SSO & Verzeichnis

Unter SSO & Verzeichnis verbindest du Kibi Connect mit deinem Firmenverzeichnis: Mitarbeitende melden sich mit ihrem Unternehmenskonto an, und Konten sowie Gruppen kommen direkt aus dem Verzeichnis.

So öffnest du den Bereich#

Die Liste zeigt alle Identitätsquellen mit Typ, Status, Anzahl verknüpfter Konten und letzter Anmeldung.

Welche Identitätsanbieter du anbinden kannst#

Mehrere Quellen gleichzeitig#

Du kannst mehrere Identitätsquellen parallel betreiben, zum Beispiel Microsoft Entra ID für die Verwaltung und Keycloak für die Produktion. Jede aktive Quelle erscheint als eigene Schaltfläche auf der Anmeldeseite, beschriftet mit „Mit <Anzeigename> anmelden“. Die Anmeldung mit Passwort, Passkey oder QR-Code bleibt daneben erhalten.

Identitätsquelle hinzufügen#

Bei Microsoft Entra ID bestätigst du mit Einrichten: Die Integration wird eingeschaltet und die Quelle angelegt. Danach hinterlegst du die Zugangsdaten deiner Entra-App. Die Schritte im Microsoft Entra Admin Center beschreibt die Seite MS Entra Integration.

Die drei Reiter einer Identitätsquelle#

Jede Quelle hat dieselben drei Reiter. Änderungen in allen Reitern speicherst du gemeinsam über die Leiste Speichern am unteren Rand.

Reiter „Verbindung“#

OpenID Connect

• Issuer-URL

  Die Adresse deines Identitätsanbieters, zum Beispiel https://login.example.com/realms/firma. Mit „Discovery abrufen“ prüfst du, ob der Anbieter antwortet, und siehst Anmelde-Endpunkt, Token-Endpunkt und Schlüssel.

• Client-ID und Client-Secret

  Aus der Client-Konfiguration beim Anbieter. Ein gespeichertes Secret wird nicht mehr angezeigt; trag es nur ein, um es zu ersetzen.

• Scopes und PKCE

  Scopes durch Leerzeichen getrennt. PKCE schützt die Anmeldung zusätzlich – schalte es nur aus, wenn dein Anbieter es nicht unterstützt.

SAML 2.0

• Metadaten übernehmen

  Füge die Metadaten-XML ein, lade die Datei hoch oder gib die Metadaten-URL an. Entity-ID, Anmelde-URL und Signaturzertifikat werden daraus gefüllt und bleiben änderbar. Enthalten die Metadaten mehrere Anbieter (etwa bei eIAM oder AGOV), gib die gewünschte Entity-ID an.

• Angaben für deinen Identitätsanbieter

  Entity-ID dieser Plattform, ACS-URL und das Zertifikat der Plattform. Mit „SP-Metadaten herunterladen“ erhältst du alles in einer Datei, die du beim Anbieter hochlädst.

• NameID-Format

  Empfohlen ist „Dauerhaft (persistent)“. Bei „Wechselnd (transient)“ brauchst du ein festes Attribut als Kennung.

• Zertifikatswechsel

  Trag altes und neues Zertifikat untereinander ein. Die Plattform benachrichtigt die System-Admins rechtzeitig, bevor ein Zertifikat abläuft.

Verbindung testen

Die Schaltfläche Verbindung testen prüft, ob Kibi Connect den Identitätsanbieter erreicht und ihm vertrauen kann – ohne dass sich jemand anmelden muss. Jeder Prüfpunkt erscheint mit „In Ordnung“, „Hinweis“ oder „Fehler“, zum Beispiel ob der Aussteller übereinstimmt, ob Client-ID und Client-Secret akzeptiert werden oder wie lange ein SAML-Zertifikat noch gültig ist.

Reiter „Anmeldung“#

• Attribute übernehmen

  Legt fest, welche Angaben des Identitätsanbieters (Vorname, Nachname, E-Mail-Adresse, Anmeldename) ins Profil übernommen werden. Sie werden bei jeder Anmeldung aktualisiert.

• Konten zuordnen

  Beim ersten Login sucht Kibi Connect das passende Konto über eine Kette von Regeln – der Reihe nach, die erste Regel mit Treffer gilt. Danach ist die Person fest mit ihrem Konto verknüpft.

