🔐 enterprise-sso – Vollständiger Konfigurationsleitfaden

Enterprise Single Sign-On (SSO) ermöglicht es Ihrer Organisation, Benutzer auf der Drimify-Plattform über Ihren bestehenden Identity Provider (IdP) zu authentifizieren. Dies unterscheidet sich von anderen SSO- oder Authentifizierungsmechanismen, die innerhalb von spiele oder Erlebnissen erstellt wurden, die auf Drimify basieren.

Benutzer mit Ihrer Unternehmensdomäne können sicher in die Drimify-Plattform einloggen, ohne separate Passwörter erstellen zu müssen, und ihnen wird automatisch der korrekte Arbeitsbereich zugewiesen.

Dieser Leitfaden umfasst:

1. Verfügbare SSO-Protokolle
2. OAuth 2.0 Konfiguration
3. SAML 2.0 Konfiguration
4. Standardzuweisung des Arbeitsbereichs
5. Domänenverifizierung (DNS)
6. Funktionsweise der Plattformanmeldung

🚀 Verfügbare SSO-Protokolle

Sie können enterprise-sso für die Plattformanmeldung mit einem der folgenden Protokolle konfigurieren:

1️⃣ OAuth 2.0 (OpenID Connect)

Empfohlen für moderne Identity Provider. Verwendet von:

• Google
• Microsoft Entra ID
• Okta
• Benutzerdefinierte OIDC-Anbieter

OAuth 2.0 basiert auf Autorisierungsabläufen und Benutzerinfo-Endpunkten, um Benutzeridentitäten sicher abzurufen.

2️⃣ SAML 2.0

Weit verbreitet in Unternehmensumgebungen. SAML verwendet XML-basierte Authentifizierungsassertionen, die zwischen Ihrem Identity Provider und Drimify ausgetauscht werden.

Wählen Sie das Protokoll, das von Ihrem Identity Provider unterstützt wird.

⚙️ Erstellen einer neuen sso-konfiguration

Gehe zu: Admin → enterprise-sso → Neue Konfiguration

Sie müssen definieren:

• Konfigurationsname
• E-Mail-Domäne
• sso-protokoll (OAuth 2.0 oder SAML 2.0)

Nach dem Speichern ist eine Domänenverifizierung erforderlich, bevor SSO für die Plattformanmeldung aktiviert wird.

🌐 E-Mail-Domäne

Geben Sie die mit Ihrer Organisation verknüpfte Domäne ein. Beispiel: company.com

Benutzer, die sich auf der Drimify-Plattform mit @company.com anmelden, werden automatisch zu Ihrem SSO-Provider weitergeleitet.

Pro Domäne kann nur eine SSO-Konfiguration aktiv sein.

🟣 OAuth 2.0 Konfiguration

Wählen Sie OAuth 2.0 als sso-protokoll. Sie müssen zunächst eine OAuth-/OpenID Connect-Anwendung bei Ihrem Identity Provider erstellen.

🔁 Weiterleitungs-URI (erforderlich in Ihrem IdP)

Bei der Erstellung der OAuth-Anwendung konfigurieren Sie diesen Weiterleitungs-URI:

https://my.drimify.com/de/sso/callback/oauth

Diese URI muss exakt mit Ihrer IdP-Konfiguration übereinstimmen.

🔑 Client-Zugangsdaten

• Client ID — Öffentlicher Identifikator, bereitgestellt von Ihrem Identity Provider.
• Client Secret — Privater Schlüssel, der mit Ihrer OAuth-Anwendung verknüpft ist. Bewahren Sie ihn sicher auf.

🌍 OAuth-Endpunkte

🎯 Scopes

Geben Sie Scopes als durch Kommas getrennte Liste ein. Für Standard-OpenID Connect:

openid, profil, e-mail-adresse

Diese ermöglichen den Zugriff auf: eindeutige Benutzer-ID, e-mail-adresse, vorname, nachname.

👤 Attribute-Mapping

Ihr Identity Provider gibt Benutzerdaten im JSON-Format zurück. Definieren Sie, welche Felder auf die erforderlichen Werte abgebildet werden:

Diese Feldnamen müssen genau dem entsprechen, was Ihr Identity Provider zurückgibt.

