Richtlinien und Single Sign-on

Die policyRichtlinien der Organisation legen Regeln fest, die für alle gelten, die Sie aufnehmen. vpn_keySingle Sign-on lässt Ihre Mitarbeiter sich mit dem Konto anmelden, das Ihr Unternehmen ihnen bereits gibt, und automatisch der Organisation beitreten.

Beides befindet sich im Enterprise-Bereich: businessUnternehmen > policyRichtlinien und vpn_keySingle Sign-on.

Die Richtlinien der Organisation#

Ändern Sie eine der folgenden Optionen und klicken Sie dann oben auf der Seite auf saveSpeichern. Eine neue Standardrolle gilt für Personen, die ab dann beitreten; die Rolle bestehender Mitglieder ändert sie nicht.

Zulässige E-Mail-Domains#

Nur Personen mit diesen E-Mail-Domains können eingeladen oder verknüpft werden. Leer lassen, um alle Domains zu erlauben.

1. Geben Sie unter Erlaubte E-Mail-Domains in Domain hinzufügen eine Domain ein, zum Beispiel acme.com. Geben Sie nur die Domain ein, keine E-Mail-Adresse und keine Webadresse.
2. Klicken Sie auf addHinzufügen (oder drücken Sie Enter). Die Domain erscheint als Chip.
3. Klicken Sie auf saveSpeichern.

Klicken Sie auf einem Chip auf close, um diese Domain zu entfernen. Stehen keine Domains in der Liste, zeigt die Seite „Keine Einschränkung — jede E-Mail-Domain kann eingeladen werden.“

Ist die Liste gesetzt, wird eine Einladung an jede andere Domain abgelehnt, sowohl auf der Seite groupBenutzer als auch vom Server, ebenso eine Beitrittsanfrage an ein bestehendes Konto. Mitglieder können auch ihre eigene Anmeldeadresse nicht in eine Adresse einer anderen Domain ändern.

Standardwerte#

• Standardrolle für neue Mitglieder: die Rolle, die alle erhalten, die beitreten: eingeladene Personen, bestehende Konten, die eine Beitrittsanfrage annehmen, Personen, die über Single Sign-on kommen, und Mitglieder, die über die API angelegt werden. Anfangs ist es Mitglied. Nur der Eigentümer kann Administrator daraus machen. Siehe Rollen.
• Mitglieder als inaktiv markieren nach (Tagen): Ein Mitglied, das sich länger nicht angemeldet hat, wird auf der Seite groupBenutzer als inaktiv gezählt, ein Hinweis, dass sein Platz an jemand anderen gehen könnte. Jede Zahl von 1 bis 3650; der Anfangswert ist 60.

Schutzmaßnahmen#

• Projektübertragung verlangen, bevor ein Mitglied sein Konto schließt: Mitglieder können ihr eigenes Konto nicht löschen, solange sie noch Projekte besitzen. Wenn Sie ein Mitglied löschen, bleiben seine Projekte immer in der Organisation. Ist die Option eingeschaltet, zeigt ein Klick auf delete_foreverBenutzer löschen bei einem Mitglied, dem Projekte gehören, Zuerst Projekte übertragen und bietet stattdessen Projekte übertragen an. Das Löschen mehrerer Mitglieder auf einmal wird genauso gestoppt, wenn einem von ihnen Projekte gehören. Siehe Die Projekte eines Mitglieds übertragen.

Single Sign-on#

Mit Single Sign-on melden sich Ihre Mitarbeiter bei Measure Map Online mit dem Konto an, das Ihr Unternehmen ihnen bereits gibt (Microsoft, Okta, Google und andere): über den Identitätsanbieter Ihres Unternehmens, mit SAML oder OpenID Connect (OIDC). Alle aus Ihrem Unternehmen, die sich darüber anmelden, werden automatisch Mitglieder Ihrer Organisation.

Sie beantragen es auf der Seite vpn_keySingle Sign-on: Sie zeigt, was Sie bei Ihrem Identitätsanbieter eintragen und was Sie uns senden. Wir prüfen die Anfrage und schalten Single Sign-on ein. Die Anfrage senden können der Eigentümer der Organisation und ihre Administratoren.

So funktioniert es#

1. Sie senden uns unten die Angaben Ihres Identitätsanbieters und die E-Mail-Domains Ihres Teams.
2. Wir prüfen sie und schalten Single Sign-on ein. Sie erhalten eine E-Mail, und diese Seite zeigt den Anmeldelink.
3. Ihr Team meldet sich mit dem Firmenkonto an. Neue Personen treten Ihrer Organisation bei und erscheinen unter Benutzer, wo Sie ihre Rolle festlegen.