• Zweiter Faktor beim Identitätsanbieter

  Verlangt dein Identitätsanbieter bei jeder Anmeldung einen zweiten Faktor, bestätige das hier. Kibi Connect fragt dann nicht zusätzlich nach dem eigenen Zweitfaktor. Die Quelle trägt danach den Hinweis „MFA bestätigt“.

• Anmeldung über diese Quelle erlauben

  Ausgeschaltet verschwindet die Schaltfläche von der Anmeldeseite. Verknüpfungen bleiben erhalten.

• Identitätsquelle löschen

  Zur Bestätigung tippst du den Namen ein. Verknüpfungen und eine SCIM-Anbindung werden entfernt, die Konten selbst bleiben erhalten. Microsoft Entra ID löschst du nicht, sondern schaltest die Verbindung im Reiter „Verbindung“ aus.

Beispiel für eine Regelkette:

So finden Mitarbeitende mit E-Mail-Adresse ihr Konto über die Adresse, alle anderen über die Mitarbeiternummer. Das ist auch die Voreinstellung für Microsoft Entra ID. Du kannst bis zu drei Regeln anlegen und ihre Reihenfolge ändern. Ohne Regel wird kein bestehendes Konto gesucht; Konten müssen dann vorher verknüpft oder per SCIM angelegt sein.

Reiter „Benutzerabgleich“#

OpenID Connect und SAML 2.0

• Konten beim ersten Login anlegen

  Wer sich zum ersten Mal über die Quelle anmeldet und noch kein Konto hat, bekommt eines – sofern freie Lizenzen vorhanden sind. Unter „Rollen für neue Konten“ legst du fest, welche Rollen diese Konten erhalten. Rollen mit Administratorrechten lassen sich hier nicht vergeben.

• SCIM-Provisionierung

  Dein Identitätsmanagement legt Konten und Gruppen an, pflegt und deaktiviert sie. Einrichtung, Offboarding, Gruppen und Rollen-Zuordnung beschreibt die Seite „SCIM-Provisionierung einrichten“.

• Vom Verzeichnis gepflegte Felder sperren

  An: Mitarbeitende sehen Name, E-Mail-Adresse und Kontaktdaten im Profil nur zum Lesen. Aus: Mitarbeitende können die Felder ändern, der nächste Abgleich überschreibt die Änderung aber wieder. Die Einstellung gilt je Quelle.

Microsoft Entra ID

Hier liegt der vollständige Verzeichnisabgleich wie bisher: Zeitplan, übernommene Felder, Offboarding, Benachrichtigungen, „Jetzt abgleichen“ und verwaiste Konten. SCIM ist optional als Alternative möglich, wenn du Konten lieber aus Entra heraus provisionierst. Den Verzeichnisabgleich dürfen auch Rollen mit dem Recht „Integrationen“ in der Stufe „Konfigurieren“ ändern; die Anmeldeeinstellungen im Reiter „Verbindung“ bleiben System-Admins vorbehalten.

Schutz für Admin-Konten#

Wer die E-Mail-Adresse eines Admin-Kontos kontrolliert, könnte sich über „Passwort vergessen?“ Zugang verschaffen. Deshalb gelten für Konten aus einem Identitätsmanagement feste Schutzregeln:

• Bestätigung per E-Mail

  Will SCIM oder der Entra-Abgleich ein bestehendes Admin-Konto übernehmen oder seine E-Mail-Adresse ändern, wird das erst wirksam, wenn die betroffene Person es bestätigt. Die E-Mail geht an die bisherige Adresse.

• Keine automatischen Admin-Rollen

  Weder beim ersten Login noch per SCIM-Gruppe werden Rollen mit Administratorrechten vergeben.

• Grenze beim Massen-Offboarding

  Will ein Identitätsmanagement in kurzer Zeit mehr als die Hälfte seiner Konten deaktivieren, stoppt die Plattform und benachrichtigt die System-Admins per E-Mail.

• Letzter System-Admin

  Der letzte aktive System-Admin kann nie per SCIM gesperrt oder gelöscht werden.

• „Adresse geprüft“

  Wer einem Konto mit einer vom Identitätsmanagement gesetzten Adresse eine Admin-Rolle gibt, muss die Adresse vorher sichtbar prüfen. Details unter „Rollen & Rechte“.

Wer darf was?#