Microsoft Entra ID: Single Sign-On

Bevor Sie beginnen

• In MuchSkills: die Rolle Owner oder Admin. Nur diese Rollen können den Bildschirm Security & SAML öffnen.
• In Microsoft Entra: ein Cloud Application Administrator oder Application Administrator, der die App erstellt, Single Sign-on einrichtet und Personen zuweist.
• Ihre E-Mail-Domains. Notieren Sie jede Domain, mit der sich Ihre Mitarbeitenden anmelden, zum Beispiel example.com und example.co.uk. Der Support fügt sie in Schritt 1 für Sie hinzu.
• Übereinstimmende E-Mail-Adressen. MuchSkills erkennt Personen an ihrer E-Mail-Adresse. Das Attribut mail in Entra sollte die Adresse sein, die die jeweilige Person für MuchSkills verwendet.
• Einige Testbenutzer. Weisen Sie zuerst sich selbst und zwei oder drei Kolleginnen und Kollegen zu. Machen Sie Single Sign-on erst verpflichtend, wenn sich diese anmelden können.

Schritte

In MuchSkills

1. Bitten Sie den Support, Ihre E-Mail-Domains hinzuzufügen. Schreiben Sie an support@muchskills.com oder nutzen Sie den Chat in MuchSkills. Nennen Sie jede Domain, die Ihre Mitarbeitenden verwenden. Sobald die Domains hinzugefügt sind, erscheinen sie unter Email domains auf Team/Org › Settings › Security & SAML. Bis dahin steht dort No domain added.
2. Kopieren Sie Ihre SSO URL. Kopieren Sie auf demselben Bildschirm die SSO URL. Sie beginnt mit https://app.muchskills.com/auth/saml/, gefolgt von der ID Ihrer Organisation. Lassen Sie diesen Tab geöffnet.

Team/Org › Settings › Security & SAML: 1 E-Mail-Domains, 2 SSO URL, 3 IDP Metadata URL, 4 Enable SAML.

In Microsoft Entra

3. Legen Sie die App an. Melden Sie sich im Microsoft Entra Admin Center an und öffnen Sie Entra ID › Enterprise apps › All applications › New application. Klicken Sie auf Create your own application, geben Sie als Namen MuchSkills ein, wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) und klicken Sie auf Create. Microsoft-Anleitung: Unternehmensanwendung hinzufügen
4. Wählen Sie SAML aus. Öffnen Sie in der neuen App den Bereich Single sign-on und wählen Sie SAML. Microsoft-Anleitung: SAML-basiertes Single Sign-On
5. Tragen Sie die Werte aus MuchSkills ein. Klicken Sie im Abschnitt Basic SAML Configuration auf Edit. Geben Sie Ihre SSO URL sowohl unter Identifier (Entity ID) als auch unter Reply URL (Assertion Consumer Service URL) ein. Die übrigen Felder bleiben leer. Klicken Sie dann auf Save.
6. Übermitteln Sie die E-Mail-Adresse als Name ID. Klicken Sie im Abschnitt Attributes & Claims auf Edit, öffnen Sie Unique User Identifier (Name ID), stellen Sie Source attribute auf user.mail und klicken Sie auf Save. Die zusätzlichen Claims bleiben, wie sie sind. Microsoft-Anleitung zu SAML-Claims
7. Kopieren Sie die Metadaten-URL. Kopieren Sie im Abschnitt SAML Certificates die App Federation Metadata Url.
8. Weisen Sie Ihre Testbenutzer zu. Öffnen Sie Users and groups › Add user/group, klicken Sie auf None Selected, wählen Sie Ihre Testbenutzer aus und klicken Sie auf Select und anschließend auf Assign. Um Gruppen zuzuweisen, benötigen Sie Microsoft Entra ID P1 oder P2. Microsoft-Anleitung: Benutzer und Gruppen zuweisen

