Eigenen Identitätsanbieter verbinden (Okta, Entra ID, Google Workspace)

Verbinde den Identitätsanbieter deines Unternehmens — Okta, Microsoft Entra ID, Google Workspace oder einen anderen OpenID-Connect-Anbieter — damit sich dein Team mit den Konten anmeldet, die deine IT bereits verwaltet. Dies ist für Admins auf Enterprise-Tarifen.

Überblick

• Dein Team meldet sich mit den Konten an, die es bereits bei der Arbeit hat.
• Du behältst die Kontrolle an einer zentralen Stelle: Jemand, der bei deinem Anbieter entfernt wird, kann sich nicht mehr bei InfraNest anmelden.
• Wenn du nur möchtest, dass sich Personen mit einem persönlichen Google-, GitHub- oder Microsoft-Konto anmelden (ohne eigenen Anbieter), sieh dir stattdessen Single sign-on and sign-in connections an.

Einrichtung

1. Gehe zu Settings → Sign-in und wähle Set up single sign-on.
2. Wähle unter Provider Okta, Microsoft Entra ID, Google Workspace oder Another provider (OpenID Connect).
3. Gib unter Email domain (Optional) die Domain ein, auf der die Adressen deines Teams liegen. Durch die Verifizierung können Personen ihre geschäftliche Adresse auf der Anmeldeseite eingeben, und neue Personen können automatisch beitreten. Du kannst diesen Schritt überspringen — dein Team nutzt dann stattdessen den Anmeldelink deiner Organisation, und neue Personen treten per Einladung bei.
4. Kopiere unter Create the app die Redirect URL und verwende sie, um bei deinem Anbieter eine Anwendung für InfraNest zu erstellen. Füge die Client ID und das Client secret, die dein Anbieter liefert, wieder ein, sowie das eine zusätzliche Feld, das benötigt wird:
   • Okta: deine Okta-Domain, z. B. acme.okta.com.
   • Microsoft Entra ID: deine Tenant-ID oder eine beliebige Domain in deinem Tenant.
   • Google Workspace: nichts Zusätzliches auszufüllen.
   • Another provider (OpenID Connect): die Discovery URL, die normalerweise auf /.well-known/openid-configuration endet.
5. Melde dich im Schritt Try it in einem neuen Tab mit deinem eigenen Konto bei deinem Anbieter an. Du kannst die Verbindung erst einschalten, nachdem dieser Test erfolgreich war.
6. Wähle im Schritt Who gets in aus, was passiert, wenn sich jemand Neues anmeldet, und welche Rolle diese Person erhält. Wähle dann Switch on.

NoteInfraNest liest die Anmeldeadresse, die Token-Adresse und die Signaturschlüssel direkt von deinem Anbieter. Falls dein Anbieter nicht erreichbar ist, wird die Verbindung nicht gespeichert, und der Fehler erklärt, was versucht wurde.

Anschließend zeigt jede Verbindung ihren Status an — verbunden, Testanmeldung erfolgreich, eingeschaltet, und ob eine E-Mail-Domain verifiziert ist — zusammen mit dem Sign-in link deiner Organisation und ihrer Redirect URL.

So meldet sich dein Team an

1. Nutze den Sign-in link deiner Organisation, der bei der Verbindung mit einer Kopierschaltfläche angezeigt wird (zum Beispiel https://app.infranest.io/sso/acme). Personen können diesen als Lesezeichen speichern; er funktioniert mit oder ohne verifizierte Domain.
2. Oder wähle auf der Anmeldeseite Use single sign-on unter der Schaltfläche Sign in und gib den Anmeldenamen deiner Organisation oder eine geschäftliche E-Mail-Adresse ein.
3. Oder gib eine geschäftliche E-Mail-Adresse direkt auf der Anmeldeseite ein. Ist ihre Domain verifiziert, erscheint eine Schaltfläche Continue with ….

Du kannst den Anmeldelink auch zum Dashboard deines Anbieters hinzufügen, damit Personen dort über die InfraNest-Kachel starten können.

TipDer Anmeldename deiner Organisation ist ihr Slug, zu finden unter Settings → Organization. Änderst du ihn, ändert sich auch der Anmeldelink, sodass jeder zuvor gespeicherte Link nicht mehr funktioniert.

Wenn Single Sign-on verpflichtend ist, erscheint beim Eingeben einer geschäftlichen Adresse Continue with … als Hauptschaltfläche, während das Passwortfeld unter Sign in with a password instead versteckt ist.

So treten neue Personen bei

1. Mit verifizierter E-Mail-Domain kann jemand Neues sofort bei der ersten Anmeldung beitreten, gemäß der Auswahl unter Decide who gets in.
2. Ohne verifizierte Domain lädst du die Person wie gewohnt unter Members ein. Die Einladungs-E-Mail enthält eine Schaltfläche Continue with … für deinen Anbieter — die Person meldet sich mit der eingeladenen Adresse an und ist dabei. Besteht bereits ein InfraNest-Konto mit dieser Adresse, wird es wiederverwendet, nicht dupliziert.
3. Jemand, der sich über deinen Anbieter anmeldet, ohne Einladung, ohne verifizierte Domain und ohne verknüpftes Konto, wird abgewiesen, und es wird kein Konto erstellt.
4. Personen, die bereits ein InfraNest-Konto haben (zum Beispiel mit Passwort erstellt), können es unter My account → Sign-in & security → Connected accounts verknüpfen. Danach melden sie sich über deinen Anbieter an, unabhängig von der Domain.

