Single Sign-on und Anmeldeverbindungen

Mit Single Sign-on kann sich jeder in deiner Organisation mit Google, GitHub oder Microsoft anmelden statt mit einem Passwort. Dieser Artikel richtet sich an Organisationseigentümer und Admins, die die Anmeldung von Mitgliedern einrichten oder verwalten.

Überblick

• Eine Anmeldeverbindung ist die Richtlinie deiner Organisation für einen Anbieter – welche E-Mail-Domains er akzeptiert und was passiert, wenn sich jemand Neues damit anmeldet.
• Du kannst verlangen, dass sich alle über deine Verbindungen anmelden, wobei der Passkey eines Eigentümers als Notfallzugang erhalten bleibt.
• Alles, was hier passiert, wird in deinem Audit-Log festgehalten.

Eine Anmeldeverbindung hinzufügen

1. Gehe zu Einstellungen → Anmeldung.
2. Wähle unter Sign-in connections einen Anbieter zum Hinzufügen aus.
3. Die Verbindung ist sofort aktiv. Jeder in deiner Organisation kann diesen Anbieter jetzt nutzen.

NoteWird ein Anbieter nicht angeboten, wurde er für die Plattform noch nicht eingerichtet – wende dich an deinen InfraNest-Administrator.

Anmeldung auf eigene E-Mail-Domains beschränken

Standardmäßig akzeptiert eine Verbindung jede Adresse. So schränkst du sie ein:

1. Trage die Domains unter Allowed email domains ein, eine pro Zeile, oder
2. Schalte Use our verified domains ein, damit die Verbindung den Domains folgt, die du bereits verifiziert hast – du musst sie dann nicht zweimal auflisten.

Die Zeile zeigt immer, was die Einschränkung aktuell akzeptiert.

• Subdomains sind nicht automatisch enthalten. Die Freigabe von acme.com erlaubt nicht mail.acme.com. Füge sie bei Bedarf separat hinzu.
• Wird „Use our verified domains“ aktiviert, bevor du irgendeine Domain verifiziert hast, wird alles akzeptiert. Die Zeile weist in diesem Fall darauf hin.

Mitglieder, die keine deiner Verbindungen nutzen könnten, sind geschützt: Würde eine Einschränkung jemanden aussperren, während Single Sign-on verlangt wird, verweigert InfraNest das Speichern und nennt die betroffenen Personen.

Single Sign-on verlangen

Wird Require single sign-on eingeschaltet, öffnet sich deine Organisation nur noch für Personen, die sich über eine ihrer Verbindungen angemeldet haben. Ein Eigentümer kann außerdem mit einem Passkey hinein, als Notfallzugang. Die Passkeys anderer Mitglieder zählen dabei nicht – wird also jemand bei deinem Identitätsanbieter entfernt, endet dessen Zugriff tatsächlich.

Unter dem Schalter listet InfraNest genau auf, was Personen hineinlässt: jede aktivierte Verbindung, die Passkeys der Eigentümer und externe Mitglieder. Hast du deinen eigenen Identitätsanbieter verbunden, ist die Anmeldung über Google, GitHub oder Microsoft für deine Organisation aber noch aktiv, zählen auch diese mit – ein Klick schaltet sie aus.

Die Regel gilt für deine Organisation, nicht für das gesamte Konto aller Beteiligten. Wer außerdem einer anderen Organisation angehört, kann sich weiterhin mit einem Passwort anmelden, um diese zu erreichen. Öffnet die Person danach deine Organisation, bittet InfraNest sie, sich mit deinem Single Sign-on anzumelden, und sie bleibt bei beiden angemeldet. Bis dahin sieht sie nichts von deiner Organisation: Deine Benachrichtigungen fehlen in ihrer Glocke, und deine Organisation erscheint in ihrer Organisationsliste nur mit Namen, daneben ein Schlüsselsymbol. Wer ausschließlich Organisationen angehört, die Single Sign-on verlangen, kann überhaupt kein Passwort nutzen.

Für diese Personen zeigt die Seite My account → Sign-in & security an, welcher Anbieter sie anmeldet, und bietet weder Passwort noch Zwei-Schritt-Verifizierung noch Passkeys an: Keines davon würde sie in deine Organisation hineinlassen. InfraNest verweigert außerdem, sie auf anderem Weg anzulegen, etwa per Passwort-Zurücksetzen-E-Mail, und verknüpft kein Google- oder GitHub-Konto, das deine Organisation nicht akzeptiert. Eigentümer behalten ihre Passkeys, denn das ist der Notfallzugang. Personen, die zusätzlich einer anderen Organisation angehören, behalten alles, mit einem Hinweis, dass dies für ihre anderen Organisationen gilt.

