Wie richte ich Single Sign-on ein? (Am Beispiel Microsoft Entra ID)

Mit Single Sign-on (SSO) melden sich deine Benutzer nur einmal bei deinem Identity-Provider an und können danach ohne weitere Passworteingabe auf d.vinci zugreifen. Dazu müssen zwei Systeme miteinander bekannt gemacht werden: d.vinci (Service Provider) und dein Identity-Provider (IdP).

Diese Anleitung zeigt die Einrichtung am Beispiel von Microsoft Entra ID (früher Azure Active Directory).

Hinweis
Als Identity-Provider kommen viele verschiedene Drittlösungen infrage. Diese Anleitung ist deshalb nur ein Beispiel und gilt nur für die genannte Software im hier beschriebenen Stand. Microsoft ändert die Oberfläche des Entra Admin Centers regelmäßig – Bezeichnungen können bei dir leicht abweichen. Verbindliche Informationen findest du in der Produktdokumentation des Herstellers.

Kontaktiere uns gern, wenn du Unterstützung bei der Einrichtung brauchst.

Das brauchst du vorab

• In d.vinci: Zugriff auf die Grundeinstellungen und auf die Benutzerverwaltung
• In Microsoft Entra ID: mindestens die Rolle Cloudanwendungsadministrator
• Die Information, welches Attribut in Entra ID dem Benutzernamen in d.vinci entspricht (siehe Abschnitt „Die NameID muss passen")

So läuft die Einrichtung ab

Der Ablauf ist ein Austausch in beide Richtungen:

1. In Entra ID eine Anwendung für d.vinci anlegen
2. Die Metadaten aus d.vinci holen
3. SAML in Entra ID konfigurieren
4. Die Metadaten aus Entra ID in d.vinci hinterlegen (per URL oder Datei)
5. Den Zugriff auf die Anwendung in Entra ID regeln
6. Sicherstellen, dass die übermittelte NameID zum d.vinci-Benutzernamen passt
7. SSO bei den betroffenen Benutzern in d.vinci aktivieren

Schritt 1: Anwendung in Entra ID anlegen

1. Melde dich im Microsoft Entra Admin Center.
2. Öffne in der linken Navigation Entra ID → Unternehmens-Apps (englisch: Entra ID → Enterprise apps) und dort Alle Anwendungen.

3. Klicke auf Neue Anwendung (New application).
4. Klicke auf Eigene Anwendung erstellen (Create your own application).

5. Gib unter „Wie lautet der Name der App?" einen Namen ein, zum Beispiel d.vinci SSO, wähle die Option „Beliebige andere, nicht im Katalog gefundene Anwendung integrieren" und klicke unten auf Erstellen.

Schritt 2: Metadaten aus d.vinci holen

1. Wechsle zu d.vinci und öffne Grundeinstellungen → Registerkarte SSO. Die Registerkarte ist in zwei Bereiche geteilt: links die Identity Provider Konfiguration (die du im Abschnitt „IdP-Metadaten in d.vinci hinterlegen" ausfüllst), rechts die Service Provider Information mit den Angaben, die dein Identity-Provider benötigt.

2. Öffne rechts unter Service Provider Information den Link Service Provider Metadata XML und speichere die Datei. Sie hat die Form https://<Domain-des-Systems>/plt/samlConfig/spMetadataXml.

Tipp
Dieser Link ist auch ohne Anmeldung in d.vinci erreichbar. Wenn die Metadaten zum Beispiel an eine externe IT weitergegeben werden müssen, genügt es, die Adresse zu verschicken.

Schritt 3: SAML in Entra ID konfigurieren

1. Zurück im Entra Admin Center: Öffne in der neu erstellten Anwendung im Menü Verwalten → Einmaliges Anmelden (Manage → Single sign-on) und wähle die Methode SAML.

2. Klicke oben auf Metadatendatei hochladen (Upload metadata file), wähle die Datei aus d.vinci aus und klicke auf Hinzufügen. Die Felder unter 1 Grundlegende SAML-Konfiguration werden dadurch automatisch gefüllt.

Alternativ trägst du Bezeichner (Entitäts-ID) und Antwort-URL von Hand ein; beide Werte stehen in der Metadatendatei aus d.vinci.

3. Klicke auf Speichern, um die importierte Konfiguration zu übernehmen.
4. Scrolle zum Abschnitt 3 SAML-Zertifikate (SAML Certificates) und klicke beim Tokensignaturzertifikat auf Bearbeiten.

