> ## Knowledge Base Index
> Fetch the complete knowledge base index at: https://help.drimify.com/sitemap.xml
> Use this file to discover available pages before exploring further.
> Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash).

# Single Sign-On (SSO) - Anwendungsinformationen

# Aktivierung von Single Sign-On (SSO)

Um Single Sign-On (SSO) zu aktivieren, befolgen Sie diese Schritte:
1. Finden Sie den SSO Umschalt-Schalter am unteren Rand der **Veröffentlichen**-Seite Ihres Spiels.
2. Schalten Sie den Schalter auf **SSO aktivieren** für das Spiel.

||| **Wichtig:** Die SSO-Konfiguration kann nur über den Direktlink zu Ihrer Anwendung getestet werden. Die SSO-Funktionalität funktioniert nicht im Vorschau-Modus.

## SSO-Konfigurationsoptionen

Beim Aktivieren von SSO stehen Ihnen drei Konfigurationsoptionen zur Verfügung:
### 1. Verwendung der geerbten SSO-Konfiguration
Wenn Sie SSO aktivieren, es aber **nicht manuell konfigurieren** und "Verwenden Sie Arbeitsbereich- oder Benutzerkonfiguration" auswählen:
* Das System verwendet die **SSO-Konfiguration, die auf Arbeitsbereichsebene definiert ist**.
* Wenn auf Arbeitsbereichsebene keine Konfiguration vorhanden ist, wird **auf die Benutzerkonfiguration zurückgegriffen**.
Dies ermöglicht Ihnen, SSO-Einstellungen zentral zu verwalten, ohne sie für jedes Spiel separat konfigurieren zu müssen.
||| ✅ Empfohlen, wenn Sie dieselbe SSO-Konfiguration für mehrere spiele übernehmen möchten.

### 2. Konfiguration von SAML-basiertem SSO

Wenn Sie sich entscheiden, **SAML** manuell zu konfigurieren, befolgen Sie diese Schritte:

#### Service Provider Details (Diese werden von Drimify bereitgestellt)

* **Service Provider Entity ID** – Individuelle Kennung für Ihr Spiel als Serviceanbieter.
* **Assertion Consumer Service (ACS) URL** – URL, an die der IdP SAML Assertions sendet.
* **Single Logout Service (SLS) URL** – URL, die verwendet wird, um Single-Logout-Anfragen vom IdP zu verwalten.

||| Diese Werte werden generiert, sobald Sie SSO bei Ihrer Erfahrung aktivieren — **es ist kein Vertrag oder bezahltes Abonnement erforderlich**, um sie abzurufen. Wenn Sie sich in einer Beschaffungs- oder IT-Setup-Phase befinden und diese Werte vor Vertragsunterzeichnung benötigen, erstellen Sie einfach ein kostenloses Drimify-Konto, bauen Sie ein Entwurfserlebnis auf, aktivieren Sie SSO, und die Entity ID, ACS URL und SLS URL erscheinen sofort. Sie können diese dann mit Ihrem IT-Team teilen, um Ihr IdP parallel zu den Vertragsverhandlungen zu konfigurieren.

#### Identity Provider Details (Diese müssen Sie von Ihrem IdP einholen)

* **Identity Provider Entity ID (Issuer URL)** – z.B.: `https://idp.example.com/`
* **Single Sign-On Service URL** – z.B.: `https://idp.example.com/sso/saml`
* **Single Logout Service URL** – z.B.: `https://idp.example.com/slo/saml`
* **X.509-Zertifikat** – Erforderlich zur Überprüfung und Sicherung der Kommunikation.
* **Verschlüsselung X.509-Zertifikat (Optional)** – Zum Verschlüsseln von SAML-Assertions.### Konfiguration der Authentifizierungsmethode (Optional)

Bei der Einrichtung des **Single Sign-On (SSO)** in Ihrem Drimify-Konto können Sie die **Authentifizierungsmethode** (`authenticationMethod`) festlegen. Diese spezifiziert, wie Benutzer sich beim Identity Provider (IdP) authentifizieren. Diese Einstellung ermöglicht es Ihnen, ein bestimmtes Authentifizierungsniveau durchzusetzen, um die Sicherheitsrichtlinien Ihrer Organisation zu gewährleisten.

