SSO mit SAML 2.0

UDM Plus

Single Sign-on (SSO) mit SAML 2.0 ermöglicht es deinen Usern, sich mit ihrem bestehenden Identity Provider (IdP) bei deskbird anzumelden. Unten findest du Schnellstart-Optionen für Okta und Keycloak sowie einen vollständigen Leitfaden für das Setup der Federation (SP-initiiertes SSO).

Du richtest UDM Plus ein? User & Data Management (UDM) Plus: Setup führt dich Schritt für Schritt durch SSO, deine HRIS-Synchronisierung, SCIM und die Sichtbarkeitseinstellungen.

1. SAML mit Okta
2. SAML mit Keycloak
3. Einrichtung der SAML 2.0 Federation
4. SAML-Zertifikat erneuern
5. Wann SAML statt OAuth / OIDC verwenden?

1. SAML mit Okta

Nutze unseren speziellen Okta-Leitfaden, um eine Okta SAML-App zu konfigurieren, die benötigten Attribute zuzuordnen und das SP-initiierte SSO zu deskbird zu testen. Der Leitfaden enthält Screenshots, Attribut-Statements und Tipps zur Fehlerbehebung.
👉 Schritt für Schritt: SAML SSO mit Okta einrichten

2. SAML mit Keycloak

Du möchtest lieber Keycloak nutzen? Folge dem Keycloak-Leitfaden, um SSO zu deskbird zu starten.
👉 Schritt für Schritt: SAML SSO mit Keycloak einrichten

3. Einrichtung der SAML 2.0 Federation

SAML 2.0 (Security Assertion Markup Language) ist ein XML-basiertes Protokoll, um Authentifizierungs- und Autorisierungsdaten sicher zwischen einem Identity Provider (IdP) und einem Service Provider (SP) auszutauschen. deskbird unterstützt SP-initiiertes SSO (die Authentifizierung muss von deskbird aus gestartet werden).

Wenn du eine Kachel in deinem IAM-Launcher (z. B. OneLogin, JumpCloud) möchtest, auf die User klicken können, füge eine Bookmark-Anwendung hinzu, die den SP-initiierten Flow in deskbird startet:
https://app.deskbird.com/saml?providerName={saml-provider-ID}
Die SAML-Provider-ID folgt dem Muster saml.{company-name}. Beispiel für "Polaroid": https://app.deskbird.com/saml?providerName=saml.polaroid.

Lege für die eigentliche SAML-Verbindung eine separate, versteckte Federation-Anwendung in deinem IdP an (nicht für User sichtbar).

3.1 Allgemeines Setup

Konfiguriere deinen IdP mit folgenden deskbird Service Provider-Daten:

💡 Für eine erfolgreiche SAML 2.0 Authentifizierung setze NameID auf die E-Mail-Adresse des Users mit dem Format urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified.

Beispiel für ein Assertion-Snippet

<saml2:Subject> <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" NameQualifier="<IdP Entity ID>" SPNameQualifier="https://api.deskbird.app/saml/metadata" xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"> email </saml2:NameID> <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> </saml2:Subject> 

Diese Daten an deskbird zur Konfiguration senden

Wenn du eine Metadata-Datei deines IdP hast, kannst du diese stattdessen einfach schicken.

3.2 User-Attribute

Erforderliches Attribut (genau diesen Namen verwenden):

Empfohlene Attribute:

3.3 Namensabgleich mit deinem IdP

Wenn User beim ersten SAML-Login erstellt werden (ohne SCIM oder HRIS-Synchronisierung), übernimmt deskbird Vor- und Nachname aus deinem IdP und hält diese synchron:

• Erster Login: Der User wird mit Vor- und Nachname aus der SAML-Assertion erstellt.
• Weitere Logins: Wenn dein IdP einen anderen Namen sendet, aktualisiert deskbird diesen. Das ersetzt auch manuell in deskbird geänderte Namen.
• Bearbeitung: Solange dein IdP den Namen liefert, können User und Admins ihn in deskbird (Web, iOS und Android) nicht bearbeiten. Namensänderungen müssen im IdP erfolgen und erscheinen nach dem nächsten Login.
• SCIM oder HRIS-Synchronisierung: Wenn du eine dieser Synchronisierungen nutzt, wird der Name darüber verwaltet und SAML überschreibt ihn nie.
• Kein Name gesendet: Wenn die Assertion keinen Vor- und Nachnamen enthält, geben User ihren Namen beim Setup ein und können ihn weiterhin bearbeiten.

💡 Es werden nur Vor- und Nachname synchronisiert. Andere Attribute wie Büro oder Abteilung werden nicht aus SAML übernommen.

3.4 Metadata-Datei

Nachdem du die SAML-Anwendung in deinem IdP erstellt hast, sende uns bitte die Metadata-Datei, die Folgendes enthält:

• Zertifikat
• Entity ID
• SSO-URL

4. SAML-Zertifikat erneuern

SAML-Zertifikate haben ein Ablaufdatum (typischerweise 1–3 Jahre nach Erstellung). Wenn ein Zertifikat bald abläuft, informiert dich dein Identity Provider. Es ist wichtig, das Zertifikat rechtzeitig zu erneuern, um Login-Ausfälle zu vermeiden.

Schritt-für-Schritt-Anleitung zur Erneuerung (Microsoft Entra ID):

1. Gehe im Microsoft Entra ID-Portal zu deiner deskbird Enterprise-Anwendung.
2. Navigiere zu Single sign-on > SAML Certificates.
3. Klicke auf das Bearbeiten (Stift)-Symbol.
4. Klicke auf Neues Zertifikat.
5. Lege das Ablaufdatum fest (Standard: 3 Jahre).
6. Klicke auf Speichern. Das neue Zertifikat erscheint mit dem Status Inaktiv.
7. Lade das neue Zertifikat herunter (Base64-Format).
8. Sende das Zertifikat per Support-Ticket an den deskbird Support. Gib deinen Unternehmensnamen an und erwähne, dass es sich um eine SAML-Zertifikatserneuerung handelt.
9. Der deskbird Support ersetzt das Zertifikat auf unserer Seite und bestätigt, sobald alles bereit ist.
10. Sobald deskbird bestätigt, gehe zurück zu Entra ID und aktiviere das neue Zertifikat (Status auf Aktiv setzen).

5. Wann SAML statt OAuth / OIDC verwenden?

Wenn du dich zwischen SAML und OAuth (Microsoft SSO) entscheiden möchtest, beachte Folgendes: