Mit Single Sign-On (SSO) über SAML melden sich Ihre Mitarbeiter bei seven mit dem Identitätsanbieter (IdP) Ihres Unternehmens an - zum Beispiel Microsoft Entra ID, Okta, Google Workspace oder Keycloak. Sie legen dazu einmalig eine SSO-Konfiguration für eine E-Mail-Domain an. Anschließend können sich alle Mitarbeiter mit dieser Domain über die zentrale Anmeldung Ihres Unternehmens einloggen.
SSO richtet sich an Firmenkunden, die den Zugang zentral über ihren eigenen IdP steuern möchten. Wenn Sie sich stattdessen einfach ohne Passwort über ein Google-, GitHub- oder Microsoft-Konto anmelden möchten, ist die Anmeldung mit Google, GitHub oder Microsoft der passende Weg.
Voraussetzungen
- Sie benötigen die Rolle Eigentümer oder Administrator, um SSO zu konfigurieren.
- Ihr Unternehmen betreibt einen SAML-2.0-fähigen Identitätsanbieter.
- Sie haben Zugriff auf die DNS-Einstellungen der E-Mail-Domain, die Sie für SSO verwenden möchten. Öffentliche E-Mail-Anbieter (z.B. gmail.com) sind nicht zulässig.
SSO einrichten
Sie finden die Konfiguration unter Einstellungen → SSO (SAML). Die Einrichtung besteht aus drei Schritten: Service-Provider-Daten beim IdP hinterlegen, Identitätsanbieter bei seven eintragen und die Domain verifizieren.
1. Service-Provider-Daten beim IdP hinterlegen
Im Abschnitt Service-Provider-Daten (seven) finden Sie die Werte, die Sie in Ihrem Identitätsanbieter als neue Anwendung (Service Provider) hinterlegen:
- SP Entity ID - die eindeutige Kennung von seven als Service Provider.
- ACS-URL (Assertion Consumer Service) - die Adresse, an die Ihr IdP die Anmeldeantwort zurückschickt.
- Metadata-URL - alternativ können viele Identitätsanbieter die Service-Provider-Daten automatisch über diese URL importieren.
Über die Schaltflächen neben den Feldern kopieren Sie die Werte in die Zwischenablage.
2. Identitätsanbieter eintragen
Im Abschnitt Identitätsanbieter (IdP) tragen Sie die Daten Ihres IdP ein:
- E-Mail-Domain - die Domain, deren Mitarbeiter sich per SSO anmelden dürfen, zum Beispiel
firma.de. - IdP Entity ID - die Kennung Ihres Identitätsanbieters.
- IdP Single-Sign-On-URL - die Anmelde-URL Ihres IdP (muss mit
https://beginnen). - IdP-Signaturzertifikat (X.509) - das öffentliche Zertifikat, mit dem Ihr IdP die Anmeldeantworten signiert.
Zusätzlich legen Sie fest, ob unbekannte Mitarbeiter bei ihrer ersten Anmeldung automatisch als Mitglied angelegt werden sollen (siehe Automatische Mitgliederanlage), und mit welcher Standardrolle das geschieht.
Klicken Sie anschließend auf Änderungen speichern.
3. Domain verifizieren
Nach dem Speichern erscheint der Abschnitt Domain-Verifizierung. Solange die Domain nicht verifiziert ist, funktioniert die SSO-Anmeldung noch nicht - so stellen wir sicher, dass nur der tatsächliche Inhaber einer Domain SSO dafür aktivieren kann.
Hinterlegen Sie dazu den angezeigten TXT-Eintrag im DNS Ihrer Domain und klicken Sie auf Jetzt prüfen. Sobald wir den Eintrag finden, wird die Konfiguration als verifiziert markiert und SSO ist aktiv.
DNS-Änderungen können einige Zeit brauchen, bis sie weltweit sichtbar sind. Die Prüfung läuft danach automatisch täglich weiter; Sie können sie über Jetzt prüfen aber auch jederzeit selbst auslösen.
