> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Benutzerdefiniertes SAML

> Verbinden Sie einen beliebigen SAML 2.0-Identitätsanbieter mit Iru Identity für die föderierte Anmeldung, wobei Iru als Service Provider fungiert und Assertions Benutzerattributen zuordnet.

Wenn Ihr Identitätsanbieter den **SAML**-Standard unterstützt, aber nicht durch eine
fertige Vorlage abgedeckt ist, verbinden Sie ihn als **benutzerdefinierte SAML**-Verbindung. In dieser Konfiguration
fungiert Iru als **Service Provider (SP)**: Ihr Anbieter authentifiziert den
Benutzer und sendet Iru dann eine signierte SAML-Antwort, der Iru vertraut, um die
Sitzung zu starten.

<Info>
  Bei den meisten Organisationen, die Iru Identity als Identitätsanbieter verwenden, melden sich Benutzer
  direkt mit einem Passkey oder der Iru Access-App an. Verbinden Sie einen SAML-Anbieter,
  wenn Sie Iru Identity als Authentifizierungsschicht für die Iru-Plattform
  statt als primären Identitätsanbieter verwenden oder um eine Migration zu Iru
  Identity zu erleichtern. Siehe [Föderierte Authentifizierung](/de/identity/connections/connections-overview).
</Info>

<Note>
  Sie benötigen Administratorzugriff auf Ihren Iru-Mandanten sowie Administratorzugriff auf
  Ihren SAML-Identitätsanbieter, um diese Verbindung einzurichten. Bei der Einrichtung von SAML
  werden einige Werte in beide Richtungen ausgetauscht; diese Seite führt Sie durch beide
  Seiten.
</Note>

## So wird das Vertrauen hergestellt

```mermaid theme={null}
sequenceDiagram
  participant Admin as Sie
  participant Iru as Iru (Service Provider)
  participant Idp as Ihr SAML-Anbieter

  Iru-->>Admin: SP-Metadaten, Entity-ID und ACS-URL bereitstellen
  Admin->>Idp: Iru als Service Provider registrieren
  Idp-->>Admin: Entity-ID, Anmelde-URL, Signaturzertifikat bereitstellen
  Admin->>Iru: Angaben des Anbieters eingeben und dessen Zertifikat hochladen
  Note over Iru,Idp: Vertrauen hergestellt; Anmeldung kann getestet werden
```

Iru und Ihr Anbieter müssen einander jeweils vertrauen. Iru stellt Ihnen die Angaben bereit,
die Ihr Anbieter benötigt, um Iru zu erkennen, und Ihr Anbieter stellt Ihnen die Angaben bereit, die Iru
benötigt, um dessen Antworten zu verifizieren.

## Bevor Sie beginnen

<Steps>
  <Step title="Service-Provider-Angaben von Iru sammeln">
    Sammeln Sie aus der Verbindung in Iru die Werte, die Ihr Anbieter abfragen wird –
    die **SP-Metadaten** von Iru, die **Entity-ID** und die **ACS-URL** (die Adresse,
    an die Ihr Anbieter seine SAML-Antwort sendet). Viele Anbieter können diese
    in einem Schritt aus den Metadaten importieren.
  </Step>

  <Step title="Angaben Ihres Anbieters sammeln">
    Sammeln Sie von Ihrem SAML-Anbieter dessen **Entity-ID**, die **Single-Sign-On-URL**
    und das **Signaturzertifikat** (das Zertifikat, mit dem Iru
    die signierten Antworten des Anbieters verifiziert).
  </Step>

  <Step title="Sicherstellen, dass Ihre Benutzer in Iru vorhanden sind">
    Eine Anmeldung über eine Verbindung wird einem vorhandenen Iru-Benutzer zugeordnet. Fügen Sie
    Ihre Benutzer zuerst hinzu oder importieren Sie sie; siehe [Benutzer importieren](/de/identity/directory/importing-users)
    oder [Directory Sync](/de/identity/directory/directory-sync).
  </Step>
</Steps>

## Einen SAML-Anbieter verbinden

<Steps>
  <Step title="Verbindung hinzufügen">
    Fügen Sie unter **Access → Authentication** eine **Authentifizierungsmethode** hinzu und wählen Sie **SAML**.
    Iru generiert die Service-Provider-Angaben für diese Verbindung.
  </Step>

  <Step title="Iru bei Ihrem Anbieter registrieren">
    Erstellen Sie in Ihrem SAML-Anbieter eine neue Anwendung (Relying Party) für Iru und
    geben Sie die **Entity-ID** und **ACS-URL** von Iru an oder importieren Sie die **SP-Metadaten** von Iru, sofern
    Ihr Anbieter dies unterstützt. Konfigurieren Sie den Anbieter so, dass er die **NameID** und
    alle **Attribute** freigibt, über die Sie die Zuordnung vornehmen möchten. Die genauen Relying-Party-Bildschirme finden Sie
    in der Konsole Ihres Anbieters; folgen Sie dessen aktueller Dokumentation.
  </Step>

