> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Single Sign-On mit Microsoft Entra ID (SAML)
> Konfigurieren Sie SAML-basiertes SSO zwischen Microsoft Entra ID und Iru Endpoint. Richten Sie die Unternehmensanwendung in Microsoft Entra ID ein und ordnen Sie Benutzerattribute für die Anmeldung zu.
### Über die Microsoft Entra ID-SAML-Integration
Mit der Microsoft Entra ID-SAML-Integration in Iru Endpoint können Sie eine SAML-basierte SSO-Integration mit Microsoft Entra ID für Benutzer einrichten, die mit ihren Microsoft Entra ID-Anmeldedaten auf Iru Endpoint zugreifen.
#### Funktionsweise
Wenn Benutzer versuchen, auf Iru Endpoint zuzugreifen, werden sie zur Authentifizierung an Microsoft Entra ID weitergeleitet. Nach erfolgreicher Authentifizierung sendet Microsoft Entra ID eine SAML-Assertion an Iru Endpoint zurück, das die Identität des Benutzers validiert und Zugriff gewährt. SSO kann für die Anmeldung bei der [Iru Endpoint-Web-App](/de/endpoint/getting-started/foundation/admins-and-access) und für [Require Authentication mit Automated Device Enrollment](/de/endpoint/enrollment/configure-require-authentication-for-enrollment) verwendet werden.
Microsoft Entra ID [ist der neue Name](https://learn.microsoft.com/en-us/entra/fundamentals/new-name) für Azure AD (Azure Active Directory)
### Einrichten der SAML-Verbindung
Sie müssen zunächst die Ersteinrichtung in Iru Endpoint abschließen, um die für Microsoft Entra ID erforderlichen Konfigurationsinformationen zu erhalten. Nachdem Sie die Entity ID und die ACS-URL kopiert haben, wechseln Sie zur Registerkarte [**Konfiguration in Microsoft Entra ID**](#microsoft-entra-id-configuration) und fahren Sie mit [**Konfigurieren der Microsoft Entra ID-Anwendung**](#configuring-microsoft-entra-id-application) fort.
Wählen Sie in Iru Endpoint in der Seitenleiste die [**Schaltfläche Kontomenü**](/de/iru/platform-overview/account-menu) aus.
Wählen Sie im Menü die Option **Zugriff** aus.
Wählen Sie die Registerkarte **Verwaltung und Authentifizierung** aus (standardmäßig ausgewählt) und scrollen Sie nach unten zu **Authentifizierungsmethoden**.
Wählen Sie **+ Authentifizierungsmethode** aus.
Geben Sie einen Anzeigenamen für die SSO-Verbindung ein.
Wählen Sie **SAML** als Authentifizierungsmethode aus.
Wählen Sie **Erstellen** aus.
Wählen Sie **Konfigurationsinformationen** aus, falls dieser Abschnitt noch nicht erweitert ist.
Kopieren Sie die **Service provider entity ID** zur späteren Verwendung in ein Textdokument. Sie benötigen sie für die Konfiguration in Entra ID.
Kopieren Sie die **Assertion consumer service (ACS) URL** zur späteren Verwendung in ein Textdokument. Sie benötigen sie für die Konfiguration in Entra ID.
Lassen Sie das Konfigurationsdialogfeld von Iru Endpoint geöffnet und wechseln Sie dann zur Registerkarte [**Konfiguration in Microsoft Entra ID**](#microsoft-entra-id-configuration), um mit [**Konfigurieren der Microsoft Entra ID-Anwendung**](#configuring-microsoft-entra-id-application) fortzufahren.
### Konfigurieren der SAML-Verbindung in Iru Endpoint
Kehren Sie nach Abschluss der Konfiguration in Microsoft Entra ID hierher zurück, um das [**Konfigurieren der SAML-Verbindung in Iru Endpoint**](#configuring-iru-endpoint-saml-connection) abzuschließen. Sie benötigen die Single Sign-On-URL, die IdP Entity ID und das Zertifikat aus Microsoft Entra ID.
Kehren Sie zum Dialogfeld Custom SAML in Iru Endpoint zurück.
Setzen Sie **IdP attribute** auf **Betreff**.
Lassen Sie **Attribute name** leer.
Setzen Sie **User attribute** auf **User Principal Name (UPN)**.
Fügen Sie den zuvor kopierten **Microsoft Entra Identifier** in das Feld **IdP Entity ID** ein.
Fügen Sie die aus Entra ID kopierte **Sign In URL** ein.
