LIVCK Cloud

Enterprise SSO (Single Sign-On)

Mit Single Sign-On (SSO) meldet sich dein Team zentral über euren eigenen Identity Provider (IdP) an – ohne separate Passwörter. LIVCK unterstützt jeden standardkonformen OpenID-Connect-(OIDC)-Anbieter, z.B.:

  • Microsoft Entra ID (Azure AD)
  • Okta
  • Keycloak
  • Google Workspace
  • und weitere OIDC-Provider

Enterprise-Feature

SSO wird pro Organisation freigeschaltet. Wende dich an unser Team – danach erscheint der Menüpunkt SSO in deinen Organisationseinstellungen.

Vorteile

  • Ein Login für alles – gewohnte Unternehmens-Zugangsdaten.
  • Zentrale Kontrolle – wer im IdP deaktiviert wird, verliert auch den LIVCK-Zugang.
  • Automatische Rollen – IdP-Gruppen werden auf LIVCK-Rollen abgebildet.
  • Weniger Passwörter – keine separaten LIVCK-Passwörter mehr nötig.

SSO einrichten

Die Einrichtung findest du unter Einstellungen → Organisation → SSO (erfordert die Berechtigung SSO verwalten).

1. Verbindung anlegen

Lege eine neue SSO-Verbindung an und hinterlege die Daten deines IdP:

  • Issuer-URL (die OIDC-Discovery-Adresse – wird beim Speichern live geprüft)
  • Client-ID und Client-Secret (aus der App-Registrierung im IdP)

Die passende Redirect-/Callback-URL für deinen IdP zeigt LIVCK bei der Einrichtung an – trage exakt diese URL in die erlaubten Redirect-URIs deines IdP-Clients ein.

Außerdem legst du hier fest:

  • Automatische Kontoerstellung – ob LIVCK beim ersten Login unbekannter Nutzer automatisch ein Konto anlegt (siehe unten).
  • Verhalten ohne Gruppen-Treffer – was passiert, wenn ein Nutzer in keine zugeordnete IdP-Gruppe fällt: Standard-Rolle zuweisen, keine Rollen zuweisen oder Anmeldung ablehnen.

2. Gruppen auf Rollen abbilden

Lege fest, welche IdP-Gruppe welche LIVCK-Rolle erhält. Bei der Anmeldung weist LIVCK dem Nutzer automatisch die passenden Rollen zu. Ändert sich seine Gruppe im IdP, passt sich die Rolle bei der nächsten Anmeldung an; manuell vergebene Rollen bleiben unberührt.

Standardmäßig liest LIVCK die Gruppen aus dem Claim groups im ID-Token; Claim-Name und Quelle (ID-Token oder UserInfo) sind konfigurierbar. Unter Erkannte Gruppen siehst du nach den ersten Anmeldungen, welche Gruppen dein IdP tatsächlich sendet, und kannst sie direkt zuordnen.

Reihenfolge

Richte die Gruppen-Zuordnung vor der Domain-Verifizierung ein – mit der ersten verifizierten Domain wird die Verbindung automatisch aktiv und Anmeldungen sind möglich.

3. Domain verifizieren

Damit nur du Anmeldungen für deine Domain einrichten kannst, weist du den Besitz deiner E-Mail-Domain nach (z.B. deinefirma.de):

  1. Füge deine Domain hinzu.
  2. Hinterlege den angezeigten TXT-Eintrag im DNS deiner Domain.
  3. Klicke auf Verifizieren.

Die Verifizierung erfolgt einmalig. Wir empfehlen, den TXT-Eintrag bestehen zu lassen – zwingend nötig ist das nach erfolgreicher Verifizierung aber nicht.

Verbindung wird automatisch aktiv

Mit der ersten erfolgreich verifizierten Domain wird die Verbindung automatisch aktiviert – ab diesem Moment können sich Mitarbeiter per SSO anmelden. Du kannst sie jederzeit manuell deaktivieren.

4. Testen

  • Verbindung testen – prüft Discovery, Signatur-Schlüssel und Zugangsdaten deines IdP, ohne etwas zu ändern. Jederzeit möglich, auch vor der Domain-Verifizierung.
  • Login testen – spielt den kompletten Anmeldefluss als Dry-Run durch und zeigt, welche E-Mail und Gruppen dein IdP sendet und welche Rollen sich daraus ergeben würden – ohne dass etwas angelegt wird. Möglich, sobald die Verbindung aktiv ist.

5. Deaktivieren & wieder aktivieren

Du kannst die Verbindung jederzeit deaktivieren – SSO-Anmeldungen sind dann sofort nicht mehr möglich. Beim erneuten Aktivieren wird sie wieder nutzbar, sofern mindestens eine verifizierte Domain vorhanden ist.

So melden sich deine Mitarbeiter an

Auf der Login-Seite wählt der Mitarbeiter „Single Sign-on (SSO)" und gibt seine geschäftliche E-Mail-Adresse ein. Gehört die Domain zu einer aktiven SSO-Verbindung, wird er zu eurem IdP weitergeleitet und nach erfolgreicher Anmeldung zurückgebracht.

Existiert noch kein Konto, wird es beim ersten Login automatisch angelegt (Just-in-Time-Provisioning) – sofern die automatische Kontoerstellung in der Verbindung aktiviert ist. Andernfalls können sich nur Nutzer anmelden, die bereits Mitglied der Organisation sind.

Besitzt ein Mitarbeiter bereits ein LIVCK-Konto mit derselben E-Mail-Adresse, wird es beim SSO-Login verknüpft; ist das Konto mit Zwei-Faktor-Authentifizierung geschützt, bestätigt er die Verknüpfung einmalig selbst.

Anmelde-Pflicht (Enforcement)

Optional kannst du SSO verpflichtend machen. Dann gilt für Mitglieder:

  • Anmeldung nur noch über SSO – kein Passwort-Login
  • keine selbst verwalteten Anmelde-Einstellungen (diese steuert euer IdP)

Erst nach erfolgreichem Test-Login aktivieren

Die Anmelde-Pflicht gilt sofort für alle Nutzer deiner verifizierten Domain – auch für Konten, die SSO bisher nie benutzt haben. Aktiviere sie erst, nachdem mindestens ein echter SSO-Login erfolgreich war.

Owner als Notzugang

Der Owner behält bewusst einen Notzugang (Break-Glass) per Passwort, falls der IdP einmal nicht erreichbar ist.

Weiterführende Themen