Single Sign On (SAML) und Benutzerbereitstellung (SCIM)

Mit Single Sign On meldet sich dein Team bei Deskwoot mit dem Arbeitskonto an, das es schon hat. So braucht niemand ein eigenes Deskwoot Passwort. Deine Firma verwaltet diese Arbeitskonten in einem Identitätsanbieter: dem Dienst, in dem sie festhält, wer bei ihr arbeitet, zum Beispiel Microsoft Entra ID, Okta oder Google Workspace. Deskwoot verbindet sich mit ihm über SAML 2.0, einen verbreiteten Standard, mit dem ein Dienst einem anderen sagt, wer jemand ist. Mit der Benutzerbereitstellung über SCIM, einem weiteren Standard, kann dein Identitätsanbieter außerdem selbst Personen in Deskwoot anlegen, ihre Angaben aktuell halten und sie wieder entfernen.

Single Sign On und Benutzerbereitstellung gibt es im Enterprise Plan. Nur Administratoren können sie einrichten, unter Einstellungen > Single Sign On. Die Seite führt dich in dieser Reihenfolge durch 5 Schritte.

Schritt 1: Bestätige deine E-Mail-Domain

Deine E-Mail-Domain ist der Teil nach dem @ in den E-Mail-Adressen deines Teams, zum Beispiel deinefirma.de. Nur Personen mit einer Adresse aus einer bestätigten Domain können sich über deinen Identitätsanbieter anmelden. Dass die Domain dir gehört, zeigst du mit einem DNS Eintrag. DNS ist das Adressbuch des Internets, und du verwaltest es meist bei der Firma, bei der du die Domain gekauft hast.

1. Unter 1. Welche E-Mail-Domains gehören deiner Firma? gibst du deine Domain ohne das @ ein und klickst auf Domain hinzufügen.
2. Deskwoot zeigt dir den Eintrag, den du brauchst. Leg dort, wo du das DNS deiner Domain verwaltest, einen neuen Eintrag mit diesen Werten an:
   • Typ: TXT
   • Name: deine Domain selbst. Manche DNS Dienste wollen stattdessen @ als Namen.
   • Wert: deskwoot-verification= und danach der Code von der Seite. Nutz Kopieren daneben, damit nichts fehlt.
3. Klick auf Jetzt prüfen. Findet Deskwoot den Eintrag, zeigt die Domain Bestätigt.

Ein neuer Eintrag kann ein paar Minuten dauern, manchmal ein paar Stunden, bis Deskwoot ihn sieht. Ist der Eintrag noch nicht da, prüf Name und Wert und versuch es später noch einmal. Du kannst mehr als eine Domain hinzufügen. Jede Domain kann nur in einem Deskwoot Workspace bestätigt sein.

Schritt 2: Verbinde deinen Identitätsanbieter

Unter 2. Welchen Identitätsanbieter nutzt deine Firma? zeigt Deskwoot die Werte für deinen Identitätsanbieter. Das klappt mit Microsoft Entra ID, Okta, Google Workspace und jedem anderen SAML 2.0 Anbieter.

1. Leg in deinem Identitätsanbieter eine SAML App für Deskwoot an.
2. Kopiere die Werte von Deskwoot in die App:
   • Entity ID: Microsoft Entra ID nennt das Bezeichner (Entitäts-ID), Okta nennt es Audience URI und Google Workspace nennt es Entitäts-ID.
   • ACS URL: die Adresse, an die dein Anbieter die Personen nach der Anmeldung zurückschickt. Microsoft Entra ID nennt sie Antwort URL, Okta nennt sie Single sign on URL und Google Workspace nennt sie ACS URL.
   • Metadaten URL: Manche Anbieter lesen alle Werte von Deskwoot auf einmal von dieser Adresse, dann musst du sie nicht einzeln kopieren.
3. Sorg dafür, dass dein Anbieter die E-Mail-Adresse jeder Person schickt. Stell das Name ID Format auf E-Mail-Adresse, oder schick die Adresse als Attribut mit dem Namen email oder mail oder als emailaddress Claim.
4. Dein Anbieter muss die Assertion signieren, also den Teil seiner Antwort, der sagt, wer sich angemeldet hat. Microsoft Entra ID und Okta machen das von sich aus. In Google Workspace lässt du die Standardeinstellung, wie sie ist. Verschlüsselte Assertions unterstützt Deskwoot nicht, lass die Verschlüsselung also aus.
5. Klick zurück in Deskwoot unter Einstellungen deines Identitätsanbieters auf Anbieter Einstellungen hinzufügen und wähl, wie du sie hinzufügen möchtest:
   • Metadaten XML einfügen: Dein Anbieter bietet es als Datei oder Seite an, die Metadaten, IdP Metadaten oder Verbundmetadaten XML heißt. Öffne sie und füge alles ein.
   • Von Hand eingeben: Gib die Entity ID des Anbieters, die Anmelde URL und das Zertifikat ein. Deskwoot braucht die Anmelde URL für das HTTP Redirect Binding, und sie beginnt mit https://. Füge das ganze Signaturzertifikat ein, mit den Zeilen BEGIN und END.
6. Klick auf Einstellungen speichern.

