> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SAML-basiertes Single Sign-On

> Richten Sie SAML-basiertes Single Sign-On für den Administratorzugriff auf Iru Endpoint ein. Konfigurieren Sie Ihren Identitätsanbieter mit SAML-Metadaten, -Attributen und -Assertions.

### Über SAML-basiertes Single Sign-On

SAML (Security Assertion Markup Language) ist ein Standard, der verschiedenen Systemen hilft, Informationen zur Benutzerauthentifizierung und -autorisierung auszutauschen. Er wird hauptsächlich für Single Sign-On (SSO) verwendet. Das bedeutet, dass Sie sich einmal anmelden und auf mehrere Anwendungen zugreifen können, ohne Ihre Anmeldedaten erneut einzugeben. In Iru Endpoint können Sie SAML für den [Zugriff auf die Iru Endpoint-Web-App](/de/endpoint/getting-started/foundation/admins-and-access) und für [Require Authentication mit Automated Device Enrollment](/de/endpoint/enrollment/configure-require-authentication-for-enrollment) verwenden.

### Funktionsweise

Eine SAML-Konfiguration besteht aus drei Komponenten:

* **Identity Provider (IdP)** – Dies ist das System, das Ihre Identität überprüft. Es prüft Ihre Anmeldedaten und gibt diese Informationen an den Dienst weiter, den Sie nutzen möchten.
* **Service Provider (SP)** – Dies ist die Anwendung oder der Dienst, auf den Sie zugreifen möchten. Er vertraut darauf, dass der IdP Ihre Identität bestätigt, und gewährt Ihnen auf dieser Grundlage Zugriff.
* **SAML-Assertions** – Dies sind Nachrichten, die Informationen über Ihre Identität und Zugriffsrechte vom IdP an den SP übermitteln. Es gibt drei Typen:
  * **Authentication Assertion** – Bestätigt Ihre Identität und wie Sie authentifiziert wurden.
  * **Attribute Assertion** – Übermittelt zusätzliche Details über Sie.
  * **Authorization Decision Assertion** – Gibt an, ob Sie auf den Dienst zugreifen dürfen.

Der SAML-Authentifizierungsprozess läuft im Allgemeinen wie folgt ab:

<Steps>
  <Step title="Benutzer fordert Zugriff an">
    Der Benutzer versucht, auf einen Service Provider zuzugreifen, in diesem Fall Iru Endpoint.
  </Step>

  <Step title="Generierung der SAML-Anfrage">
    Iru Endpoint generiert eine SAML-Authentifizierungsanfrage und leitet den Benutzer an den IdP weiter.
  </Step>

  <Step title="Benutzerauthentifizierung">
    Der IdP authentifiziert den Benutzer, in der Regel indem er ihn zur Anmeldung auffordert, falls er noch nicht authentifiziert ist.
  </Step>

  <Step title="Erstellung und Übermittlung der SAML-Antwort">
    Sobald der Benutzer authentifiziert ist, generiert der IdP eine SAML-Antwort, die eine SAML-Assertion enthält. Diese Assertion enthält Informationen über den Benutzer, wie seine Identität und alle Attribute oder Rollen, die er besitzt. Die SAML-Antwort wird über den Browser des Benutzers an Iru Endpoint zurückgesendet.
  </Step>

  <Step title="Validierung der Assertion">
    Iru Endpoint empfängt die SAML-Antwort und validiert die SAML-Assertion. Dabei wird die digitale Signatur geprüft, um sicherzustellen, dass sie von einem vertrauenswürdigen IdP stammt.
  </Step>

  <Step title="Zugriff gewährt">
    Ist die Assertion gültig, ermöglicht Iru Endpoint dem Benutzer die Anmeldung bei der Iru Endpoint-Web-App oder die Registrierung während der Automated Device Enrollment.
  </Step>
</Steps>

SSO kann für die Anmeldung bei der [Iru Endpoint-Web-App](/de/endpoint/getting-started/foundation/admins-and-access) und für [Require Authentication mit Automated Device Enrollment](/de/endpoint/enrollment/configure-require-authentication-for-enrollment) verwendet werden.

### Einrichten einer SAML-Verbindung

Diese Anleitung beschreibt, wie Sie eine generische Custom SAML-SSO-Verbindung erstellen. Weitere Informationen zum Erstellen IdP-spezifischer Custom SAML-Verbindungen finden Sie in den folgenden Support-Artikeln:

* [Single Sign-On mit Okta (SAML)](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-okta-saml)
* [Single Sign-On mit Google Workspace (SAML)](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-google-workspace-saml)
* [Single Sign-On mit JumpCloud (SAML)](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-jumpcloud-saml)
* [Single Sign-On mit Microsoft Entra ID (SAML)](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-microsoft-entra-id-saml)
* [Single Sign-On mit OneLogin (SAML)](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-onelogin-saml)

<Steps>
  <Step title="Zur Schaltfläche des Kontomenüs navigieren">
    Wählen Sie in Iru Endpoint in der Seitenleiste die [**Schaltfläche Kontomenü**](/de/iru/platform-overview/account-menu) aus.
  </Step>

  <Step title="Authentifizierungseinstellungen öffnen">
    Wählen Sie im Menü die Option **Zugriff** aus.

