mehr verfügbar.

Bestehende Benutzer führen eine einmalige Kontoverknüpfung durch

Benutzer, die bereits über ein Deque-Login verfügen, müssen bei ihrer ersten SSO-Anmeldung die Verknüpfung zwischen ihrem Deque-Konto und Ihrem Identitätsanbieter bestätigen. Sie erhalten eine Bestätigungs-E-Mail und wählen einen Link aus, um den Vorgang abzuschließen.

Protokoll- und Formatbeschränkungen

Nur SAML 2.0
Name-ID-Format: Email, unter Verwendung von Subject NameID
Die E-Mail-Adresse ist der Identifikator; sie muss eindeutig und stabil sein
Ansprüche auf Gruppenmitgliedschaft werden nicht für den Produktzugang verwendet; verwenden Sie SCIM, wenn ein gruppenbasierter Zugriffskontrolle erforderlich ist

Zertifikate und Vertrauen

Das Vertrauen bei SSO wird durch direkten Metadatenaustausch zwischen Ihrer Organisation und Deque hergestellt, anstatt über eine öffentliche Zertifizierungsstellenkette. Jede Partei vertraut dem von der anderen bereitgestellten Zertifikat ausdrücklich.

Wichtige Punkte

Selbstsignierte Zertifikate werden unterstützt. Ein von CA ausgestelltes Zertifikat wird nicht benötigt.
Entity-IDs müssen genau übereinstimmen. Eine Entity-ID ist ein Identifikator, keine URL. Sie muss zeichengetreu auf beiden Seiten übereinstimmen, einschließlich abschließender Schrägstriche. Ein einziger Unterschied führt dazu, dass Aussagen abgelehnt werden.
Zertifikate laufen regelmäßig ab. Signierzertifikate laufen in der Regel alle ein bis drei Jahre ab.

important

Wenn Ihr Signierzertifikat abläuft oder erneuert wird, funktioniert SSO für jeden Benutzer in der Domäne nicht mehr.

Benachrichtigen Sie helpdesk@deque.com bevor Sie Ihr Zertifikat erneuern, und senden Sie das neue Zertifikat im Voraus. Dies ist die häufigste Ursache für einen plötzlichen, vollständigen SSO-Ausfall und ist vollständig vermeidbar. Fügen Sie bei der Einrichtung eine Erinnerungsfunktion zur Erneuerung hinzu.