Single Sign-on mit Okta

Ermöglichen Sie Personen die Anmeldung bei MuchSkills mit ihrem Okta-Konto. Sie legen in Okta eine SAML-2.0-App-Integration an, verbinden sie in MuchSkills auf der Seite Security & SAML, testen sie mit ein paar Personen und entscheiden anschließend, ob Sie die Anmeldung über Okta verpflichtend machen.

Aktualisiert 8. Oktober 2026

Anbindung auf AnfrageAdmins und HRIT

Wer: Ein MuchSkills-Owner oder -Admin, gemeinsam mit einem Okta-Admin, der Apps anlegen und zuweisen kann
So funktioniert die Anbindung: Der Support fügt Ihre E-Mail-Domain hinzu, den Rest erledigen Sie unter Settings › Security & SAML
Standard: SAML 2.0
Pakete: In allen Tarifen enthalten

How to

Bevor Sie beginnen

In MuchSkills: die Rolle Owner oder Admin. Nur diese Rollen können die Seite Security & SAML öffnen.
In Okta: ein Administrator, der App-Integrationen anlegen und Personen sowie Gruppen zuweisen kann.
Ihre E-Mail-Domains. Listen Sie jede Domain auf, mit der sich Ihre Mitarbeitenden anmelden, zum Beispiel example.com und example.de. Der Support fügt sie in Schritt 1 für Sie hinzu.
Übereinstimmende E-Mail-Adressen. MuchSkills erkennt Personen an ihrer E-Mail-Adresse. Die E-Mail-Adresse in Okta sollte die Adresse sein, die die jeweilige Person für MuchSkills nutzt.
Einige Testnutzer. Weisen Sie zuerst sich selbst und zwei oder drei Kollegen zu. Erzwingen Sie Single Sign-on erst, wenn diese sich anmelden können.

Schritte

In MuchSkills

Bitten Sie den Support, Ihre E-Mail-Domains hinzuzufügen. Schreiben Sie an support@muchskills.com oder nutzen Sie den Chat in MuchSkills. Geben Sie alle Domains an, die Ihre Mitarbeitenden nutzen. Sobald sie hinzugefügt sind, stehen sie unter Email domains auf der Seite Team/Org › Settings › Security & SAML. Bis dahin steht dort No domain added.
Kopieren Sie Ihre SSO URL. Auf derselben Seite kopieren Sie die SSO URL. Sie beginnt mit https://app.muchskills.com/auth/saml/, danach folgt die ID Ihrer Organisation. Lassen Sie den Tab offen.

Team/Org › Settings › Security & SAML: 1 Email domains, 2 SSO URL, 3 IDP Metadata URL, 4 Enable SAML.

In Okta

Starten Sie eine neue App-Integration. Gehen Sie in der Okta Admin Console zu Applications and Resources › Applications (Applications › Applications in Orgs mit Classic Engine) und klicken Sie auf Create App Integration. Falls Okta fragt, wählen Sie Classic experience. Wählen Sie SAML 2.0 als Sign-in method und klicken Sie auf Next. Oktas Anleitung zu SAML-App-Integrationen
Benennen Sie die App. Geben Sie unter General Settings MuchSkills als App name ein. Ein Logo ist optional. Klicken Sie auf Next.
Tragen Sie die MuchSkills-Werte ein. Unter Configure SAML:
- Single sign-on URL: Ihre SSO URL. Lassen Sie Use this for Recipient URL and Destination URL aktiviert.
- Audience URI (SP Entity ID): dieselbe SSO URL.
- Default RelayState: leer lassen.
- Name ID format: EmailAddress.
- Application username: Email.
- Klicken Sie auf Next. Oktas Referenz zu den SAML-Feldern
Schließen Sie den Assistenten ab. Wählen Sie I'm an Okta customer adding an internal app und This is an internal app that we have created und klicken Sie dann auf Finish.
Fügen Sie die Namensattribute hinzu. Klicken Sie auf dem Tab Sign On der App auf Edit, gehen Sie zu Attribute statements und klicken Sie auf Add expression. Fügen Sie zwei Ausdrücke hinzu: firstName mit dem Wert user.profile.firstName und lastName mit dem Wert user.profile.lastName. Klicken Sie auf Save.
Kopieren Sie die Metadaten-URL. Suchen Sie auf dem Tab Sign On der App die Metadata URL und klicken Sie auf Copy. Oktas Anleitung zum Finden der Metadaten-URL
Weisen Sie Ihre Testnutzer zu. Öffnen Sie den Tab Assignments, klicken Sie auf Assign und wählen Sie Assign to People oder Assign to Groups. Klicken Sie neben jedem Testnutzer auf Assign, dann auf Save and Go Back und Done.