    <Frame>
      <img src="https://mintcdn.com/iru/8BYPjuKZa-zyEEf_/assets/media/images/iru-nav-access.png?fit=max&auto=format&n=8BYPjuKZa-zyEEf_&q=85&s=466fdf5fb47efd6bab8b450a5a1e8302" alt="Screenshot des Kontomenüs mit hervorgehobener Option Access" width="562" height="1040" data-path="assets/media/images/iru-nav-access.png" />
    </Frame>
  </Step>

  <Step title="Verwaltung und Authentifizierung auswählen">
    Wählen Sie die Registerkarte **Verwaltung und Authentifizierung** aus (standardmäßig ausgewählt) und scrollen Sie nach unten zu **Authentifizierungsmethoden**.
  </Step>

  <Step title="Authentifizierungsmethode hinzufügen">
    Wählen Sie **+ Authentifizierungsmethode** aus, geben Sie dann einen Anzeigenamen für die SSO-Verbindung ein und wählen Sie **SAML** aus.
  </Step>

  <Step title="Verbindung erstellen">
    Wählen Sie **Erstellen** aus.
  </Step>

  <Step title="Konfigurationsinformationen">
    Wählen Sie **Konfigurationsinformationen** aus, falls dieser Abschnitt noch nicht erweitert ist.
  </Step>

  <Step title="Service Provider Entity ID kopieren">
    Kopieren Sie die **Service provider entity ID** zur späteren Verwendung in ein Textdokument.
  </Step>

  <Step title="ACS-URL kopieren">
    Kopieren Sie die **Assertion consumer service (ACS) URL** zur späteren Verwendung in ein Textdokument.
  </Step>

  <Step title="Tab geöffnet lassen">
    Lassen Sie diesen Browser-Tab geöffnet, während Sie mit den folgenden Anweisungen fortfahren.
  </Step>
</Steps>

### Konfigurieren der SAML-Verbindung

Nachdem Sie die Verbindung erstellt haben, werden im Dialogfeld die folgenden Konfigurationsoptionen angezeigt.

#### Konfigurationsoptionen

**Metadata File**: Dies ist die URL zur Metadatendatei mit den Details des Service Providers. Stellen Sie diese Metadatendatei Ihrem Identitätsanbieter bereit, sofern er Metadatendateien unterstützt. Beachten Sie, dass dieser Link erst aktiv ist, nachdem Sie die Verbindungsseite gespeichert haben.

**Configuration Information**: Wenn Ihr Identitätsanbieter keine Metadatendateien unterstützt, wählen Sie **Konfigurationsinformationen** aus. Der Abschnitt Konfigurationsinformationen, der später in diesem Artikel behandelt wird, enthält die Informationen aus der Metadatendatei.

**Name**: Geben Sie einen Anzeigenamen für die Verbindung an. Dieser wird auf der Anmeldeseite angezeigt.

**Sign-In URL**: Dies ist die Anmelde-URL der Anwendung, die von Ihrem Identitätsanbieter bereitgestellt wird.

**IdP Entity ID**: Dies ist die Entity ID Ihres Identitätsanbieters (Google, Okta, Microsoft Entra ID usw.), nicht die Entity ID auf der Iru-Seite. Dieses Feld ist erforderlich und muss mit der in Ihrem Identitätsanbieter konfigurierten Entity ID übereinstimmen.

**Signing Certificate**: Fügen Sie den Inhalt des Signaturzertifikats Ihres Identitätsanbieters im X.509-PEM-Format ein. Dieses Zertifikat wird verwendet, um die Gültigkeit eines eingehenden SAML-Claims zu prüfen. Fügen Sie den vollständigen Inhalt des Zertifikats einschließlich der Kopf- und Fußzeile BEGIN CERTIFICATE und END CERTIFICATE ein.

**User ID Attribute**: Geben Sie das Attribut im SAML-Claim an, das mit einem vorhandenen Administrator abgeglichen werden soll. In der Regel ist dies der NAME ID URI (Beispiel unten), sofern Ihr Identitätsanbieter so konfiguriert ist, dass er die E-Mail-Adresse des Benutzers als NAME ID-Wert sendet. Andernfalls gleichen Sie mit einem zusätzlichen benutzerdefinierten Attribut ab, das Sie im Claim senden möchten.

```
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier
```

**Sign Request**: Wählen Sie aus, ob die Anfrage vom Service Provider (Iru Endpoint) an den Identity Provider signiert werden soll.

**Sign Request Algorithm**: Wählen Sie den von Ihrem Identitätsanbieter benötigten Signaturalgorithmus aus.

**Sign Request Algorithm Digest**: Wählen Sie den von Ihrem Identitätsanbieter benötigten Digest des Signaturalgorithmus aus.

**Request Binding**: Wie der Service Provider (Iru Endpoint) Anfragen an den Identitätsanbieter weiterleiten soll (in der Regel HTTP-Redirect).