5. Setze im Dialog SAML-Signaturzertifikat die Signaturoption (Signing Option) auf SAML-Antwort und-Assertion signieren (Sign SAML response and assertion) und klicke oben auf Speichern.

6. Kopiere im selben Abschnitt über das Kopieren-Symbol die App-Verbundmetadaten-URL (App Federation Metadata Url).

Schritt 4: IdP-Metadaten in d.vinci hinterlegen

Für die Metadaten deines Identity-Providers gibt es in d.vinci zwei Wege. Wir empfehlen die URL-Variante.

Variante A (empfohlen): per URL

1. Wechsle zu d.vinci in Grundeinstellungen → Registerkarte SSO und klicke bei Identity Provider Konfiguration auf das Bearbeiten-Symbol (Stift). Solange noch keine Konfiguration hinterlegt ist, steht dort Keine Daten vorhanden.

2. Wähle bei Quelle die Option URL, trage die im Abschnitt „SAML in Entra ID konfigurieren" kopierte Adresse im Feld IdP Metadata XML URL ein und klicke auf Aktualisieren.

Achtung
Änderungen an der Konfiguration wirken sich auch auf Bewerbungsportale aus, die mit diesen Daten per SSO gesichert sind.

d.vinci ruft die Metadaten unter dieser Adresse einmal täglich um 04:00 Uhr neu ab. Damit ist auch ein rollierender Austausch des Token-Signing-Zertifikats unterstützt: Erneuert dein Identity-Provider das Zertifikat, übernimmt d.vinci die Änderung automatisch, ohne dass du eingreifen musst. Rechne dabei mit einem Verzug von bis zu 24 Stunden – wenn es schneller gehen muss, klicke im Formular einfach erneut auf Aktualisieren.

3. Prüfe das Ergebnis: Nach dem Speichern ist der Bereich Identity Provider Konfiguration gefüllt und zeigt IdP Metadata XML, Letzte Aktualisierung, IdP Metadata XML URL, IdP Issuer/ EntityID, IdP Redirect Binding URL sowie IdP X.509 Zertifikate mit Gültigkeitszeitraum. Stehen diese Werte da, hat d.vinci die Metadaten deines Identity-Providers erfolgreich gelesen.

Variante B: per Dateiupload

Alternativ wählst du im selben Formular bei Quelle die Option Datei und lädst die Metadaten deines Identity-Providers im Feld IdP Metadata XML hoch. Das ist zum Beispiel sinnvoll, wenn der Identity-Provider keine öffentlich erreichbare Metadaten-URL bereitstellt.

Beachte dabei: Die Datei ist eine Momentaufnahme. Sobald sich die Metadaten ändern – insbesondere beim Wechsel des Token-Signing-Zertifikats – musst du die Datei manuell erneut hochladen, sonst schlägt die Anmeldung ab dem Wechsel fehl. Die tägliche automatische Aktualisierung greift nur bei der URL-Variante.

Enthält deine Datei mehr als einen Identity Provider, meldet d.vinci „Die hochgeladene Datei enthält mehr als einen Identity Provider. Bitte wähle den IdP aus, der für die Konfiguration von SSO in d.vinci verwendet werden soll." Wähle dann im Formular den passenden IdP aus und lade die Datei erneut hoch.

Schritt 5: Zugriff in Entra ID regeln

In Entra ID steht die Einstellung Zuweisung erforderlich? (Assignment required?) unter Verwalten → Eigenschaften standardmäßig auf Ja. Solange das so bleibt, weist Entra ID jeden Benutzer ab, der der Anwendung nicht ausdrücklich zugewiesen ist. Du musst deshalb eine der beiden Varianten umsetzen.

Variante A: Zuweisung deaktivieren (einfacher)

1. Öffne in der Anwendung Verwalten → Eigenschaften, setze Zuweisung erforderlich? auf Nein und klicke auf Speichern.

Damit dürfen grundsätzlich alle Benutzer deines Tenants die Anwendung nutzen. Wer tatsächlich Zugriff auf d.vinci hat, steuerst du weiterhin über die Benutzerverwaltung in d.vinci – dort sind die Benutzer ohnehin gepflegt.