Sie können aus den folgenden Authentifizierungsmethoden wählen:

* **Option deaktivieren** – Entfernt diese Einstellung aus der SSO-Konfiguration, sodass keine spezifische Authentifizierungsmethode erzwungen wird.
* **Keine (IdP entscheiden lassen)** – Es wird keine spezifische Authentifizierungsmethode erzwungen; der IdP bestimmt den Authentifizierungsmechanismus.
* **Passwort-Authentifizierung** – Standard-Authentifizierung mit Benutzername und Passwort.
* **Passwortgeschützter Transport** – Passwort-Authentifizierung über eine geschützte Transportschicht (z.B. TLS).
* **X.509-Zertifikatsauthentifizierung** – Authentifizierung mit einem X.509-Zertifikat.
* **PKI-Authentifizierung** – Authentifizierung basierend auf Public Key Infrastructure (PKI).
* **Kerberos-Authentifizierung** – Authentifizierung mit einem Kerberos-Ticket.
* **Smartcard-Authentifizierung** – Anmeldung mit einer Smartcard.
* **Smartcard-PKI-Authentifizierung** – Smartcard-Authentifizierung mit PKI.
* **Zeit-synchronisierter Token** – Einmalpasswort (OTP), generiert durch zeit-synchronisierte Tokens.
* **Mobile Einzelfaktor-/Zweifaktor-Authentifizierung** – Authentifizierung über ein mobiles Gerät, entweder mit einer Einzelfaktor- oder Zweifaktormethode.
* **IP-Adressen-Authentifizierung** – Authentifizierung der Benutzer basierend auf ihrer IP-Adresse.
* **IP-Adresse mit Passwort** – Erfordert sowohl eine IP-basierte Authentifizierung als auch ein Passwort.
* **Authentifizierung der vorherigen Sitzung** – Wiederverwendung einer zuvor authentifizierten Sitzung.
* **Nicht spezifizierte Authentifizierung** – Keine spezifische Authentifizierungsmethode ist definiert.

Um dies in Ihrem Formular zu konfigurieren, wählen Sie einfach die gewünschte Methode aus dem Dropdown-Menü aus. Wenn keine Methode explizit festgelegt wird, entscheidet der IdP über die Art der Authentifizierung.

||| Bei Unsicherheit verwenden Sie **Keine**, um den IdP die Authentifizierungsmethode bestimmen zu lassen.

### 3. OAuth-basiertes SSO konfigurieren

Alternativ können Sie **OAuth** anstelle von SAML zur Authentifizierung verwenden.

#### oauth-anbieter Optionen

Sie können eine der folgenden auswählen:
* **Keycloak**
* **Custom**

##### Wenn Sie **Keycloak** verwenden, benötigen Sie:

* **Client ID**
* **Client Secret**
* **Keycloak-Server-URL**
* **Keycloak-Raum**
* **Keycloak-Version**

##### Wenn Sie einen **benutzerdefinierten OAuth-Anbieter** verwenden, benötigen Sie:

* **Client ID**
* **Client Secret**
* **Autorisierungs-URL**
* **Zugriffstoken-URL**
* **Ressourcen-Besitzer-URL**
* **Scopes** (z.B. `openid profil email`)
* **ID-Feld** (z.B. `sub`)
* **E-Mail-Feld** (z.B. `email`)
* **Feld für den Vornamen** (z.B. `given_name`)
* **Feld für den Nachnamen** (z.B. `family_name`)

## Schritt-für-Schritt Übersicht

1. **SSO aktivieren**: Schalten Sie den SSO-Schalter im Veröffentlichungsabschnitt des Spiels um.
2. **Konfigurationsmethode wählen**:

* Verwenden Sie die geerbte Arbeitsplatz-/Benutzerkonfiguration oder
* Konfigurieren Sie SAML oder OAuth manuell.

3. **Service-Provider-Details abrufen** (wenn SAML verwendet wird).
4. **Identity Provider oder oauth-anbieter Einstellungen eingeben**.
5. **Konfiguration speichern und testen** mit dem **direkten Anwendungslink** (nicht im Vorschaumodus).