Anmeldung für Mitarbeiter
Ist die Domain verifiziert, melden sich Ihre Mitarbeiter so an:
- Die Anmeldeseite
dashboard.seven.ioöffnen. - Auf die Schaltfläche SSO unter dem Anmeldeformular klicken.
- Die geschäftliche E-Mail-Adresse eingeben (z.B.
name@firma.de).
seven leitet den Mitarbeiter daraufhin zur Anmeldung Ihres Unternehmens weiter. Nach erfolgreicher Anmeldung beim IdP gelangt er direkt ins Dashboard.
Alternativ können Sie Ihren Mitarbeitern intern den direkten Link dashboard.seven.io/sso/firma.de (mit Ihrer Domain) zur Verfügung stellen, der die Anmeldung sofort startet.
Automatische Mitgliederanlage
Ist die Option zur automatischen Mitgliederanlage aktiviert, wird ein Mitarbeiter, der sich zum ersten Mal per SSO anmeldet, automatisch als Account-Mitglied mit der festgelegten Standardrolle angelegt. So müssen Sie neue Mitarbeiter nicht einzeln einladen.
Ist die Option deaktiviert, können sich nur Mitarbeiter anmelden, die Sie zuvor als Mitglied hinzugefügt haben.
Die per SSO angemeldeten Personen sind immer Mitglieder Ihres Accounts - sie erhalten keinen eigenständigen Account. Verlässt ein Mitarbeiter das Unternehmen und wird in Ihrem IdP deaktiviert, entfällt damit auch sein Zugang zu seven.
Laufende Domain-Verifizierung
Wir prüfen den DNS-Eintrag Ihrer verifizierten Domains regelmäßig automatisch. Fehlt der TXT-Eintrag über mehrere Tage, informieren wir den Eigentümer und die Administratoren per E-Mail und deaktivieren SSO für die Domain anschließend. Bis dahin haben Sie Zeit, den Eintrag wiederherzustellen. Nach dem Wiederherstellen können Sie die Domain jederzeit erneut verifizieren.
Häufige Fragen
Beim Anmelden erscheint "Für diese E-Mail-Domain ist kein SSO eingerichtet". Prüfen Sie, ob die eingegebene E-Mail-Domain exakt der konfigurierten Domain entspricht und ob die Domain bereits verifiziert ist.
Ein Mitarbeiter hat bereits ein eigenes seven-Konto mit seiner Firmen-E-Mail. Kann er sich per SSO anmelden? Nicht automatisch. Gehört eine E-Mail-Adresse bereits einem eigenständigen Konto oder einem Mitglied eines anderen Accounts, wird die SSO-Anmeldung abgelehnt - das schützt bestehende Konten vor einer unbeabsichtigten Übernahme. Nahtlos per SSO anmelden können sich nur Personen, die bereits Mitglied Ihres Accounts sind oder bei aktivierter automatischer Mitgliederanlage neu hinzukommen. Haben sich Mitarbeiter früher selbst mit ihrer Firmen-E-Mail registriert, muss ihr bestehendes Konto zunächst aufgelöst oder zusammengeführt werden. Wenden Sie sich dazu an unseren Support.
Gilt die Zwei-Faktor-Authentifizierung weiterhin? Ja. Sicherheitsmechanismen wie eine erzwungene Zwei-Faktor-Authentifizierung oder die IP-Whitelist für den Login greifen auch bei der Anmeldung per SSO.
Kann eine Domain von mehreren Accounts genutzt werden? Nein. Eine E-Mail-Domain kann nur einem seven-Account zugeordnet werden.
Was ist der Unterschied zur Anmeldung mit Google, GitHub oder Microsoft? Bei der Anmeldung mit Google, GitHub oder Microsoft meldet sich eine einzelne Person mit ihrem persönlichen Konto an. SSO über SAML richtet das Unternehmen zentral für eine ganze Domain ein und steuert den Zugang über den eigenen Identitätsanbieter.