Was Sie vorher brauchen#

• Administratorzugang zu Ihrem Identitätsanbieter, etwa zum Microsoft Entra Admin Center, zur Okta Admin Console oder zur Google Admin-Konsole, oder jemanden in Ihrer IT, der ihn hat. Dort fügen Sie Measure Map Online als Anwendung hinzu.
• Alle E-Mail-Domains Ihres Teams, zum Beispiel acme.com und acme.co.uk. Nur Personen mit einer Adresse in diesen Domains können über Single Sign-on beitreten.
• Einen technischen Ansprechpartner: Name und E-Mail-Adresse der Person, die wir zur Verbindung fragen können.
• Drei Angaben Ihres Identitätsanbieters, die Sie kopieren, sobald Measure Map Online dort hinzugefügt ist (Schritt 1 unten):
  • mit SAML: Single-Sign-on-URL (Anmelde-URL), Entity ID des Identitätsanbieters (Issuer) und Signaturzertifikat;
  • mit OpenID Connect: Issuer-URL, Client-ID und Client-Secret.

Schritt 1: Measure Map Online bei Ihrem Identitätsanbieter hinzufügen#

1. Öffnen Sie businessUnternehmen > vpn_keySingle Sign-on.

2. Wählen Sie unter Protokoll die Option SAML 2.0, die die Seite empfiehlt, oder OpenID Connect, wenn Ihre IT das bevorzugt.

3. Wählen Sie unter Identitätsanbieter Ihren Anbieter: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud oder Anderer Anbieter.

4. Unter Diese Werte bei Ihrem Identitätsanbieter eintragen stehen die Werte von Measure Map Online. Kopieren Sie jeden Wert mit content_copy von der Seite, statt ihn abzutippen.

   Mit SAML:

   • Bezeichner (Entity ID): https://app.measuremaponline.com
   • Antwort-URL (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Die E-Mail-Adresse der Person
   • Attribute: email (Pflicht); Vor- und Nachname oder Anzeigename (optional)

   Mit OpenID Connect:

   • Weiterleitungs-URI: https://measuremaponline.com/__/auth/handler
   • Scopes: openid email profile

5. Darunter zeigt die Seite die Schritte für den gewählten Anbieter. Sie stehen auch hier, zusammen damit, wo Sie jede Angabe für Schritt 2 finden.

Wo Sie es bei Ihrem Identitätsanbieter finden#

Microsoft Entra ID, Okta und Google Workspace haben eigene Schritte. Für OneLogin, JumpCloud und andere Anbieter gelten die allgemeinen.

Microsoft Entra ID, mit SAML#

1. Öffnen Sie im Microsoft Entra Admin Center Unternehmensanwendungen > Neue Anwendung > Eigene Anwendung erstellen. Nennen Sie sie „Measure Map Online“ und wählen Sie die Integration einer Anwendung, die nicht im Katalog ist.
2. Öffnen Sie in der neuen Anwendung Einmaliges Anmelden und wählen Sie SAML. Tragen Sie unter SAML-Basiskonfiguration Bezeichner (Entity ID) und Antwort-URL (ACS URL) ein.
3. Setzen Sie unter Attribute und Ansprüche den eindeutigen Benutzerbezeichner (Name ID) auf user.mail und behalten Sie den E-Mail-Anspruch.
4. Weisen Sie unter Benutzer und Gruppen die Personen oder Gruppen zu, die sich anmelden sollen.
5. Kopieren Sie, zurück unter Einmaliges Anmelden, die drei Angaben:
   • Single-Sign-on-URL (Anmelde-URL): die Anmelde-URL unter „Measure Map Online einrichten“.
   • Entity ID des Identitätsanbieters (Issuer): der Microsoft Entra-Bezeichner, an derselben Stelle.
   • Signaturzertifikat: Laden Sie unter SAML-Zertifikate das Zertifikat (Base64) herunter.

