Single Sign-On (SSO)
Single Sign-On ermöglicht deinem Team, sich bei laiout mit dem Identitätsanbieter deines Unternehmens anzumelden (zum Beispiel Okta, Microsoft Entra oder Google). So musst du kein separates Passwort verwalten.
Erste Schritte
Was ist Single Sign-On in laiout?
Single Sign-On ermöglicht deinem Team, sich bei laiout über den Identitätsanbieter deines Unternehmens anzumelden, zum Beispiel Okta, Microsoft Entra oder Google, ohne dass ein separates Passwort nötig ist.
Was brauche ich, um SSO einzurichten?
Du brauchst Admin- oder Manager-Zugriff auf deine Organisation in laiout, Admin-Zugriff auf deinen Identitätsanbieter (oder Hilfe von deinem IT-Team) und etwa 10 Minuten.
Wo finde ich die SSO-Einstellungen?
Öffne deine Organisation in laiout, klicke in der linken Seitenleiste auf den Avatar deiner Organisation, um das Organisations-Panel zu öffnen, klicke dann unten auf dein Benutzermenü und wähle Single Sign On (SSO).
Die App in deinem Identitätsanbieter erstellen
Wie erstelle ich eine laiout-App in meinem Identitätsanbieter?
Erstelle in deinem Identitätsanbieter eine neue App für laiout und folge dann dem Abschnitt unten, der zu dem Protokoll passt, das du verwendest (SAML oder OIDC). Die Werte, die du brauchst, werden auch oben im SSO-Fenster in laiout angezeigt. laiout gleicht Personen über ihre E-Mail-Adresse ab, daher muss die App beim Anmelden die E-Mail des Benutzers enthalten. Anmeldungen ohne E-Mail werden abgelehnt. Weise die App nach dem Erstellen den Personen zu, die Zugriff auf laiout haben sollen.
Welche Werte verwende ich für einen SAML-Identitätsanbieter?
Erstelle die App mit diesen Werten:
ACS / Reply URL
https://laiout.app/api/oauth/saml
Audience / Entity ID
https://saml.laiout.co
Füge dann ein Attribut hinzu, damit die App die E-Mail des Benutzers sendet. Dein Identitätsanbieter nennt das vielleicht eine Attributanweisung, ein Attribut-Mapping oder einen Claim:
Die E-Mail-Adresse des Benutzers
Wenn es einfacher ist, kannst du stattdessen das Name-ID-Format der App auf EmailAddress setzen. Optional kannst du auch die Attribute firstName und lastName hinzufügen.
Welche Werte verwende ich für einen OpenID Connect (OIDC)-Identitätsanbieter?
Erstelle die App mit diesen Werten:
Redirect URL
https://laiout.app/api/oauth/oidc
Die App muss eine vertrauliche Web-App sein und den standardmäßigen email claim zurückgeben.
SSO in laiout verbinden
Wie verbinde ich SSO, sobald die App erstellt ist?
Zurück im laiout SSO-Fenster gib unter Email domains die E-Mail-Domain oder Domains deines Unternehmens ein (zum Beispiel acme.com) und drücke nach jeder Eingabe Enter. Wähle dann dein Protokoll, SAML oder OIDC. Für SAML fügst du die komplette Metadata-XML aus der gerade erstellten App ein. Für OIDC gibst du die Issuer URL, die Client ID und das Client Secret aus deiner App ein. Klicke zum Schluss auf Enable SSO. SSO ist sofort aktiv.
Meine SAML-Metadaten werden abgelehnt. Was ist falsch?
Füge die komplette Metadatendatei ein, beginnend mit der Deklaration in der ersten Zeile. Metadaten ohne sie werden abgelehnt.
Wie teste ich, ob SSO funktioniert?
Öffne die laiout-Login-Seite und klicke auf Single Sign On, gib deine Arbeits-E-Mail ein und klicke auf Proceed. Du wirst zur Anmeldeseite deines Unternehmens weitergeleitet und nach dem Anmelden zurück zu laiout gebracht.
SSO verwalten
Kann ich verlangen, dass sich mein Team mit SSO anmeldet?
Ja. Sobald SSO funktioniert, kannst du im selben Fenster Require SSO on Login aktivieren. Teammitglieder müssen sich dann über SSO statt mit einem Passwort anmelden. Organisations-Admins und Manager behalten den Passwortzugang als Backup.
Gibt SSO Personen Zugriff auf meine Organisation?
Nein. SSO regelt die Anmeldung, nicht den Zugriff. Teammitglieder müssen trotzdem in deine laiout-Organisation eingeladen werden, bevor sie sich anmelden können.
Kann ich pro Organisation mehr als eine SSO-Verbindung haben?
Nein. Es gibt nur eine SSO-Verbindung pro Organisation, und beim erneuten Speichern wird die vorherige Einrichtung ersetzt.
Wie bearbeite ich meine SSO-Einrichtung, ohne alles neu einzugeben?
Dein Client Secret und deine Metadaten werden sicher gespeichert und nie wieder angezeigt. Lass diese Felder beim Bearbeiten leer, damit die aktuellen Werte erhalten bleiben.
Zuletzt aktualisiert