So richtest du Single Sign-on für dein Unternehmen ein#
Für: Admin Du brauchst: Die Rolle Inhaber, jemanden, der euren Identity Provider verwaltet (Microsoft Entra ID, Google Workspace, Okta, …), und Zugriff auf das DNS eurer Domain.
Mit Single Sign-on meldet sich dein Team bei Shiftavo mit dem Firmenkonto an, das es ohnehin hat, statt mit einem separaten Shiftavo-Passwort. Wir richten es für dich ein — es gibt kein Formular auszufüllen. In diesem Artikel geht es darum, was du uns schickst, was dich erwartet und was du danach selber steuerst.
Bemerkung
Single Sign-on wird pro Unternehmen eingerichtet. Wenn du mehrere Unternehmen unter einem Konto führst, bekommt jedes sein eigenes — sie können auf denselben Identity Provider zeigen.
Bitte uns um die Einrichtung#
Eröffne ein Ticket im Helpdesk (siehe Support) und sag uns, um welches Unternehmen es geht. Wir antworten mit einer Redirect-URI — einer Adresse, die eure IT braucht, wenn sie Shiftavo auf ihrer Seite registriert.
Was eure IT registriert#
Die Administration eures Identity Providers legt eine Anwendung für Shiftavo an und schickt uns drei Werte:
die Issuer-URL — die eurer Organisation, nicht eine gemeinsame;
die Client-ID;
das Client Secret.
Schick das Secret so, wie du jedes Passwort verschicken würdest. Sag uns gleichzeitig, welche E-Mail-Domains eure Mitarbeitenden nutzen — example.ch und alle weiteren.
Warnung
Nur Microsoft Entra ID: Bitte eure IT, email als optionalen Claim auf dem Token hinzuzufügen. Entra schickt sonst keine E-Mail-Adresse mit, und ohne die können wir nicht erkennen, wer sich anmeldet.
Weise nach, dass die Domains euch gehören#
Für jede genannte Domain schicken wir dir einen DNS-Eintrag zum Veröffentlichen — einen TXT-Eintrag der Form _shiftavo-verify.example.ch. So wissen wir, dass die Domain wirklich euch gehört, und niemand sonst kann seinen Identity Provider auf die Adressen eurer Mitarbeitenden richten.
Veröffentliche den Eintrag bei eurem DNS-Anbieter.
Sag uns Bescheid, oder warte einfach — wir prüfen täglich nach.
Sobald eine Domain verifiziert ist, schalten wir Single Sign-on ein und dein Team kann es nutzen.
Bemerkung
Wir prüfen weiter, nicht nur einmal. Verschwindet der Eintrag später — etwa bei einem DNS-Umzug —, zählt die Domain nicht mehr, und war sie die letzte verifizierte, schaltet sich Single Sign-on selber ab, statt einem Anspruch zu vertrauen, den niemand belegen kann.
Lade dein Team zuerst ein#
Eine Anmeldung mit dem Firmenkonto legt kein Shiftavo-Konto an. Wer nicht eingeladen ist, wird mit «Bitte deine Administration um eine Einladung» abgewiesen. Lade dein Team wie gewohnt ein (Eine Person hinzufügen) — eine noch offene Einladung ist in Ordnung, die erste Anmeldung über Single Sign-on aktiviert sie, und es braucht keine Bestätigungsmail.
Was du danach selber steuerst#
Öffne das Konto-Menü (oben rechts) → ‚Konto‘ → ‚Unternehmen verwalten‘. Bei jedem Unternehmen, das dir gehört, steht ein Abschnitt ‚Single Sign-on‘ mit Status, eurem Identity Provider, der Redirect-URI, euren E-Mail-Domains und der letzten Anmeldung auf diesem Weg. Zwei Einstellungen kannst du ändern — anhaken und auf ‚Speichern‘ klicken:
‚Single Sign-on verlangen (Inhaber behalten ihr Passwort)‘ — Passwörter und Passwort-Zurücksetzungen funktionieren nicht mehr für Mitarbeitende, deren E-Mail-Adresse in einer verifizierten Domain liegt. Du als Inhaber behältst deines, damit ein defekter Identity Provider dich nie von der Rechnungsstellung aussperren kann.
‚Zwei-Faktor-Prüfung meines Identity Providers vertrauen‘ — wenn euer Identity Provider bereits einen zweiten Faktor abfragt, fragt Shiftavo nicht nochmals nach seinem eigenen.
Alles andere — der Provider, das Secret, die Domains — ändern wir. Nutze dafür ‚Änderung anfragen‘ in diesem Abschnitt oder den Helpdesk.
Prüfen, ob es geklappt hat#
Der Abschnitt ‚Single Sign-on‘ zeigt ein Badge ‚Aktiv‘, und bei jeder Domain steht ‚Bestätigt‘. Bitte jemanden aus deinem Team, sich ab- und wieder anzumelden: Nach der Eingabe der Arbeits-E-Mail-Adresse auf der Anmeldeseite wird das Passwortfeld durch einen Button ‚Weiter mit …‘ ersetzt.