Okta, mit SAML#

1. Öffnen Sie in der Okta Admin Console Applications > Applications > Create App Integration, wählen Sie SAML 2.0 und nennen Sie die App „Measure Map Online“.
2. Tragen Sie Antwort-URL (ACS URL) als Single sign-on URL und Bezeichner (Entity ID) als Audience URI (SP Entity ID) ein. Setzen Sie Name ID format auf EmailAddress und Application username auf Email.
3. Fügen Sie unter Attribute Statements email mit dem Wert user.email hinzu (auf Wunsch auch firstName und lastName).
4. Weisen Sie auf dem Tab Assignments die Personen oder Gruppen zu, die sich anmelden sollen.
5. Öffnen Sie auf dem Tab Sign On die Option View SAML setup instructions und kopieren Sie:
   • Single-Sign-on-URL (Anmelde-URL): Identity Provider Single Sign-On URL.
   • Entity ID des Identitätsanbieters (Issuer): Identity Provider Issuer.
   • Signaturzertifikat: X.509 Certificate.

Google Workspace, mit SAML#

1. Öffnen Sie in der Google Admin-Konsole Apps > Web- und mobile Apps > App hinzufügen > Benutzerdefinierte SAML-App hinzufügen und nennen Sie sie „Measure Map Online“.
2. Kopieren Sie auf der Seite mit den Google-IdP-Details die drei Angaben und fahren Sie dann fort:
   • Single-Sign-on-URL (Anmelde-URL): die SSO-URL.
   • Entity ID des Identitätsanbieters (Issuer): die Entitäts-ID.
   • Signaturzertifikat: Laden Sie das Zertifikat herunter.
3. Tragen Sie auf der nächsten Seite Antwort-URL (ACS URL) als ACS-URL und Bezeichner (Entity ID) als Entitäts-ID ein. Setzen Sie das Name-ID-Format auf EMAIL und die Name ID auf Grundlegende Informationen > Primäre E-Mail-Adresse.
4. Schalten Sie die App unter Nutzerzugriff für die Organisationseinheiten oder Gruppen ein, die sich anmelden sollen.

OneLogin, JumpCloud und andere Anbieter, mit SAML#

1. Legen Sie eine SAML-2.0-Anwendung namens „Measure Map Online“ an.
2. Tragen Sie Bezeichner (Entity ID) und Antwort-URL (ACS URL) ein, senden Sie die E-Mail-Adresse als Name ID und weisen Sie die Personen zu, die sich anmelden sollen.
3. Kopieren Sie die drei Angaben, meist von der SAML- oder Metadatenseite der Anwendung:
   • Single-Sign-on-URL (Anmelde-URL): die Single-Sign-on-URL des Identitätsanbieters.
   • Entity ID des Identitätsanbieters (Issuer): seine Entity ID, auch Issuer genannt.
   • Signaturzertifikat: sein Signaturzertifikat.

Microsoft Entra ID, mit OpenID Connect#

1. Öffnen Sie im Microsoft Entra Admin Center App-Registrierungen > Neue Registrierung. Nennen Sie sie „Measure Map Online“, wählen Sie Web als Plattform und tragen Sie die Weiterleitungs-URI ein.
2. Erstellen Sie unter Zertifikate & Geheimnisse ein Clientgeheimnis und kopieren Sie den Wert sofort: Er wird nur einmal angezeigt.
3. Fügen Sie unter Tokenkonfiguration den optionalen Anspruch email zum ID-Token hinzu.
4. Kopieren Sie die drei Angaben:
   • Issuer-URL: https://login.microsoftonline.com/<Mandanten-ID>/v2.0, mit der Verzeichnis-ID (Mandant) von der Übersichtsseite.
   • Client-ID: die Anwendungs-ID (Client).
   • Client-Secret: der Wert des Geheimnisses aus Schritt 2.

Andere Anbieter, mit OpenID Connect#

1. Legen Sie eine OpenID-Connect-Webanwendung namens „Measure Map Online“ mit der Weiterleitungs-URI an.
2. Erlauben Sie die Scopes openid, email und profile und weisen Sie die Personen zu, die sich anmelden sollen.
3. Kopieren Sie die drei Angaben: Issuer-URL, Client-ID und Client-Secret.

Schritt 2: Senden Sie uns die Angaben#

Füllen Sie unter Senden Sie uns die Angaben aus:

• Mit SAML: Single-Sign-on-URL (Anmelde-URL), Entity ID des Identitätsanbieters (Issuer) und Signaturzertifikat. Fügen Sie den Text des Zertifikats ein (Base64 oder PEM, mit seinen BEGIN- und END-Zeilen), oder klicken Sie auf upload_fileDatei wählen und wählen Sie die heruntergeladene .cer-, .crt- oder .pem-Datei.
• Mit OpenID Connect: Issuer-URL, Client-ID und Client-Secret.
• E-Mail-Domains: Geben Sie eine Domain ein, zum Beispiel acme.com, und klicken Sie auf addHinzufügen (oder drücken Sie die Eingabetaste). Fügen Sie jede Domain Ihres Teams hinzu: Nur Personen mit einer Adresse in diesen Domains können über Single Sign-on beitreten.
• Technischer Ansprechpartner und Kontakt-E-Mail: an wen wir uns wegen der Anfrage wenden. Alles Weitere gehört in Was wir wissen sollten (optional).