Da kein Passwort deine Organisation mehr öffnet, gelten deine Passwortregeln nicht mehr, solange Single Sign-on verlangt wird: Mindestlänge, erforderliche Symbole und maximales Passwortalter. Sie werden ausgegraut angezeigt und beeinflussen damit nicht mehr die Passwörter, die deine Mitglieder für ihre anderen Organisationen verwenden. Sie bleiben wie eingestellt erhalten und gelten wieder, sobald du die Pflicht ausschaltest. Require two-factor authentication bleibt aktiv: Mitglieder, die sich über ihren eigenen Identitätsanbieter anmelden, erfüllen die Pflicht bereits durch dessen eigene Zwei-Faktor-Prüfung, sie gilt aber weiterhin für einen Eigentümer, der sich per Passkey anmeldet, sowie für Google-, GitHub- oder Microsoft-Anmeldungen.

Bevor du die Pflicht aktivieren kannst, prüft InfraNest, dass niemand ausgesperrt wird:

• jedes Mitglied muss eine deiner Verbindungen nutzen können, und
• mindestens ein Eigentümer muss einen registrierten Passkey haben.

Dieser Passkey ist dein Weg zurück hinein. Fällt dein Identitätsanbieter jemals aus, funktioniert der Passkey eines Eigentümers weiterhin, selbst wenn Passwörter es nicht tun. Registriere zuerst einen unter My account → Sign-in & security.

WarningTrotzdem ausgesperrt – der Passkey-Eigentümer hat das Unternehmen verlassen oder das Gerät ist weg? Wende dich an den InfraNest-Support. Ein Administrator kann die Passwortanmeldung für dich wiederherstellen. Das wird in deinem Audit-Log festgehalten, und deine Eigentümer werden benachrichtigt, sodass du immer sehen kannst, dass es passiert ist.

Personen von außerhalb deiner Organisation

Der Techniker eines MSP, ein Prüfer oder ein Auftragnehmer ist meist nicht in deinem Identitätsanbieter erfasst, sodass dein Single Sign-on ihn nie hineinlassen könnte. Markiere solche Personen unter Einstellungen → Team als External (Menü ⋯ in ihrer Zeile). Ein externes Mitglied meldet sich so an, wie es die eigene Organisation verlangt, und deine Organisation lässt es so hinein, wie es sich angemeldet hat. Das wird in deinem Audit-Log festgehalten. Ein Eigentümer kann nie extern sein.

Eine Verbindung ausschalten

1. Finde die Verbindung unter Einstellungen → Anmeldung.
2. Nutze den Schalter an der Verbindung, um Anmeldungen damit zu stoppen, oder wähle Entfernen, um sie vollständig zu löschen.
3. Ist Single Sign-on verlangt und es ist deine einzige Verbindung, verweigert InfraNest das – schalte zuerst Require single sign-on aus.

TipDer Schalter ist fast immer die richtige Wahl. Eine Verbindung auszuschalten stoppt Anmeldungen sofort, behält aber alle damit verknüpften Konten bei und lässt sich wieder einschalten. Eine Verbindung zu entfernen trennt zudem alle, die sich darüber anmelden, und wer sich nur auf diesem Weg je angemeldet hat, hat kein Passwort als Rückfalloption.

Sobald also jemand sich über eine Verbindung anmeldet, verhindert InfraNest das Löschen und graut die Schaltfläche Löschen aus. Die Zeile zeigt dir, wie viele Personen das betrifft. Schalte sie stattdessen aus.

Gut zu wissen

• Die Anmeldung über einen Anbieter ändert nie die Rolle oder Berechtigungen einer Person.
• Jede Änderung hier wird in deinem Audit-Log festgehalten.
• Solange Single Sign-on verlangt wird, kommen nur die Passkeys der Eigentümer hinein. Das ist Absicht: Es ist der Notfallzugang, und ein Mitglied, das dein Unternehmen verlässt, darf keinen behalten, der deinen Identitätsanbieter umgeht.
• Das Aktivieren der Pflicht beendet auch Sitzungen, die zuvor auf andere Weise gestartet wurden: Betroffene werden beim nächsten Öffnen der Organisation gebeten, sich über deinen Anbieter anzumelden.