Zurück in MuchSkills

Fügen Sie die Metadaten-URL ein. Fügen Sie die URL auf Security & SAML in das Feld IDP Metadata URL ein. Das Feld lässt sich bearbeiten, sobald Ihre Domain hinzugefügt ist. Jede Änderung wird automatisch gespeichert.
Aktivieren Sie Single Sign-on. Schalten Sie Enable SAML ein. Ab jetzt kann sich jede Person mit einer E-Mail-Adresse auf Ihren Domains über Okta anmelden. Bis Sie SAML erzwingen, funktioniert auch das Passwort weiterhin.
Testen Sie die Anmeldung. Öffnen Sie ein privates Browserfenster und rufen Sie app.muchskills.com/login auf. Geben Sie die E-Mail-Adresse eines zugewiesenen Testnutzers ein und klicken Sie auf Continue. MuchSkills erkennt die Domain und zeigt Continue with SAML an. Klicken Sie darauf und melden Sie sich bei Okta an. Danach sind Sie in MuchSkills.
Erzwingen Sie SAML, wenn Sie möchten. Klappt die Anmeldung bei Ihren Testnutzern, weisen Sie in Okta alle zu, die MuchSkills brauchen. Schalten Sie danach Enforce SAML ein. Wer eine E-Mail-Adresse auf Ihren Domains hat, meldet sich dann nur noch über Okta an. Admins können sich weiterhin mit einem Passwort anmelden. Die Anleitung „Single Sign-on und Zwei-Faktor-Authentifizierung erzwingen“ erklärt, was sich dadurch für die Nutzer ändert.

So prüfen Sie, ob es funktioniert

Ihr Testnutzer gelangt über Okta zu MuchSkills, ohne MuchSkills-Passwort.
Unter Team/Org › Settings › Manage Members steht bei Personen, die sich per Single Sign-on anmelden, ein SAML-Label neben dem Namen.

Benefits

Ihre Vorteile

Ein Login. Alle melden sich mit ihrem Okta-Konto an. Ein eigenes MuchSkills-Passwort, das man sich merken oder zurücksetzen müsste, gibt es nicht.
Okta steuert den Zugriff. Wer sich anmelden kann, bestimmen die Personen und Gruppen, die Sie in Okta zuweisen, nach Ihren eigenen Okta-Anmelderichtlinien.
Wer geht, verliert den Zugriff. Sobald Sie Single Sign-on erzwingen, kann sich niemand mehr bei MuchSkills anmelden, den Sie in Okta deaktiviert haben.

Important to know

Wichtig zu wissen

E-Mail-Adressen müssen übereinstimmen. Okta sendet die E-Mail-Adresse jeder Person als Name ID. Weicht sie von der E-Mail-Adresse im MuchSkills-Konto ab, kann MuchSkills die Person nicht zuordnen. Korrigieren Sie die Adresse in Okta oder in MuchSkills, sodass beide gleich sind.

Single Sign-on deckt nur die Anmeldung ab. Damit Personen in MuchSkills angelegt werden und ihre Daten aktuell bleiben, richten Sie zusätzlich „Okta: Nutzer synchronisieren“ oder „Okta: SCIM-Provisioning“ ein. SCIM-Provisioning wird in Okta in dieselbe App-Integration eingebunden.

