Single Sign-On

Mit Single Sign-On (SSO) meldet sich Ihr Team mit dem Microsoft-Konto Ihres Unternehmens bei Webmetic an. Ein Admin richtet SSO einmal für das ganze Konto ein. Am Ende haben Sie:

• die Anmeldung über SSO Login mit dem Microsoft-Konto
• für jede neue Person aus Ihrem Team einen Benutzer, den Webmetic bei der ersten Anmeldung anlegt
• auf Wunsch den Nur-SSO-Modus, in dem sich nur Admins noch mit Passwort anmelden

Diese Funktion ist in der Beta. Bezeichnungen und Einstellungen können sich noch ändern.

Bevor Sie beginnenCopy Anchor Link

• Dauer: Die Schritte in Webmetic dauern wenige Minuten, und die Einrichtung in Microsoft Entra kommt hinzu.
• Konto: Ihr Unternehmen nutzt Microsoft Entra ID mit Arbeitskonten. Webmetic unterstützt keine anderen Anbieter wie Google, Okta oder SAML.
• Zugang: Sie oder Ihr IT-Team haben Zugang zum Microsoft Entra admin center.
• Rechte: Nur Admins sehen den Menüpunkt SSO Einstellungen. In Microsoft Entra brauchen Sie mindestens die Rolle Application Developer. Wer Personen zuweist oder als Admin zustimmt, braucht die Rolle Cloud Application Administrator.
• Plan: SSO ist im Plan Enterprise enthalten. In anderen Plänen zeigt der Menüpunkt ein Schloss, und ein Klick öffnet das Fenster SSO gibt es ab Enterprise mit der Schaltfläche Enterprise anfragen. Nur Admins buchen einen anderen Plan.
• Kosten: SSO kostet keine Credits.

App in Microsoft Entra registrierenCopy Anchor Link

Webmetic braucht eine eigene App in Ihrem Microsoft-Verzeichnis. Wir nennen die Bezeichnungen im Microsoft Entra admin center auf Englisch, auch wenn sie in einem deutschen Portal anders heißen.

Microsoft beschreibt die Schritte mit denselben englischen Bezeichnungen in der Anleitung zur App-Registrierung.

1. Öffnen Sie im Microsoft Entra admin center Entra ID > App registrations.

2. Klicken Sie auf New registration.

3. Geben Sie unter Name einen Namen ein, zum Beispiel Webmetic.

4. Wählen Sie unter Supported account types die Option für einen einzelnen Mandanten (Single tenant). Webmetic lässt nur Personen aus Ihrem eigenen Verzeichnis zu.

5. Wählen Sie unter Redirect URI die Plattform Web und geben Sie diese Adresse ein:

   Copy Text

   https://app.webmetic.de/auth/entra/callback

6. Klicken Sie auf Register. Die Seite Overview Ihrer App öffnet sich.

7. Kopieren Sie Application (client) ID und Directory (tenant) ID. Sie tragen beide Werte später in Webmetic ein.

Webmetic fragt bei der Anmeldung nur die Berechtigung User.Read an, und Microsoft trägt sie bei jeder neuen App ein. Wenn Ihr Verzeichnis die Zustimmung eines Admins verlangt, erteilt ein Admin sie unter API permissions mit Grant admin consent for und dem Namen des Verzeichnisses.

Geheimen Clientschlüssel anlegenCopy Anchor Link

Webmetic meldet sich mit einem geheimen Clientschlüssel bei Microsoft an. Webmetic unterstützt keine Zertifikate.

1. Öffnen Sie in Ihrer App Certificates & secrets > Client secrets.
2. Klicken Sie auf New client secret.
3. Geben Sie eine Beschreibung ein und wählen Sie die Laufzeit. Microsoft erlaubt höchstens 24 Monate und empfiehlt weniger als 12.
4. Klicken Sie auf Add.
5. Kopieren Sie sofort den Value des neuen Schlüssels, nicht seine ID. Sobald Sie die Seite verlassen, zeigt Microsoft den Wert nie wieder.

Notieren Sie sich das Ablaufdatum. Wie Sie den Schlüssel rechtzeitig erneuern, steht unter Einstellungen ändern.