Klicken Sie auf sendAnfrage senden. Die Angaben werden beim Senden geprüft; werden sie nicht angenommen, sagt das Formular sofort, was zu korrigieren ist:

• „Das Signaturzertifikat konnte nicht gelesen werden. Fügen Sie das ganze Zertifikat samt BEGIN- und END-Zeile ein oder wählen Sie die Datei.“
• „Die Angaben wurden nicht akzeptiert. Prüfen Sie Single-Sign-on-URL, Entity ID und Zertifikat (bzw. Issuer, Client-ID und Secret) und versuchen Sie es erneut.“

Während wir prüfen#

Sobald die Anfrage gesendet ist, zeigt der Status oben auf der Seite schedule Wird von uns bearbeitet, dazu die gesendeten Angaben und die Nummer des Support-Tickets, das wir dafür eröffnet haben. Wir prüfen die Anfrage, vor allem, ob die E-Mail-Domains zu Ihrer Organisation gehören, und schalten Single Sign-on ein. Der Eigentümer erhält eine E-Mail, und die Seite zeigt check_circle Aktiviert mit dem Anmeldelink.

Solange die Anfrage wartet, können Sie:

• Auf editAnfrage bearbeiten klicken, um sie zu korrigieren, und dann auf sendAnfrage aktualisieren. Lassen Sie Signaturzertifikat oder Client-Secret leer, um das zuvor gesendete zu behalten.
• Auf undoAnfrage zurückziehen klicken, um sie zurückzuziehen. Sie können jederzeit eine neue senden.

Brauchen wir eine Änderung, zeigt der Status error Änderung nötig, mit unserem Hinweis, was zu ändern ist. Korrigieren Sie das Formular und klicken Sie auf sendAnfrage aktualisieren.

Sobald es eingeschaltet ist#

Die Seite zeigt Ihren Identitätsanbieter, die freigegebenen E-Mail-Domains und den Anmeldelink, zum Beispiel https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Klicken Sie auf content_copy, um ihn zu kopieren, und teilen Sie ihn mit Ihrem Team: Er öffnet die Anmeldeseite, bereit für den Anbieter Ihres Unternehmens. Derselbe Link mit ?saml= statt ?sso= funktioniert ebenfalls.

• Wer beitritt: Personen, die sich darüber anmelden, treten Ihrer Organisation bei der ersten Anmeldung automatisch bei, wenn ihre Adresse zu einer der freigegebenen Domains gehört. Sie erhalten die Standardrolle der Organisation, wie eingeladene Personen, und jede belegt einen Platz. Ist kein Platz frei, kann die Person nicht beitreten, und der Eigentümer erhält darüber eine E-Mail (höchstens einmal am Tag).
• Änderungen: Um den Anbieter zu ändern oder Single Sign-on auszuschalten, klicken Sie auf support_agentKontakt aufnehmen. Das öffnet das Support-Formular, mit bereits begonnener Nachricht. Der Eigentümer erhält eine E-Mail, wann immer Single Sign-on ein- oder ausgeschaltet wird, damit eine unerwartete Änderung nicht unbemerkt bleibt.
• Zertifikat: Bei SAML zeigt die Seite, bis wann das Signaturzertifikat Ihres Identitätsanbieters gültig ist, und warnt Sie ab einem Monat vor dem Ablauf. Ist es abgelaufen, kann sich niemand mehr per Single Sign-on anmelden: Erstellen Sie in Ihrem Identitätsanbieter ein neues Zertifikat und senden Sie es uns über support_agentKontakt aufnehmen.
• Probleme: Funktioniert der Anbieter nicht mehr, zeigt der Status error Funktioniert nicht, und Ihr Team kann sich damit nicht anmelden. Senden Sie das Anfrageformular unter dem Hinweis erneut, wie in Schritt 1 und Schritt 2, und wir verbinden ihn nach der Prüfung wieder. Sie können auch auf support_agentKontakt aufnehmen klicken.