Wenn du geänderte Einstellungen speicherst, geht Single Sign On wieder aus. Teste die Anmeldung dann noch einmal und schalte es wieder ein.

Schritt 3: Teste die Anmeldung

Unter 3. Klappt die Anmeldung? klickst du auf Anmeldung testen und meldest dich mit deinem eigenen Arbeitskonto bei deinem Identitätsanbieter an. Nimm ein Konto, dessen Adresse in einer deiner bestätigten Domains liegt. Der Test klappt, während Single Sign On noch aus ist, und für alle anderen bleibt Single Sign On aus, während du testest. Zurück auf der Seite zeigt Deskwoot das Ergebnis und die E-Mail-Adresse, die dein Anbieter geschickt hat. Hat der Test nicht geklappt, vergleich die Entity ID, die Anmelde URL und das Zertifikat mit deinem Anbieter und teste noch einmal.

Schritt 4: Schalte Single Sign On ein

Unter 4. Single Sign On einschalten schaltest du Single Sign On ein. Personen mit einer Adresse aus deinen bestätigten Domains können jetzt auf der Anmeldeseite von Deskwoot auf Mit SSO anmelden klicken. Solange du Single Sign On nicht zur Pflicht machst, können sie auch weiter ihr Passwort nutzen.

Schritt 5: Mach Single Sign On zur Pflicht (optional)

Unter 5. Sollen sich Personen aus deinen Domains nur so anmelden? (optional) schaltest du Single Sign On zur Pflicht machen ein und bestätigst mit Zur Pflicht machen. Dann gilt:

• Personen mit einer Adresse aus deinen bestätigten Domains können sich nur noch über deinen Identitätsanbieter anmelden. Deskwoot lehnt ihr Passwort und die Anmeldung mit Google oder Apple ab, und die Anmeldeseite schickt sie zu Single Sign On.
• Wer von ihnen anders angemeldet ist, wird in dem Moment abgemeldet, in dem du es einschaltest.
• Der Inhaber des Workspace kann sich immer auch mit dem Passwort anmelden, falls dein Anbieter ausfällt.
• Personen mit einer Adresse außerhalb deiner Domains, zum Beispiel externe Mitarbeiter, behalten ihr Passwort.
• Lädst du jemanden mit einer Adresse aus deinen Domains ein, legt die Person kein Passwort fest. Sie klickt auf Mit Single Sign On weiter, und ihre erste Anmeldung über deinen Anbieter nimmt die Einladung an.

So meldet sich dein Team an

1. Klick auf der Anmeldeseite von Deskwoot auf Mit SSO anmelden.
2. Gib deine Geschäftliche E-Mail-Adresse ein und klick auf Weiter.
3. Deskwoot bringt dich zur Anmeldeseite deiner Firma. Nach der Anmeldung dort bist du zurück in Deskwoot.

Eine Deskwoot Kachel im Okta oder Microsoft Dashboard klappt auch: Deskwoot startet dann eine frische Anmeldung über deinen Anbieter. Nach Single Sign On fragt Deskwoot nicht nach seinem eigenen Code für die Zwei-Faktor-Authentifizierung. Diesen Schritt übernimmt dein Identitätsanbieter.

Neue Personen

Wer sich mit einer Adresse aus deinen Domains zum ersten Mal über Single Sign On anmeldet, kommt als Agent auf einen freien Platz in deinen Workspace. Zum Administrator machst du die Person unter Einstellungen > Agenten.

• Ohne freien Platz sieht die Person einen Fehler. Füg unter Einstellungen > Abrechnung Plätze hinzu, dann kann sie es noch einmal versuchen. Deskwoot kauft nie selbst Plätze.
• Eine Person kann nur zu einem Deskwoot Workspace gehören. Wer schon zu einem anderen Deskwoot Workspace gehört, kann deinem auf diesem Weg nicht beitreten.

Benutzerbereitstellung (SCIM)

Mit der Benutzerbereitstellung legt dein Identitätsanbieter Agenten in Deskwoot für dich an, ändert und entfernt sie. Das klappt nur für Adressen aus deinen bestätigten Domains und nur auf freien Plätzen.