Anmeldung in Microsoft Entra beschränkenCopy Anchor Link

Empfohlen: Lassen Sie nur die Personen zu, die mit Webmetic arbeiten. Sonst kann sich jede Person aus Ihrem Verzeichnis anmelden, und Webmetic legt für sie einen Benutzer an.

1. Öffnen Sie Enterprise apps und wählen Sie Ihre App.
2. Legen Sie unter Properties fest, dass Personen der App zugewiesen sein müssen.
3. Klicken Sie unter Users and groups auf Add user/group und wählen Sie die Personen oder Gruppen aus.

SSO in Webmetic einrichtenCopy Anchor Link

1. Öffnen Sie Menü > Unternehmen > SSO Einstellungen. Das Fenster SSO Einstellungen öffnet sich.
2. Geben Sie im Bereich Microsoft Entra ID Konfiguration die Application (client) ID in das Feld Anwendungs-ID (Client) ein.
3. Geben Sie die Directory (tenant) ID in das Feld Verzeichnis-ID (Mandant) ein.
4. Geben Sie den Value des Schlüssels in das Feld Geheimer Clientschlüssel ein.
5. Klicken Sie auf Speichern. Webmetic zeigt die Meldung „SSO-Konfiguration wurde gespeichert.“, und der Status wechselt auf SSO Aktiv.

SSO gilt ab dem Speichern. Weil es keine Schaltfläche zum Testen gibt, prüfen Sie die Werte mit der ersten Anmeldung.

Mit SSO anmeldenCopy Anchor Link

So melden sich Ihr Team und Sie selbst an. Testen Sie die Anmeldung, bevor Sie Ihr Team informieren.

Melden Sie sich dafür vorher ab oder nutzen Sie ein privates Browserfenster. Schließen Sie die Anmeldung im selben Browser-Tab ab.

1. Öffnen Sie die Anmeldeseite.
2. Klicken Sie auf SSO Login.
3. Geben Sie unter Ihre E-Mail-Adresse im Unternehmen Ihre E-Mail-Adresse ein.
4. Klicken Sie auf Mit Microsoft anmelden. Microsoft fragt nach Ihrer Anmeldung, wenn Sie dort noch nicht angemeldet sind.
5. Melden Sie sich bei Microsoft an. Webmetic öffnet danach Ihr Dashboard.

Weil die normale Anmeldeseite SSO nicht an der E-Mail-Adresse erkennt, führt der Weg immer über SSO Login. Über den Link Stattdessen mit Passwort anmelden kehren Sie zur normalen Anmeldung zurück.

Wenn die Anmeldung auf der Seite Anmeldung fehlgeschlagen endet, nennt die Seite den Grund. Prüfen Sie dann die drei Werte in SSO Einstellungen und die Redirect URI Ihrer App.

Benutzer über SSO verwaltenCopy Anchor Link

Webmetic erkennt bestehende Benutzer an der E-Mail-Adresse, die mit dem Anmeldenamen bei Microsoft übereinstimmen muss. Wer schon einen Benutzer hat, behält Rolle und Daten.

Für eine neue Person legt Webmetic bei der ersten Anmeldung einen Benutzer an, wenn Microsoft Entra sie zulässt. Die E-Mail-Domain der Person muss dafür zur E-Mail-Adresse eines Benutzers passen, der schon in Ihrem Konto ist.

Neue Benutzer haben die Rolle Nutzer und kein Passwort. Sie vergeben Admin-Rechte unter Benutzer und Rollen.

Benutzer ohne Passwort verbinden den KI-Assistenten mit dem API-Schlüssel. Bitten Sie eine Person mit Admin-Rechten um den API-Schlüssel.

Wenn die Seite die Meldung „SSO ist für diese E-Mail-Domain nicht verfügbar.“ zeigt, legen Sie die Person zuerst unter Menü > Unternehmen > Benutzer an. Danach meldet sie sich über SSO an.

Webmetic löscht keinen Benutzer, wenn Sie eine Person in Microsoft Entra sperren. Wenn jemand Ihr Unternehmen verlässt, löschen Sie die Person auch unter Benutzer.