  <Step title="Angaben Ihres Anbieters in Iru eingeben">
    Geben Sie zurück in Iru die **Entity-ID** und **Single-Sign-On-URL** Ihres Anbieters ein
    und laden Sie dann das **Signaturzertifikat** Ihres Anbieters hoch, damit Iru die
    empfangenen SAML-Antworten verifizieren kann.
  </Step>

  <Step title="Benutzerzuordnung festlegen">
    Teilen Sie Iru mit, welcher Wert in der SAML-Antwort den Benutzer identifiziert: das
    **Betreff** (NameID) oder ein benanntes **Attribut**, das der Anbieter sendet, und mit welchem
    Iru-Benutzerwert es abgeglichen wird (UPN, Benutzername, externe ID oder ein benutzerdefiniertes
    Attribut). Siehe [Benutzerzuordnung](/de/identity/connections/connections-overview#what-you-configure-on-every-identity-provider-connection).
  </Step>

  <Step title="Verwendungszweck der Verbindung wählen">
    Wählen Sie die **Anwendungsfälle** der Verbindung: **Endbenutzer-Anmeldung**, **Geräteregistrierung**
    oder beides.
  </Step>

  <Step title="Auf Ihre Domänen beschränken">
    Wenn nur Benutzer in bestimmten E-Mail-Domänen diese Verbindung verwenden sollen,
    aktivieren Sie **Domänenbeschränkungen** und fügen Sie diese Domänen hinzu.
  </Step>

  <Step title="Speichern und testen">
    Speichern Sie die Verbindung und melden Sie sich dann als Testbenutzer an, um den gesamten Ablauf zu bestätigen:
    Iru sendet die Anfrage, Ihr Anbieter authentifiziert den Benutzer und Iru
    ordnet ihn dem richtigen Benutzer zu.
  </Step>
</Steps>

<Tip>
  Iru kann außerdem ein **Zertifikat zur Anfragesignierung** bereitstellen, damit Ihr Anbieter
  verifizieren kann, dass Anmeldeanfragen tatsächlich von Iru stammen. Wenn Ihr Anbieter
  signierte Anfragen erwartet, geben Sie das Zertifikat zur Anfragesignierung von Iru aus der Verbindung weiter
  und aktivieren Sie signierte Anfragen auf Anbieterseite.
</Tip>

## Die Verbindung funktionsfähig halten

<AccordionGroup>
  <Accordion title="Zertifikate laufen ab" icon="certificate">
    Das Signaturzertifikat, das Sie von Ihrem Anbieter hochladen, hat ein Ablaufdatum.
    Wenn Ihr Anbieter sein Zertifikat rotiert, laden Sie das neue in Iru hoch, damit
    die Anmeldung weiterhin funktioniert. Planen Sie den Austausch, bevor das alte Zertifikat abläuft.
  </Accordion>

  <Accordion title="Anmeldung landet beim falschen Benutzer oder bei niemandem" icon="user-xmark">
    Dies ist fast immer auf die **Benutzerzuordnung** zurückzuführen. Bestätigen Sie, dass der Wert, den Ihr
    Anbieter sendet (das Subject oder Attribut), für alle vorhanden und eindeutig ist
    und dass er dem von Ihnen gewählten Iru-Benutzerwert entspricht.
  </Accordion>
</AccordionGroup>

## Verwandte Themen

<CardGroup cols={2}>
  <Card title="Föderierte Authentifizierung" icon="plug" href="/de/identity/connections/connections-overview">
    Anwendungsfälle, Domänenbeschränkungen und Benutzerzuordnung an einem Ort erklärt.
  </Card>

  <Card title="Benutzerdefiniertes OIDC" icon="key" href="/de/identity/connections/custom-oidc">
    Verbinden Sie einen Identitätsanbieter, der OpenID Connect statt SAML verwendet.
  </Card>

  <Card title="Systemarchitektur" icon="sitemap" href="/de/identity/getting-started/system-architecture">
    Erfahren Sie, wie sich die föderierte Anmeldung in die übergeordnete Identitätsschicht einfügt.
  </Card>

  <Card title="Anmeldeerlebnis" icon="arrow-right-to-bracket" href="/de/identity/authentication/sign-in-experience">
    Gestalten Sie, was Benutzer bei der Anmeldung sehen.
  </Card>
</CardGroup>