Variante B: Benutzer und Gruppen zuweisen

1. Lass Zuweisung erforderlich? auf Ja und öffne Verwalten → Benutzer und Gruppen (Users and groups).
2. Klicke auf Benutzende Person/Gruppe hinzufügen und weise alle Benutzer bzw. Gruppen zu, die d.vinci per SSO nutzen sollen. Diese Liste musst du künftig parallel zur Benutzerverwaltung in d.vinci pflegen.

Welche Variante passt, liegt in deinem Ermessen und richtet sich meist nach den internen IT-Richtlinien.

Schritt 6: Die NameID muss passen

d.vinci benötigt genau einen Wert aus der SAML-Antwort: die NameID. Sie muss exakt dem Benutzernamen des jeweiligen Benutzers in d.vinci entsprechen. Weitere Claims oder Attribute werden nicht ausgewertet.

Wichtig
SSO legt keine Benutzer an. d.vinci vergleicht die NameID nur mit den bereits vorhandenen Benutzern – wer in d.vinci nicht angelegt ist (oder dessen Anmeldung bis überschritten ist), kann sich auch per SSO nicht anmelden. Eine automatische Benutzerbereitstellung aus Entra ID heraus gibt es nicht; die Benutzerverwaltung bleibt in d.vinci.

Welches Attribut du dafür in Entra ID heranziehst, ist deine Entscheidung – üblich sind zum Beispiel die E-Mail-Adresse, der UPN oder der Windows-Anmeldename, es kann aber auch jedes andere Attribut sein, solange die Werte zu den Benutzernamen in d.vinci passen.

Standardmäßig liefert Entra ID als Eindeutige Benutzer-ID das Attribut user.userprincipalname, das Namensbezeichnerformat steht dabei auf E-Mail-Adresse. Passt das zu deinen d.vinci-Benutzernamen, musst du hier nichts ändern. So prüfst oder änderst du die Zuordnung:

1. Öffne in der Anwendung Einmaliges Anmelden, scrolle zu 2 Attribute & Ansprüche (Attributes & Claims) und klicke auf Bearbeiten.

2. Klicke unter Erforderlicher Anspruch (Required claim) auf die Zeile Eindeutiger Benutzerbezeichner (Namens-ID).

Hinweis
Klicke auf die Zeile selbst, nicht auf die drei Punkte am Zeilenende: Das Drei-Punkte-Menü bietet beim erforderlichen Anspruch nur Löschen an, und das ist ausgegraut.

3. Wähle im Dialog Anspruch verwalten unter Namensbezeichnerformat (Name identifier format) das gewünschte Format und unter Quellattribut (Source attribute) das Attribut, das den d.vinci-Benutzernamen enthält. Klicke dann auf Speichern.

Beispiel Windows-Anmeldename: Setze Namensbezeichnerformat auf Standard (Default) und Quellattribut auf user.onpremisessamaccountname.

Voraussetzung für dieses Beispiel
Das Attribut user.onpremisessamaccountname muss in Entra ID gefüllt sein. Es entsteht in der Regel bei der Synchronisation eines lokalen Active Directory mit Entra ID (zum Beispiel über Microsoft Entra Connect). Ohne Synchronisation ist das Attribut leer und die Anmeldung schlägt fehl.

Schritt 7: SSO bei den Benutzern in d.vinci aktivieren

1. Öffne in d.vinci die Benutzerverwaltung und setze bei jedem Benutzer, der sich künftig per SSO anmelden soll, Single Sign-on auf Ja.

Hinweis
Die Einstellung Single Sign-on erscheint beim Benutzer erst, wenn die Identity Provider Konfiguration hinterlegt ist. Findest du das Feld nicht, fehlt noch der Abschnitt „IdP-Metadaten in d.vinci hinterlegen".

2. Direkt darüber steht die Einstellung Benutzername/ Passwort. Sie bleibt unabhängig von SSO wirksam: Solange sie auf Ja steht, kann sich der Benutzer weiterhin mit Benutzername und Passwort anmelden. Willst du SSO erzwingen, setze sie auf Nein.

Achtung
Setze Benutzername/ Passwort erst dann auf Nein, wenn die Anmeldung per SSO für diesen Benutzer nachweislich funktioniert. Stehen beide Einstellungen auf Nein, kann sich der Benutzer gar nicht mehr anmelden.

Teste die Anmeldung anschließend mit einem einzelnen Benutzer, bevor du SSO breiter ausrollst.