**Speichern**: Speichert Ihre SAML-Konfiguration.

#### Erforderliche Claim-Attribute

Die folgenden Attribute sind in Ihrem SAML-Claim erforderlich. **NameID** ist in Iru Endpoint technisch optional, sofern ein anderes Attribut für den Abgleich mit der E-Mail-Adresse angegeben ist.

<Note>
  Wenn die Attribute für Nachname und Vorname in Ihrem Claim fehlen, wird die E-Mail-Adresse für diese Werte verwendet.
</Note>

<table>
  <tbody>
    <tr>
      <td>
        **Attribut-URI**
      </td>

      <td>
        <strong>Benötigter Wert</strong>
      </td>

      <td>
        <strong>Begründung</strong>
      </td>
    </tr>

    <tr>
      <td>
        NameID

        <code>
          [http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier](http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier)
        </code>
      </td>

      <td>
        Die E-Mail-Adresse des Benutzers, die mit der E-Mail-Adresse eines Teammitglieds in Ihrem Iru Endpoint-Tenant übereinstimmt.
      </td>

      <td>
        Erforderlich, um den Benutzer zuzuordnen, der sich bei Iru Endpoint authentifiziert.
      </td>
    </tr>

    <tr>
      <td>
        <code>
          [http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname](http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname)
        </code>
      </td>

      <td>
        Der Nachname des Benutzers.
      </td>

      <td>
        Erforderlich, um den Nachnamen des Benutzers zu aktualisieren.
      </td>
    </tr>

    <tr>
      <td>
        <code>
          [http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname](http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname)
        </code>
      </td>

      <td>
        Der Vorname des Benutzers.
      </td>

      <td>
        Erforderlich, um den Vornamen des Benutzers zu aktualisieren.
      </td>
    </tr>
  </tbody>
</table>

#### Erweiterte Details

Wenn Ihr Identitätsanbieter die Konfiguration einer Service-Provider-Anwendung über eine Metadatendatei nicht unterstützt, geben Sie diese Informationen manuell ein.

<Steps>
  <Step title="Service Provider-Metadatendatei">
    Dies ist die URL zur Metadatendatei mit den Details des Service Providers. Stellen Sie diese Metadatendatei Ihrem Identitätsanbieter bereit, sofern er Metadatendateien unterstützt.
  </Step>

  <Step title="ACS-URL">
    Die URL, an die eine SAML-Assertion gesendet werden soll.
  </Step>

  <Step title="Entity ID">
    Die Entity ID des Service Providers (dies ist auch die SP Issuer ID, die für SLO-Anfragen verwendet wird).
  </Step>

  <Step title="Signaturzertifikat des Service Providers">
    Dieses Zertifikat wird verwendet, um Anfragen vom Service Provider an den Identity Provider zu signieren.
  </Step>
</Steps>

### Für Tenant-Authentifizierung zulassen

Nachdem Sie die SAML-Verbindung in Iru Endpoint und in Ihrem Identitätsanbieter konfiguriert haben, können Sie deren Verwendung für die Tenant-Authentifizierung zulassen. Schrittweise Anleitungen finden Sie im Abschnitt **Tenant-Authentifizierung zulassen und Verbindungen verwalten** in unserem [Support-Artikel zu Single Sign-On](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on).

### Authentifizierung auf Domain beschränken

Bei der Konfiguration der SAML-Verbindung können Sie die Authentifizierung optional auf eine oder mehrere Domains beschränken. Dies kann nützlich sein, wenn die SSO-Verbindung bei mehreren Domains authentifizieren könnte. Sie können die Authentifizierung bei Ihrem Iru-Tenant auf eine Teilmenge der verfügbaren Domains beschränken.

### Single Sign-On erzwingen

Sobald Sie mindestens eine Single Sign-On-Verbindung konfiguriert haben, können Sie die Verbindungen Passkey, Google Social und Microsoft Social deaktivieren. Durch das Deaktivieren dieser Verbindungen können sich Iru Endpoint-Administratoren in Ihrem Tenant nicht mehr über diese Methoden authentifizieren. Schrittweise Anleitungen finden Sie in unserem [Support-Artikel zu Single Sign-On](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on).

## Überlegungen

**Sicherheit**: Stellen Sie sicher, dass in Ihrem Identitätsanbieter geeignete Sicherheitsrichtlinien für die SAML-Authentifizierung konfiguriert sind.

**Zertifikatsverwaltung**: Behalten Sie die Ablaufdaten der Zertifikate im Blick und sorgen Sie für eine rechtzeitige Erneuerung, damit die SAML-Funktionalität erhalten bleibt.

**Testen**: Testen Sie die SAML-Integration immer mit einer kleinen Gruppe von Benutzern, bevor Sie sie in Ihrer gesamten Organisation einführen.

**Attributzuordnung**: Eine korrekte Attributzuordnung ist entscheidend für eine erfolgreiche Benutzerauthentifizierung und Profilsynchronisierung.