## Wichtige Hinweise

* 🔐 **Planvoraussetzung**: Stellen Sie sicher, dass Ihr Abonnement die Premium-SSO-Option enthält.
* 🔗 **Direkte Link-Testung**: SSO funktioniert nur über den direkten App-Link, nicht im Vorschaumodus.
* 🔧 **SSO Spiel-Detail-Einrichtung**: Stellen Sie sicher, dass Ihre SSO-Plattform Anfragen von Drimify akzeptiert.
* 📋 **Referenzhandbuch**: Siehe den [SSO Konfigurationsleitfaden](/de/article/einmalanmeldung-sso-hauptkonfiguration-8x5vbj/) für detaillierte Hilfe.

## Tipps zur Fehlerbehebung### 🛡️ SAML-Spezifische Probleme
* **Falsche ACS-URL oder Entity ID**
Überprüfen Sie sorgfältig, ob die **Assertion Consumer Service (ACS) URL** und die **Entity ID** in Ihrem Identity Provider (IdP) mit den Angaben in Ihrer Drimify SSO-Konfiguration übereinstimmen.
* **Ungültiges oder Abgelaufenes X.509-Zertifikat**
Stellen Sie sicher, dass das in Ihrer Konfiguration eingetragene X.509-Zertifikat gültig ist und nicht abgelaufen ist. Bei Änderungen sollten Sie es in der Konfiguration aktualisieren.
* **Nicht unterstützte Authentifizierungsmethode**
Falls eine spezielle Authentifizierungsmethode (wie `Smartcard` oder `Kerberos`) erzwungen wird und der Login fehlschlägt, versuchen Sie, die Methode auf **"None"** zu setzen, um dem IdP die Entscheidung zu überlassen.
* **SAML-Assertionen werden nicht akzeptiert**
Stellen Sie sicher, dass Ihr IdP die Assertion im korrekten Format (typischerweise `urn:oasis:names:tc:SAML:2.0:assertion`) sendet und dass die erwarteten Benutzerfelder (z.B. E-Mail) enthalten sind.

### 🔐 OAuth-Spezifische Probleme
* **Ungültige Client ID oder Secret**
Vergewissern Sie sich, dass Ihre **Client ID** und Ihr **Client Secret** korrekt aus dem Dashboard Ihres OAuth-Anbieters übernommen wurden. Ein ungültiges Paar verhindert die Authentifizierung.
* **Falsche URLs (Authorization / Token / Benutzerinformationen)**
Bestätigen Sie, dass die **Authorization URL**, **Access Token URL** und **Ressourcen-Eigentümer (User Info) URL** korrekt und öffentlich zugänglich sind. Tippfehler oder falsche Umgebungen (z.B. dev vs. prod) sind häufige Ursachen.
* **Fehlender oder Falscher Scope**
Stellen Sie sicher, dass Sie den korrekten **Scope(s)** angegeben haben, der erforderlich ist, um Benutzerinformationen abzurufen (z.B. `openid email profile`). Fehlende Scopes können unvollständige Benutzerdaten verursachen.
* **Fehlende oder Falsch benannte Felder**
Wenn Benutzer nicht korrekt identifiziert werden, überprüfen Sie, ob Ihre **ID-Feld**, **Email-Feld**, **Vorname** und **Nachname-Feld** Namen mit der vom OAuth-Anbieter zurückgegebenen Struktur übereinstimmen.

### 🚨 Allgemeine Probleme (Sowohl SAML als auch OAuth)
* **SSO funktioniert in der Vorschau, aber nicht im Direktlink (oder umgekehrt)**
SSO **funktioniert nur im Live-Anwendungslink**, nicht in der Vorschau. Testen Sie immer mit dem direkten App-Link.
* **SSO wird nicht ausgelöst**
Stellen Sie sicher:
    * SSO ist für das Spiel aktiviert.
    * Ihr Tarif beinhaltet die **Premium SSO**-Option.
    * Ihr SSO-Anbieter akzeptiert Anfragen von Drimifys Servern.
* **Fallback-Konfiguration funktioniert nicht**
Wenn Sie sich auf die Arbeitsbereichs- oder Benutzerebene-Konfiguration verlassen, stellen Sie sicher, dass diese korrekt eingerichtet und aktiv ist. Andernfalls konfigurieren Sie SAML oder OAuth direkt in der App.
* **App erhält nicht die richtige Benutzeridentität**
Überprüfen Sie, dass Ihr IdP (SAML) oder OAuth-Anbieter eine konsistente, eindeutige Benutzer-ID, E-Mail-Adresse oder einen Identifikator zurückgibt, der mit dem in Ihrer App konfigurierten übereinstimmt.