Gut zu wissen
Für neu angelegte Benutzer übernimmt d.vinci die Einstellungen ab jetzt automatisch: Sobald eine Identity Provider Konfiguration hinterlegt ist, steht im Formular Single Sign-on auf Ja und Benutzername/ Passwort auf Nein. Wer für einen neuen Benutzer die Passwort-Anmeldung braucht, muss das also aktiv umstellen.

So melden sich deine Benutzer künftig an

d.vinci leitet nicht automatisch zum Identity-Provider weiter. Auf der Anmeldeseite erscheint neben der Anmeldung mit Benutzername und Passwort zusätzlich die Schaltfläche Single Sign-on. Sie ist erst vorhanden, wenn die Identity Provider Konfiguration hinterlegt ist.

Wie prominent die Schaltfläche steht, richtet sich danach, wie viele deiner aktiven Benutzer SSO nutzen:

• Die Mehrheit nutzt SSO: Die Schaltfläche Single Sign-on steht oben, noch vor den Feldern für Benutzername und Passwort, und ist als Hauptaktion hervorgehoben.
• Die Minderheit nutzt SSO: Benutzername und Passwort stehen oben, der Cursor steht im Feld Benutzername, und die Schaltfläche Single Sign-on folgt unterhalb des Formulars.

Der Umschlagpunkt liegt bei der Hälfte: Sobald mehr aktive Benutzer SSO nutzen als Benutzername und Passwort, wandert die Schaltfläche nach oben. Deine Benutzer müssen also unter Umständen erst nach unten scrollen – ein häufiger Grund für die Rückmeldung, SSO „funktioniere nicht".

Abmelden. Das Abmelden in d.vinci beendet nur die d.vinci-Sitzung, nicht die Sitzung beim Identity-Provider – ein Single Logout gibt es nicht. Wer sich abmeldet und danach erneut auf Single Sign-on klickt, ist sofort wieder angemeldet, ohne Anmeldemaske. Das ist erwartetes Verhalten und kein Fehler. Auf gemeinsam genutzten Geräten müssen deine Benutzer sich zusätzlich beim Identity-Provider abmelden oder das Browserfenster schließen.

Zwei-Faktor-Authentifizierung. Die 2FA von d.vinci greift nur bei der Anmeldung mit Benutzername und Passwort. Wer sich per SSO anmeldet, wird nicht zusätzlich nach einem Code gefragt – der zweite Faktor liegt dann bei deinem Identity-Provider (bei Microsoft Entra ID zum Beispiel über MFA und Richtlinien für bedingten Zugriff). Plane das ein, wenn du 2FA in d.vinci aktiv hast und Benutzer auf SSO umstellst.

SSO wieder abschalten

Für einzelne Benutzer: Setze in der Benutzerverwaltung zuerst Benutzername/ Passwort auf Ja und danach Single Sign-on auf Nein. Die Reihenfolge ist wichtig – stehen beide Einstellungen gleichzeitig auf Nein, kann sich der Benutzer nicht mehr anmelden.

Für das ganze System: Klicke in Grundeinstellungen → Registerkarte SSO oben rechts auf Löschen und bestätige die Rückfrage. d.vinci verwirft daraufhin die Identity Provider Konfiguration samt gespeicherter Metadatendatei. Die Schaltfläche Single Sign-on verschwindet von der Anmeldeseite, und die Einstellung Single Sign-on ist im Benutzerformular nicht mehr sichtbar.

Achtung
Prüfe vorher, bei welchen Benutzern Benutzername/ Passwort auf Nein steht, und stelle diese auf Ja. Sonst haben sie nach dem Löschen keinen Anmeldeweg mehr. Die Einstellung Single Sign-on selbst bleibt pro Benutzer gespeichert und wird wieder sichtbar, sobald du erneut eine Konfiguration hinterlegst.

In Entra ID kannst du die Unternehmensanwendung anschließend löschen oder unter Einmaliges Anmelden die Methode auf Deaktiviert setzen. Vergiss dabei die Bewerbungsportale nicht, die eventuell mit derselben Konfiguration gesichert sind.

Wenn die Anmeldung nicht funktioniert

Diese beiden Meldungen sehen die Benutzer selbst, wenn die Anmeldung fehlschlägt:

d.vinci weist dich außerdem selbst auf Probleme hin. Diese Meldungen können auftauchen:

Die beiden Zertifikatswarnungen sehen nur Benutzer, die die Grundeinstellungen bearbeiten dürfen.