Festlegen, wer Zugang erhält

Es gibt zwei getrennte Einstellungen bei der Verbindung:

• Allowed email domains schränkt ein, welche Adressen sie nutzen dürfen. Subdomains sind nicht automatisch eingeschlossen — acme.com erlaubt nicht automatisch auch mail.acme.com.
• When somebody new signs in steuert, was eine erfolgreiche Anmeldung gewährt:
  1. Do nothing — es wird weiterhin eine Einladung benötigt.
  2. Ask an admin — die Anmeldung erzeugt eine Beitrittsanfrage, die ein Administrator genehmigen muss.
  3. Add them straight away — die Person erhält sofort einen Platz, in der von dir gewählten Rolle.

Die dritte Option steht nur für deinen eigenen Identitätsanbieter zur Verfügung, nicht für die Anmeldung über Google oder GitHub — nur dein Anbieter weiß, wer tatsächlich InfraNest nutzen darf. Die Rolle, die neue Mitglieder erhalten, kann niemals Owner sein oder eine Rolle, die Dinge ändern oder löschen kann; einzelne Personen können danach höhergestuft werden.

Der Beitritt ist immer additiv: Jemand, der bereits eine eigene InfraNest-Organisation betreibt, behält diese und erhält lediglich zusätzlich eine Mitgliedschaft in deiner.

Personen anhand deiner eigenen Gruppen Rollen geben

Wenn dein Anbieter bereits festlegt, wer was tut, über Gruppen, kann InfraNest das nutzen, statt dass du jeder Person einzeln eine Rolle zuweist.

1. Trage unter Credentials and claim names im Feld Groups claim den Namen des Felds ein, in dem dein Anbieter Gruppen sendet (Okta sendet in der Regel groups; Entra ID sendet roles für App-Rollen). Lässt du es leer, werden Gruppen überhaupt nicht verwendet.
2. Nach einer Testanmeldung zeigt InfraNest, welches Feld dein Anbieter tatsächlich verwendet hat, mit einer Schaltfläche, um es zu übernehmen.
3. Füge pro Gruppe eine Zeile hinzu: den Namen der Gruppe genau so, wie dein Anbieter ihn schreibt, und die Rolle, die sie hier erhalten soll. Zuvor gesehene Gruppennamen werden dir beim Tippen vorgeschlagen.

Was danach zu erwarten ist:

• Rollen folgen deinem Anbieter — verschiebst du jemanden in eine andere Gruppe, ändert sich dessen Rolle bei der nächsten Anmeldung.
• Änderst du die Rolle von jemandem hier manuell, bleibt das bestehen — die Gruppen entscheiden ab dann nicht mehr darüber.
• Eine nicht zugeordnete Gruppe ändert nichts — die Personen behalten ihre bestehende Rolle.
• Rollen, die Dinge ändern oder löschen können, lassen sich hier ebenfalls nicht zuordnen; diese Personen müssen manuell höhergestuft werden.

Bestätigung sensibler Aktionen

Deine Organisation kann unter Settings → Access policy verlangen, dass Personen Löschungen, Neuaufbauten und Power-Aktionen bestätigen, indem sie erneut ihre Identität nachweisen.

• Jemand, der sich über deinen Anbieter angemeldet hat, sieht Confirm with deinem Anbieter; ein kleines Fenster öffnet sich, und die Person meldet sich erneut an.
• InfraNest akzeptiert dies nur, wenn dein Anbieter tatsächlich eine frische Anmeldung angefordert hat, wobei die gesendete Anmeldezeit geprüft wird. Jede Bestätigung wird einmal verwendet, für die Aktion, für die sie angefordert wurde.
• Okta funktioniert ohne Weiteres.
• Entra ID benötigt zunächst den hinzugefügten auth_time-Claim in der App.
• Google Workspace kann dies nicht — Personen bestätigen stattdessen mit einem Passkey, einer Authenticator-App oder ihrem Passwort.
• Andere Anbieter funktionieren, wenn sie auth_time im ID-Token senden; andernfalls zeigt das Fenster dies entsprechend an.

Blockiert ein Browser das Bestätigungsfenster, erlaube Pop-ups für InfraNest und versuche es erneut.

Client-Geheimnis erneuern

1. Gehe zu Credentials and claim names.
2. Gib das neue Geheimnis ein.
3. Wähle Replace.

WarningDas gespeicherte Geheimnis wird nie wieder angezeigt. Lässt du das Feld leer, bleibt immer das aktuelle Geheimnis erhalten.

Claim-Namen

Lass Claim names leer, außer dein Anbieter verwendet nicht standardmäßige Namen für die E-Mail-Adresse oder den Namen einer Person. Die Standardwerte funktionieren bereits für Okta, Entra ID und Google Workspace.

Fehlerbehebung

• Führe zuerst Check (Testanmeldung) aus — er benennt die meisten Probleme direkt, etwa einen nicht erreichbaren Anbieter oder einen Anbieter, der jetzt einen anderen Aussteller meldet als den, mit dem die Verbindung eingerichtet wurde.
• „Your identity provider rejected this connection's credentials“ bedeutet, dass das Client-Geheimnis bei deinem Anbieter abgelaufen ist oder erneuert wurde — ersetze es wie oben beschrieben.
• „ does not use for single sign-on“ bedeutet, dass die Person zu einer anderen Organisation gehört, die ihren eigenen Anbieter erfordert — die Anmeldung über den richtigen Anbieter funktioniert.
• Ein Anbieter, der in einen anderen Tenant umgezogen ist, benötigt eine völlig neue Verbindung, da der Aussteller beim Erstellen der Verbindung festgelegt und bei jeder Anmeldung geprüft wird.
• Administratoren können jeden fehlgeschlagenen Versuch mit dem Grund unter Settings → Audit Log einsehen.