---## 🔵 SAML 2.0 Konfiguration

Wählen Sie SAML 2.0 als Protokoll aus. Sie benötigen die folgenden Werte von Ihrem Identity Provider:

• Identity Provider Entity ID (Issuer URL) — individuelles Kennzeichen Ihres IdP.
• Single Sign-On Service URL — Der Endpunkt, an den Authentifizierungsanfragen gesendet werden.
• Single Logout Service URL (Optional) — Endpunkt für den Einzelabmeldevorgang.
• X509 Certificate — Öffentliches Zertifikat zur Validierung von SAML Assertions.
• Encryption X509 Certificate (Optional) — Wird verwendet, wenn Ihr Anbieter verschlüsselte Assertions benötigt.
• Requested Authentication Context (Optional) — Bestimmt die erforderliche Authentifizierungsstärke (z. B. MFA). Deaktiviert lassen, es sei denn, es ist erforderlich.

🏢 Informationen zum Service Provider

Nach dem Speichern Ihrer SAML-Konfiguration generiert Drimify Werte, die Ihr Identity Provider benötigt:

• Dienstanbieter-Entitäts-ID (Metadata URL)
• Assertion Consumer Service (ACS URL)
• Einmaliger Abmeldedienst (SLS URL)

Diese müssen in Ihrer Identity-Provider-Konfiguration hinzugefügt werden.

🏢 Standard-Workspace-Einstellungen

Enterprise-SSO erlaubt die automatische Zuweisung von Arbeitsbereichen für alle Benutzer, die sich über SSO auf der Plattform anmelden. Sie müssen definieren:

• Workspace — Alle Benutzer, die sich über dieses SSO authentifizieren, treten automatisch diesem Arbeitsbereich bei.
• Default Department — Benutzer werden dieser Abteilung zugewiesen.
• Predefined Role — Definiert die Standardberechtigungen, die neuen Benutzern beim ersten Plattform-Login über SSO zugewiesen werden.

Dies stellt sicher, dass die Zugriffskontrolle bereits beim ersten Plattform-Login korrekt ist.

🌍 Domain-Verifizierung (DNS erforderlich)

Nach dem Speichern Ihrer SSO-Konfiguration ist die Domain-Verifizierung zwingend, bevor SSO für die Plattform-Anmeldung aktiviert werden kann.

Um den Besitz zu verifizieren:

1. Ein DNS TXT Eintrag wird generiert.
2. Fügen Sie den TXT Eintrag zu den DNS-Einstellungen Ihrer Domain hinzu.
3. Klicken Sie auf „Verify Domain“ innerhalb der Plattform.

Beispiel Eintrag:

Typ: TXT

Host: company.com

Wert: drimify-domain-verification=xxxxxxxxxxxxxxxx

Die DNS-Propagation kann bis zu 48 Stunden dauern. SSO kann nicht aktiviert werden, bevor die Verifizierung erfolgreich ist.

🔁 Wie funktioniert die Plattform-Anmeldung?

1. Benutzer navigiert zur Drimify-Plattform und gibt seine E-Mail-Adresse ein.
2. Wenn die Domain mit einem konfigurierten SSO übereinstimmt, wird der Benutzer automatisch zu Ihrem Identity Provider weitergeleitet.
3. Nach erfolgreicher Authentifizierung wird er zurück zu Drimify geleitet.
4. Falls neu, wird sein Plattformkonto automatisch erstellt und dem konfigurierten Arbeitsbereich und der Rolle zugewiesen.

🧪 Testen Ihres SSO

Vor der Freigabe für alle Benutzer:

• Testen Sie mit einem Benutzer aus Ihrer Domain
• Bestätigen Sie, dass das E-Mail-Adress-Mapping korrekt funktioniert
• Verifizieren Sie, dass Vor- und Nachname korrekt ausgefüllt werden
• Testen Sie das Abmeldeverhalten
• Stellen Sie sicher, dass die Weiterleitungs-URI exakt übereinstimmt

❗ Häufige Probleme

Die SSO-Antwort enthielt keine E-Mail-Adresse

→ Stellen Sie sicher, dass der E-Mail-Adressbereich enthalten ist (OAuth) oder das E-Mail-Attribut gemappt ist (SAML).

Ungültige Redirect-URI

→ Bestätigen Sie, dass sie genau übereinstimmt: https://my.drimify.com/de/sso/callback/oauth

Domain nicht verifiziert

→ Stellen Sie sicher, dass der DNS TXT Eintrag korrekt hinzugefügt und vollständig verbreitet wurde.

🔐 Sicherheitsempfehlungen

• Geben Sie niemals Ihr Client Secret preis.
• Verwenden Sie ausschließlich HTTPS-Endpunkte.
• Beschränken Sie Ihre IdP-Anwendung auf Ihre Organisation.
• Wechseln Sie regelmäßig, wenn möglich, die Anmeldeinformationen.

Ihr Enterprise-SSO für die Plattform-Anmeldung ist vollständig funktionsfähig, sobald die Konfiguration gespeichert, die Domain verifiziert und SSO aktiviert ist.

Aktualisiert am: 07/05/2026