1. Klick unter Benutzerbereitstellung (SCIM) auf Token erstellen. Ein Token ist ein langer geheimer Code, mit dem dein Anbieter mit Deskwoot spricht. Kopier ihn sofort: Deskwoot zeigt ihn nur einmal. Klick dann auf Fertig.
2. Öffne in deinem Identitätsanbieter die Bereitstellungseinstellungen deiner Deskwoot App und trag die SCIM Basis URL https://deskwoot.com/api/scim/v2 und den Token ein:
   • Microsoft Entra ID: Füge unter Bereitstellung die URL als Mandanten URL und den Token als Geheimes Token ein.
   • Okta: Wähl SCIM 2.0, füge die URL als SCIM connector base URL ein, stell den Authentication Mode auf HTTP Header und füge den Token als Bearer Token ein.
   • Google Workspace: Öffne in der Admin Console unter Apps > Web and mobile apps die Deskwoot App und klick unter Autoprovisioning auf Configure auto-provisioning. Füge den Token und dann die URL als SCIM endpoint URL ein, ordne Primary email dem Feld userName zu und stell Autoprovisioning auf Active. Google führt das gerade erst ein: Zeigt die App kein Autoprovisioning, hat deine Organisation es noch nicht, und die Leute kommen stattdessen mit ihrer ersten Anmeldung dazu.
3. Weis der App die Personen zu, die Deskwoot nutzen sollen. Weis Personen zu, keine Gruppen: Gruppen stellt Deskwoot nicht bereit.

Ab dann macht dein Anbieter das selbst:

• Agenten anlegen: nur Personen mit einer Adresse aus deinen bestätigten Domains und nur auf freien Plätzen. Neue Personen sind Agenten. Administratoren machst du unter Einstellungen > Agenten.
• Personen ändern: Namen und E-Mail-Adressen folgen deinem Anbieter.
• Personen entfernen: Nimmst du jemandem in deinem Anbieter die Zuweisung weg oder deaktivierst die Person, verlässt sie deinen Workspace sofort. Ihr Deskwoot Login bleibt, und ihre Konversationen sind dann niemandem mehr zugewiesen. Den Inhaber des Workspace kann dein Anbieter so nicht entfernen.

Du kannst bis zu 5 Tokens haben. Bei jedem steht, wann er erstellt und wann er zuletzt genutzt wurde. Um einen Token zu stoppen, klick daneben auf Widerrufen und bestätige mit Token widerrufen. Wer schon im Workspace ist, bleibt.

Zusammenfassung

Unter Einstellungen > Single Sign On bestätigst du deine E-Mail-Domain, verbindest deinen Identitätsanbieter, testest die Anmeldung und schaltest Single Sign On ein. Wenn du willst, machst du es für alle aus deinen Domains zur Pflicht und lässt deinen Anbieter über SCIM Agenten anlegen und entfernen. Dann meldet sich dein Team bei Deskwoot mit dem Arbeitskonto an, das es schon hat.

Häufige Fragen

Was passiert, wenn unser Plan unter Enterprise fällt?

Single Sign On und Benutzerbereitstellung hören auf, und alle melden sich wieder mit ihrem Passwort an. Wer nie ein Deskwoot Passwort hatte, legt eins über Passwort vergessen? auf der Anmeldeseite fest.

Deskwoot findet meinen DNS Eintrag nicht. Was kann ich tun?

Ein neuer Eintrag kann ein paar Minuten dauern, manchmal ein paar Stunden, bis Deskwoot ihn sieht. Prüf, ob der Typ TXT ist, ob der Name deine Domain ist (oder @, wenn dein DNS Dienst das will) und ob der ganze Wert da ist. Klick dann noch einmal auf Jetzt prüfen.

Jemand sieht, dass im Workspace kein Platz frei ist. Was jetzt?

Füg unter Einstellungen > Abrechnung einen Platz hinzu, dann meldet sich die Person noch einmal an. Deskwoot kauft nie selbst Plätze, auch nicht über die Benutzerbereitstellung.

Was, wenn unser Identitätsanbieter ausfällt?

Der Inhaber des Workspace kann sich immer mit dem Passwort anmelden, auch wenn Single Sign On Pflicht ist. Personen mit einer Adresse außerhalb deiner bestätigten Domains behalten ihr Passwort ebenfalls.

Der Test sagt, meine Adresse liegt außerhalb der bestätigten Domains. Warum?

Dein Identitätsanbieter hat eine E-Mail-Adresse geschickt, deren Domain du in Deskwoot nicht bestätigt hast. Teste mit einem Konto, dessen Adresse in einer deiner bestätigten Domains liegt, und prüf, ob dein Anbieter die E-Mail-Adresse als Name ID oder als E-Mail Attribut schickt.