Laden Sie das aus Entra ID heruntergeladene **Zertifikat** hoch.
Setzen Sie **Protocol Binding** auf **HTTP-POST**.
Stellen Sie sicher, dass **Request Algorithm** auf **RSA-SHA256** gesetzt ist.
Stellen Sie sicher, dass **Sign Request Algorithm Digest** auf **SHA256** gesetzt ist.
Stellen Sie sicher, dass **Sign Request** aktiviert ist.
Setzen Sie **Response Signature Verification** auf **Assertion**.
Lassen Sie das Feld **Destination** leer.
Setzen Sie **Allowed Signature Algorithm** auf **RSA-SHA256**.
Setzen Sie **Allowed Digest Algorithm** auf **SHA256**.
Wählen Sie **Speichern** aus.
### Für Tenant-Authentifizierung zulassen
Nachdem Sie die SAML-Verbindung in Iru Endpoint und in Ihrem Identitätsanbieter konfiguriert haben, können Sie deren Verwendung für die Tenant-Authentifizierung zulassen. Schrittweise Anleitungen finden Sie im Abschnitt **Tenant-Authentifizierung zulassen und Verbindungen verwalten** in unserem [Support-Artikel zu Single Sign-On](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on).
### Authentifizierung auf Domain beschränken
Bei der Konfiguration der SAML-Verbindung können Sie die Authentifizierung optional auf eine oder mehrere Domains beschränken. Dies kann nützlich sein, wenn die SSO-Verbindung bei mehreren Domains authentifizieren könnte. Sie können die Authentifizierung bei Ihrem Iru-Tenant auf eine Teilmenge der verfügbaren Domains beschränken.
### Single Sign-On erzwingen
Sobald Sie mindestens eine Single Sign-On-Verbindung konfiguriert haben, können Sie die Verbindungen Passkey, Google Social und Microsoft Social deaktivieren. Durch das Deaktivieren dieser Verbindungen können sich Iru Endpoint-Administratoren in Ihrem Tenant nicht mehr über diese Methoden authentifizieren. Schrittweise Anleitungen finden Sie in unserem [Support-Artikel zu Single Sign-On](/de/endpoint/integrations/single-sign-on-integrations/single-sign-on).
## Überlegungen
**Sicherheit**: Stellen Sie sicher, dass in Ihrem Microsoft Entra ID-Tenant geeignete Sicherheitsrichtlinien für die SSO-Authentifizierung konfiguriert sind.
**Benutzerverwaltung**: Benutzer müssen sowohl in Microsoft Entra ID als auch in Iru Endpoint vorhanden sein, um sich erfolgreich per SSO authentifizieren zu können.
**Testen**: Testen Sie die SSO-Integration immer mit einer kleinen Gruppe von Benutzern, bevor Sie sie in Ihrer gesamten Organisation einführen.
### Testen der Integration
Fügen Sie in Iru Endpoint einen Benutzer zum **Admin Team** hinzu, indem Sie **New User** auswählen.
Füllen Sie alle zugehörigen Benutzerinformationen aus. Dieser Benutzer muss in Microsoft Entra ID vorhanden und der Iru Endpoint-SSO-App in Ihrem Microsoft Entra ID-Tenant zugewiesen sein.
Wählen Sie **Senden** aus.
Schließen Sie nach dem Absenden der Einladung das Fenster Invite User.
Aktualisieren Sie die Seite Access in Iru Endpoint. Der soeben hinzugefügte Benutzer sollte angezeigt werden.
Prüfen Sie die E-Mails des Benutzers, nehmen Sie die Einladung an und melden Sie sich mit der neuen SAML-SSO-Verbindung bei Iru Endpoint an.
Schließen Sie vor Beginn der Konfiguration in Microsoft Entra ID das [**Einrichten der SAML-Verbindung**](#setting-up-the-saml-connection) auf der Registerkarte [**Konfiguration in der Iru-Web-App**](#iru-web-app-configuration) ab, um die Service Provider Entity ID und die ACS-URL zu erhalten. Sie benötigen diese Werte zur Konfiguration der Microsoft Entra ID-Anwendung.
### Konfigurieren der Microsoft Entra ID-Anwendung
Melden Sie sich beim [Microsoft Entra Admin Center](https://entra.microsoft.com) an.
Stellen Sie sicher, dass in der linken Navigationsleiste der Abschnitt **Entra ID** erweitert ist.
Wählen Sie in der linken Navigationsleiste **Enterprise apps** aus.
Wählen Sie **+ New application** aus.
Wählen Sie **Create your own application** aus.
