SSO einrichten

Mit Single Sign-On (SSO) meldet sich dein Team mit seinem Firmenkonto bei fynk an. fynk unterstützt SAML 2.0 mit Identitätsanbietern wie Microsoft Entra ID, Okta und Google.

Verfügbar in Pro · Eigentümer und Administrator

Bevor du startest

• Du brauchst den Pro-Tarif. Kontaktiere uns, um SSO für dein Konto zu aktivieren.
• Du brauchst Admin-Zugriff auf deinen Identitätsanbieter.
• SSO regelt nur die Anmeldung. Um Benutzer automatisch anzulegen und zu entfernen, richte zusätzlich SCIM ein. Siehe Benutzer mit SCIM bereitstellen.

SSO einrichten

1. Gehe in fynk zu Kontoeinstellungen → Integrationen → SAML.
2. Kopiere die ACS URL und die SP Entity ID.
3. Lege in deinem Identitätsanbieter eine neue benutzerdefinierte SAML-Anwendung an und füge diese Werte ein.
4. Ordne die NameID der E-Mail-Adresse des Benutzers zu.
5. Weise der Anwendung die Benutzer oder Gruppen zu, die fynk nutzen sollen.
6. Kopiere die Metadaten-URL des Identitätsanbieters, füge sie in fynk in die SAML-Einstellungen ein und speichere.

Einstellungen für SAML Single Sign-on.

Einrichtung in Microsoft Entra ID

1. Gehe in Entra ID zu Enterprise applications → New application → Create your own application und wähle eine Anwendung außerhalb des Katalogs (non-gallery).
2. Öffne Single sign-on und wähle SAML.
3. Füge die ACS URL von fynk unter Reply URL und die SP Entity ID unter Identifier (Entity ID) ein.
4. Kopiere die App Federation Metadata URL in die SAML-Einstellungen in fynk.

Einrichtung in Okta

1. Lege in Okta eine neue App-Integration an und wähle SAML 2.0.
2. Füge die ACS URL von fynk unter Single sign-on URL und die SP Entity ID unter Audience URI (SP Entity ID) ein.
3. Setze das Name ID format auf EmailAddress.
4. Kopiere die Metadaten-URL der App in die SAML-Einstellungen in fynk.

Erster Zugriff für eingeladene Benutzer

Per E-Mail eingeladene Benutzer müssen zuerst ihre fynk-Einladung annehmen, um dem Konto beizutreten, auch wenn SSO verpflichtend ist. Sie nur in deinem Identitätsanbieter fynk zuzuweisen, reicht dafür nicht. Die Einladungs-E-Mail lässt sich für diesen Ablauf nicht deaktivieren. Ausnahme sind Benutzer, die über SCIM bereitgestellt werden. Ob SSO optional oder verpflichtend ist, ändert an diesen Onboarding-Voraussetzungen nichts.

Mit SSO anmelden

Benutzer melden sich unter https://app.fynk.com/sso/login an. Die E-Mail-Adresse in deinem Identitätsanbieter muss mit der E-Mail-Adresse des Benutzers in fynk übereinstimmen.

SSO erzwingen

Sobald SSO funktioniert, kannst du es für alle verpflichtend machen. Um SSO erzwingen zu aktivieren, musst du selbst per SSO angemeldet sein und die Rolle Eigentümer oder Administrator haben.

Fehlerbehebung

• Benutzer kann sich nicht anmelden: Prüfe, ob der Benutzer in deinem Identitätsanbieter der Anwendung zugewiesen ist.
• Keycloak: Entferne den Client-Scope "role_list".

Gut zu wissen

• Nutze die Metadaten-URL des Identitätsanbieters, statt Metadaten manuell hochzuladen. fynk hält die Metadaten dann synchron, sodass du das Zertifikat nie selbst ersetzen musst. Klicke vor dem Speichern auf den Aktualisieren-Button neben der Metadaten-URL.
• Wenn der Admin deines Identitätsanbieters kein fynk-Konto hat, kann ein Eigentümer oder Administrator ihn für die Einrichtung als Administrator einladen und danach wieder entfernen.
• Mit erzwungenem SSO kannst du über deinen Identitätsanbieter steuern, welche Benutzer, Geräte und Netzwerke sich bei fynk anmelden dürfen.
• Bei erzwungenem SSO kannst du keine einzelnen Benutzer oder Domains ausnehmen.
• Kombiniere SSO nicht mit 2FA in fynk. Nutze die Multi-Faktor-Authentifizierung deines Identitätsanbieters.
• Bestehende Passwörter bleiben erhalten, wenn du SSO wieder deaktivierst.

Verwandte Artikel

• Benutzer mit SCIM bereitstellen
• Anmelden, Passwort zurücksetzen und 2FA einrichten
• Benutzer einladen, verwalten und entfernen