Zurück in MuchSkills

9. Fügen Sie die Metadaten-URL ein. Fügen Sie die URL auf der Seite Security & SAML in das Feld IDP Metadata URL ein. Das Feld lässt sich bearbeiten, sobald Ihre Domain hinzugefügt ist. Änderungen werden direkt gespeichert.
10. Schalten Sie Single Sign-On ein. Aktivieren Sie Enable SAML. Alle mit einer E-Mail-Adresse auf Ihren Domains können sich nun mit ihrem Microsoft-Konto anmelden. Solange Sie das nicht erzwingen, ist die Anmeldung mit Passwort weiterhin möglich.
11. Testen Sie die Anmeldung. Öffnen Sie ein privates Browserfenster und rufen Sie app.muchskills.com/login auf. Geben Sie die E-Mail-Adresse eines zugewiesenen Testbenutzers ein und klicken Sie auf Continue. MuchSkills erkennt die Domain und zeigt Continue with SAML an. Klicken Sie darauf und melden Sie sich bei Microsoft an. Danach sind Sie in MuchSkills.
12. Machen Sie die Anmeldung bei Bedarf verpflichtend. Sobald die Anmeldung bei Ihren Testbenutzern funktioniert, weisen Sie in Entra alle zu, die MuchSkills nutzen sollen, und aktivieren Sie Enforce SAML. Dann können sich Personen auf Ihren Domains nur noch über Microsoft anmelden. Admins können sich weiterhin mit Passwort anmelden. Was sich für die Mitarbeitenden ändert, erklärt die Anleitung Single Sign-On und Zwei-Faktor-Authentifizierung erzwingen.

Prüfen, ob es funktioniert hat

• Ihr Testbenutzer kommt über die Microsoft-Anmeldung in MuchSkills, ohne MuchSkills-Passwort.
• Unter Team/Org › Settings › Manage Members ist bei Personen, die sich per Single Sign-On anmelden, neben dem Namen das Label SAML zu sehen.
• In Entra wird die Anmeldung in den Sign-in logs der App als erfolgreich angezeigt.

Ihr Nutzen

• Eine einzige Anmeldung. Ihre Mitarbeitenden melden sich mit ihrem Microsoft-Arbeitskonto an. Ein eigenes MuchSkills-Passwort, das man sich merken oder zurücksetzen müsste, gibt es nicht.
• Den Zugriff steuert Entra. Die Benutzer und Gruppen, die Sie in Entra zuweisen, bestimmen, wer sich anmelden kann, und zwar nach Ihren eigenen Anmelderichtlinien, etwa mit Multi-Faktor-Authentifizierung.
• Wer geht, verliert den Zugriff. Sobald Single Sign-On verpflichtend ist, kann sich eine Person, die Sie in Entra deaktivieren, nicht mehr bei MuchSkills anmelden.

Wichtig zu wissen

Die E-Mail-Adressen müssen übereinstimmen. Entra sendet das Attribut mail jeder Person. Weicht es von der E-Mail-Adresse ihres MuchSkills-Kontos ab, kann MuchSkills die Person nicht zuordnen. Korrigieren Sie die Adresse in Entra oder in MuchSkills, sodass beide gleich sind.

Single Sign-On regelt nur die Anmeldung. Damit Personen in MuchSkills angelegt und Abteilungen und Führungskräfte aktuell gehalten werden, richten Sie zusätzlich Microsoft Entra ID: Benutzer synchronisieren oder Microsoft Entra ID: SCIM-Provisioning ein.

Domains richtet MuchSkills ein. Wir fügen Ihre E-Mail-Domains hinzu, wenn wir SAML für Sie konfigurieren; Admins können sie nicht in der App hinzufügen. Wenden Sie sich an den Support, um später eine Domain hinzuzufügen oder zu entfernen. Single Sign-on gilt nur für E-Mail-Adressen auf den Domains, die unter Email domains aufgeführt sind.

Admins behalten den Zugang per Passwort. Auch wenn Enforce SAML aktiv ist, können sich Admins weiterhin mit einem Passwort anmelden, sodass Sie nicht ausgesperrt sind, falls die Microsoft-Anmeldung ein Problem hat. Schützen Sie diese Passwort-Anmeldungen mit Zwei-Faktor-Authentifizierung.

Zertifikatswechsel werden automatisch übernommen. MuchSkills liest die Metadaten-URL von Entra. Wechselt Entra zu einem neuen SAML-Signaturzertifikat, verwendet MuchSkills das neue, ohne dass Sie etwas ändern müssen. Testen Sie nach dem Wechsel eine Anmeldung per Single Sign-on.

Fehlerbehebung