Nur-SSO-Modus einschaltenCopy Anchor Link

Im Nur-SSO-Modus melden sich Benutzer mit der Rolle Nutzer nur noch über SSO an. Admins behalten ihr Passwort und erhalten ein gemeinsames Notfall-Passwort dazu.

Der Bereich Nur-SSO-Modus steht erst bereit, wenn SSO gespeichert ist.

1. Öffnen Sie Menü > Unternehmen > SSO Einstellungen.
2. Geben Sie im Bereich Nur-SSO-Modus unter Notfall-Passwort ein neues Passwort ein. Das Passwort braucht mindestens 30 Zeichen und drei von vier Zeichenarten: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen.
3. Klicken Sie auf Nur-SSO-Modus aktivieren. Der Bereich zeigt jetzt den Status Nur-SSO aktiv und das Datum.

Bewahren Sie das Notfall-Passwort sicher auf, zum Beispiel in einem Passwort-Manager. Webmetic kann es Ihnen nicht noch einmal zeigen.

Um ein neues Notfall-Passwort festzulegen, schalten Sie den Modus aus und wieder ein.

Der Modus ändert Folgendes:

• Nutzer: Die Anmeldung mit Passwort ist gesperrt. Die Anmeldeseite verweist auf SSO Login.
• Admins: Sie melden sich weiter mit Ihrem eigenen Passwort an. Statt Ihres Passworts können Sie auch das Notfall-Passwort verwenden, zusammen mit Ihrer eigenen E-Mail-Adresse.
• Notfall-Passwort: Jedes Konto hat ein Notfall-Passwort, und jeder Admin kann es nutzen.
• KI-Assistent: Benutzer mit der Rolle Nutzer verbinden den KI-Assistenten mit dem API-Schlüssel, den sie von einem Admin erhalten. Mehr dazu unter Sicherheit und Zugriff.

Einstellungen ändernCopy Anchor Link

Erneuern Sie den geheimen Clientschlüssel, bevor er in Microsoft Entra abläuft. Wenn der Schlüssel abgelaufen ist, endet jede Anmeldung über SSO auf der Seite Anmeldung fehlgeschlagen.

Admins melden sich dann weiter mit Passwort oder Notfall-Passwort im Dashboard an.

1. Legen Sie in Ihrer App unter Certificates & secrets einen neuen Schlüssel an und kopieren Sie den Value.
2. Öffnen Sie Menü > Unternehmen > SSO Einstellungen.
3. Geben Sie den neuen Wert in das Feld Geheimer Clientschlüssel ein.
4. Klicken Sie auf Speichern.

Wenn Sie das Feld Geheimer Clientschlüssel leer lassen, behält Webmetic den gespeicherten Schlüssel. Wenn Sie zu einer anderen App wechseln, geben Sie auch deren Schlüssel ein.

SSO ausschaltenCopy Anchor Link

Um nur den Nur-SSO-Modus auszuschalten, klicken Sie auf Nur-SSO-Modus deaktivieren und bestätigen die Rückfrage. SSO bleibt aktiv, und Benutzer mit der Rolle Nutzer melden sich wieder auch mit Passwort an.

So schalten Sie SSO ganz aus:

1. Öffnen Sie Menü > Unternehmen > SSO Einstellungen.
2. Klicken Sie im Bereich Microsoft Entra ID Konfiguration auf Deaktivieren.
3. Bestätigen Sie die Rückfrage. Webmetic zeigt die Meldung „SSO wurde deaktiviert.“

Die Schaltfläche Deaktivieren schaltet auch den Nur-SSO-Modus aus und löscht das Notfall-Passwort.

Danach melden sich alle mit Passwort an. Benutzer ohne Passwort klicken auf der Anmeldeseite auf Passwort vergessen?, und Webmetic sendet ihnen ein neues Passwort per E-Mail.

Wenn Ihr Konto in einen Plan ohne SSO wechselt, endet der Nur-SSO-Modus, und alle melden sich mit Passwort an. Ihre Einstellungen bleiben gespeichert und gelten wieder, sobald Ihr Konto Enterprise hat.

Die Seite SSO Login meldet in dieser Zeit, dass SSO nicht in Ihrem Plan enthalten ist.

Nächste SchritteCopy Anchor Link