> ## Knowledge Base Index > Fetch the complete knowledge base index at: https://help.drimify.com/sitemap.xml > Use this file to discover available pages before exploring further. > Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash). # enterprise-sso - Einrichtung # 🔐 enterprise-sso – Vollständiger Konfigurationsleitfaden Enterprise Single Sign-On (SSO) ermöglicht es Ihrer Organisation, Benutzer auf der **Drimify-Plattform** über Ihren bestehenden Identity Provider (IdP) zu authentifizieren. Dies unterscheidet sich von anderen SSO- oder Authentifizierungsmechanismen, die innerhalb von spiele oder Erlebnissen erstellt wurden, die auf Drimify basieren. Benutzer mit Ihrer Unternehmensdomäne können sicher **in die Drimify-Plattform einloggen**, ohne separate Passwörter erstellen zu müssen, und ihnen wird automatisch der korrekte Arbeitsbereich zugewiesen. ||| Hinweis: Dieser Leitfaden behandelt ausschließlich den Plattformzugang über SSO. Wenn Sie die Authentifizierung innerhalb eines Spiels oder einer Erfahrung (z.B. Zugang zu Spielinhalten hinter einem Login) konfigurieren möchten, wird dies auf der Erfahrungsebene separat behandelt. Dieser Leitfaden umfasst: 1. Verfügbare SSO-Protokolle 2. OAuth 2.0 Konfiguration 3. SAML 2.0 Konfiguration 4. Standardzuweisung des Arbeitsbereichs 5. Domänenverifizierung (DNS) 6. Funktionsweise der Plattformanmeldung --- ## 🚀 Verfügbare SSO-Protokolle Sie können enterprise-sso für die Plattformanmeldung mit einem der folgenden Protokolle konfigurieren: ### 1️⃣ OAuth 2.0 (OpenID Connect) Empfohlen für moderne Identity Provider. Verwendet von: * Google * Microsoft Entra ID * Okta * Benutzerdefinierte OIDC-Anbieter OAuth 2.0 basiert auf Autorisierungsabläufen und Benutzerinfo-Endpunkten, um Benutzeridentitäten sicher abzurufen. ### 2️⃣ SAML 2.0 Weit verbreitet in Unternehmensumgebungen. SAML verwendet XML-basierte Authentifizierungsassertionen, die zwischen Ihrem Identity Provider und Drimify ausgetauscht werden. Wählen Sie das Protokoll, das von Ihrem Identity Provider unterstützt wird. --- ## ⚙️ Erstellen einer neuen sso-konfiguration Gehe zu: **Admin → enterprise-sso → Neue Konfiguration** Sie müssen definieren: * Konfigurationsname * E-Mail-Domäne * sso-protokoll (OAuth 2.0 oder SAML 2.0) Nach dem Speichern ist eine Domänenverifizierung erforderlich, bevor SSO für die Plattformanmeldung aktiviert wird. --- ## 🌐 E-Mail-Domäne Geben Sie die mit Ihrer Organisation verknüpfte Domäne ein. Beispiel: [company.com](https://company.com/) Benutzer, die sich **auf der Drimify-Plattform** mit `@company.com` anmelden, werden automatisch zu Ihrem SSO-Provider weitergeleitet. Pro Domäne kann nur eine SSO-Konfiguration aktiv sein. --- ## 🟣 OAuth 2.0 Konfiguration Wählen Sie **OAuth 2.0** als sso-protokoll. Sie müssen zunächst eine OAuth-/OpenID Connect-Anwendung bei Ihrem Identity Provider erstellen. ### 🔁 Weiterleitungs-URI (erforderlich in Ihrem IdP) Bei der Erstellung der OAuth-Anwendung konfigurieren Sie diesen Weiterleitungs-URI: [__https://my.drimify.com/de/sso/callback/oauth__](https://my.drimify.com/de/sso/callback/oauth) Diese URI muss exakt mit Ihrer IdP-Konfiguration übereinstimmen. ### 🔑 Client-Zugangsdaten * **Client ID** — Öffentlicher Identifikator, bereitgestellt von Ihrem Identity Provider. * **Client Secret** — Privater Schlüssel, der mit Ihrer OAuth-Anwendung verknüpft ist. Bewahren Sie ihn sicher auf. ### 🌍 OAuth-Endpunkte | Endpunkt | Beschreibung | Beispiel | | ---- | | Autorisierungs-URL | Wohin Benutzer zur Anmeldung weitergeleitet werden | [https://example.com/oauth/connect](https://example.com/oauth/connect) | | Zugriffs-Token-URL | Tauscht den Auth-Code gegen ein Zugriffs-Token | [https://example.com/oauth/token](https://example.com/oauth/token) | | Ressourcen-Eigentümer-URL | Gibt die Benutzeridentität nach der Authentifizierung zurück | [https://example.com/oauth/userinfo](https://example.com/oauth/userinfo) | ### 🎯 Scopes Geben Sie Scopes als durch Kommas getrennte Liste ein. Für Standard-OpenID Connect: openid, profil, e-mail-adresse Diese ermöglichen den Zugriff auf: eindeutige Benutzer-ID, e-mail-adresse, vorname, nachname. ### 👤 Attribute-Mapping Ihr Identity Provider gibt Benutzerdaten im JSON-Format zurück. Definieren Sie, welche Felder auf die erforderlichen Werte abgebildet werden: | Feld | Beispielwert | | ---- | | ID-Feld | `sub` | | E-Mail-Feld | `email` | | Vorname-Feld | `given_name` | | Nachname-Feld | `family_name` | Diese Feldnamen müssen genau dem entsprechen, was Ihr Identity Provider zurückgibt. ---## 🔵 SAML 2.0 Konfiguration Wählen Sie **SAML 2.0** als Protokoll aus. Sie benötigen die folgenden Werte von Ihrem Identity Provider: * **Identity Provider Entity ID (Issuer URL)** — individuelles Kennzeichen Ihres IdP. * **Single Sign-On Service URL** — Der Endpunkt, an den Authentifizierungsanfragen gesendet werden. * **Single Logout Service URL** *(Optional)* — Endpunkt für den Einzelabmeldevorgang. * **X509 Certificate** — Öffentliches Zertifikat zur Validierung von SAML Assertions. * **Encryption X509 Certificate** *(Optional)* — Wird verwendet, wenn Ihr Anbieter verschlüsselte Assertions benötigt. * **Requested Authentication Context** *(Optional)* — Bestimmt die erforderliche Authentifizierungsstärke (z. B. MFA). Deaktiviert lassen, es sei denn, es ist erforderlich. ### 🏢 Informationen zum Service Provider Nach dem Speichern Ihrer SAML-Konfiguration generiert Drimify Werte, die Ihr Identity Provider benötigt: * Dienstanbieter-Entitäts-ID (Metadata URL) * Assertion Consumer Service (ACS URL) * Einmaliger Abmeldedienst (SLS URL) Diese müssen in Ihrer Identity-Provider-Konfiguration hinzugefügt werden. --- ## 🏢 Standard-Workspace-Einstellungen Enterprise-SSO erlaubt die automatische Zuweisung von Arbeitsbereichen für alle Benutzer, die sich über SSO auf der Plattform anmelden. Sie müssen definieren: * **Workspace** — Alle Benutzer, die sich über dieses SSO authentifizieren, treten automatisch diesem Arbeitsbereich bei. * **Default Department** — Benutzer werden dieser Abteilung zugewiesen. * **Predefined Role** — Definiert die Standardberechtigungen, die neuen Benutzern beim ersten Plattform-Login über SSO zugewiesen werden. Dies stellt sicher, dass die Zugriffskontrolle bereits beim ersten Plattform-Login korrekt ist. --- ## 🌍 Domain-Verifizierung (DNS erforderlich) Nach dem Speichern Ihrer SSO-Konfiguration ist die Domain-Verifizierung zwingend, bevor SSO für die Plattform-Anmeldung aktiviert werden kann. Um den Besitz zu verifizieren: 1. Ein DNS TXT Eintrag wird generiert. 2. Fügen Sie den TXT Eintrag zu den DNS-Einstellungen Ihrer Domain hinzu. 3. Klicken Sie auf **„Verify Domain“** innerhalb der Plattform. Beispiel Eintrag: Typ: TXT Host: [__company.com__](https://company.com/) Wert: drimify-domain-verification=xxxxxxxxxxxxxxxx Die DNS-Propagation kann **bis zu 48 Stunden** dauern. SSO kann nicht aktiviert werden, bevor die Verifizierung erfolgreich ist. --- ## 🔁 Wie funktioniert die Plattform-Anmeldung? 1. Benutzer navigiert zur Drimify-Plattform und gibt seine E-Mail-Adresse ein. 2. Wenn die Domain mit einem konfigurierten SSO übereinstimmt, wird der Benutzer automatisch zu Ihrem Identity Provider weitergeleitet. 3. Nach erfolgreicher Authentifizierung wird er zurück zu Drimify geleitet. 4. Falls neu, wird sein **Plattformkonto** automatisch erstellt und dem konfigurierten Arbeitsbereich und der Rolle zugewiesen. --- ## 🧪 Testen Ihres SSO Vor der Freigabe für alle Benutzer: * Testen Sie mit einem Benutzer aus Ihrer Domain * Bestätigen Sie, dass das E-Mail-Adress-Mapping korrekt funktioniert * Verifizieren Sie, dass Vor- und Nachname korrekt ausgefüllt werden * Testen Sie das Abmeldeverhalten * Stellen Sie sicher, dass die Weiterleitungs-URI exakt übereinstimmt --- ## ❗ Häufige Probleme **Die SSO-Antwort enthielt keine E-Mail-Adresse** → Stellen Sie sicher, dass der E-Mail-Adressbereich enthalten ist (OAuth) oder das E-Mail-Attribut gemappt ist (SAML). **Ungültige Redirect-URI** → Bestätigen Sie, dass sie genau übereinstimmt: [`https://my.drimify.com/de/sso/callback/oauth`](https://my.drimify.com/de/sso/callback/oauth) **Domain nicht verifiziert** → Stellen Sie sicher, dass der DNS TXT Eintrag korrekt hinzugefügt und vollständig verbreitet wurde. --- ## 🔐 Sicherheitsempfehlungen * Geben Sie niemals Ihr Client Secret preis. * Verwenden Sie ausschließlich HTTPS-Endpunkte. * Beschränken Sie Ihre IdP-Anwendung auf Ihre Organisation. * Wechseln Sie regelmäßig, wenn möglich, die Anmeldeinformationen. --- Ihr Enterprise-SSO für die Plattform-Anmeldung ist vollständig funktionsfähig, sobald die Konfiguration gespeichert, die Domain verifiziert und SSO aktiviert ist.