Geben Sie der Anwendung einen **Namen**.
Wählen Sie **Integrate any other application you don't find in the gallery (Non-gallery)** aus.
Wählen Sie **Erstellen** aus.
Wählen Sie unter **Verwalten** die Option **Single sign-on** aus.
Wählen Sie die Kachel **SAML** aus.
Wählen Sie im Feld Basic SAML configuration den Stift **Bearbeiten** aus.
Wählen Sie im Abschnitt Identifier (Entity ID) den Link Add Identifier aus. Fügen Sie die zuvor kopierte Entity ID in das Feld Identifier (Entity ID) ein.
Fügen Sie im Abschnitt Reply URL (Assertion Consumer Service URL) die zuvor kopierte Assertion Consumer Services URL ein.
Wählen Sie **Speichern** aus.
Wählen Sie oben rechts im Bereich das **X** aus, um ihn zu schließen.
Belassen Sie die Einstellungen im Abschnitt **Attributes & Claims section** auf ihren Standardwerten.
Wählen Sie im Abschnitt SAML Certificates **Herunterladen** aus, um das Base64-Zertifikat herunterzuladen. Dieses Zertifikat wird in der Custom SAML-Konfiguration in Iru Endpoint verwendet.
Kopieren Sie im Abschnitt **Set up \[App Name]** die Login URL und fügen Sie sie zur späteren Verwendung in ein sicheres Textdokument ein.
Kopieren Sie den **Microsoft Entra Identifier** und speichern Sie ihn in einem Textdokument. Sie fügen ihn in Iru Endpoint in das Feld **IdP Entity ID** ein. Sie finden ihn im Abschnitt **Übersicht** Ihrer Anwendung.
Wechseln Sie zu **App registrations**.
Wählen Sie Ihre neu erstellte App aus.
Navigieren Sie unter **Verwalten** zum Abschnitt **Token configuration**.
Wählen Sie **+ Add optional claims** aus.
Aktivieren Sie das Optionsfeld **ID**.
Aktivieren Sie das Kontrollkästchen **acct**.
Aktivieren Sie das Kontrollkästchen **email**.
Aktivieren Sie das Kontrollkästchen **upn**.
Wählen Sie **Hinzufügen** aus.
Aktivieren Sie das Kontrollkästchen **Turn on the Microsoft Graph email, profile permission (required for claims to appear in token)**.
Wählen Sie **Hinzufügen** aus.
Der Microsoft Entra Identifier wird in der Iru-Konfiguration als IdP Entity ID verwendet.
### Zuweisen von Benutzern und Gruppen
Navigieren Sie in **Enterprise apps** zu Ihrer neu erstellten App.
Wählen Sie unter **Verwalten** die Option **Users and Groups** aus.
Wählen Sie im Menü **Add user/group** aus.
Wählen Sie im Dialogfeld **Add Assignment** den Link unter **Users and groups** aus.
Eine Liste mit Benutzern und Sicherheitsgruppen wird angezeigt. Sie können nach einem bestimmten Benutzer oder einer Gruppe suchen und mehrere in der Liste angezeigte Benutzer und Gruppen auswählen.
Nachdem Sie Ihre Benutzer und Gruppen ausgewählt haben, wählen Sie **Auswählen** aus.
Wählen Sie **Zuweisen** aus, um die Zuweisung von Benutzern und Gruppen zur App abzuschließen.
Vergewissern Sie sich, dass die hinzugefügten Benutzer und Gruppen in der Liste **Users and groups** angezeigt werden.
Wenn Sie keine Benutzer und Gruppen zuweisen möchten, können Sie die App alternativ so einstellen, dass keine Zuweisung erforderlich ist.
Navigieren Sie in **Enterprise apps** zu Ihrer neu erstellten App.
Wählen Sie unter Manage **Properties** aus.
Setzen Sie **Assignment required?** auf **Nein**.
Wählen Sie **Speichern** aus.
Wenn eine Meldung zu Einschränkungen des kostenlosen Tarifs angezeigt wird, bedeutet dies, dass ein kostenloser Tarif verwendet wird. Die Single Sign-On-Unternehmensanwendung ermöglicht dann nur das Hinzufügen von Benutzern (keine Gruppen).
Kehren Sie nach Abschluss der Konfiguration in Microsoft Entra ID zur Registerkarte **Konfiguration in der Iru-Web-App** zurück, um die Einrichtung der SAML-Verbindung mit der SSO-URL, der Entity ID und dem Zertifikat abzuschließen, die Sie aus Microsoft Entra ID kopiert haben.