Domains richtet MuchSkills ein. Wir fügen Ihre E-Mail-Domains hinzu, wenn wir SAML für Sie konfigurieren; Admins können sie nicht in der App hinzufügen. Um später eine Domain hinzuzufügen oder zu entfernen, wenden Sie sich an den Support. Single Sign-on gilt nur für E-Mail-Adressen auf den Domains, die unter Email domains aufgeführt sind.

Admins behalten den Zugang per Passwort. Wenn Enforce SAML aktiv ist, können sich Admins weiterhin mit einem Passwort anmelden, sodass Sie nicht ausgesperrt sind, wenn Okta ein Problem hat. Schützen Sie diese Passwort-Anmeldungen mit Zwei-Faktor-Authentifizierung.

Zertifikatswechsel werden automatisch übernommen. Okta listet die Zertifikate der App unter SAML Signing Certificates auf dem Tab Sign On auf. MuchSkills liest die Metadaten-URL von Okta. Wenn Sie also auf ein neues Zertifikat umstellen, verwendet MuchSkills es, ohne dass Sie etwas ändern müssen. Testen Sie nach der Umstellung eine Anmeldung per Single Sign-on.

Common errors

Fehlerbehebung

Was Sie sehen	Ursache	Was zu tun ist
Okta meldet, dass Sie der App nicht zugewiesen sind	Die Person ist der MuchSkills-App in Okta nicht zugewiesen	Weisen Sie die Person oder eine Gruppe, der sie angehört, auf dem Tab Assignments zu
Sie melden sich bei Okta an, gelangen aber nicht zu MuchSkills	Single sign-on URL oder Audience URI (SP Entity ID) stimmt nicht mit den MuchSkills-Werten überein	Kopieren Sie die SSO URL erneut und fügen Sie sie Zeichen für Zeichen in beide Felder ein
This email is not configured to use SAML/SSO	Die Domain der E-Mail-Adresse ist nicht unter Email domains aufgeführt, oder Enable SAML ist ausgeschaltet	Prüfen Sie die Domains und den Schalter auf Security & SAML. Bitten Sie den Support, eine fehlende Domain hinzuzufügen
No account with this email exists	MuchSkills hat kein Konto mit der E-Mail-Adresse, die Okta gesendet hat	Prüfen Sie Name ID format und Application username in Okta. Laden Sie die Person ein oder nehmen Sie sie in Ihre Nutzersynchronisierung auf
Das Feld IDP Metadata URL ist ausgegraut	Es wurde noch keine E-Mail-Domain hinzugefügt	Bitten Sie den Support, Ihre Domains hinzuzufügen (Schritt 1)
Enable SAML lässt sich nicht einschalten	Es gibt noch keine Domain oder keine IDP Metadata URL	Schließen Sie zuerst die Schritte 1 und 10 ab
This email is enforced to log in using SAML/SSO	Enforce SAML ist aktiv und die Person hat es mit einem Passwort versucht	Klicken Sie auf Continue with SAML und melden Sie sich bei Okta an

Häufig gestellte Fragen

Was brauchen wir in Okta?

Einen Okta-Administrator, der App-Integrationen erstellen und sie Personen und Gruppen zuweisen kann. In MuchSkills brauchen Sie die Rolle Owner oder Admin.

Warum müssen wir uns zuerst an den Support wenden?

Single Sign-on gilt jeweils für eine E-Mail-Domain, und die Domains fügt der Support Ihrer Organisation hinzu. Den zweiten Wert finden Sie in Ihrer Ansicht Security & SAML: die SSO URL. Sie tragen sie sowohl als Single sign-on URL als auch als Audience URI ein. Damit haben Sie alle Werte, die Sie für Okta brauchen.

Welches Name-ID-Format sollten wir wählen?

EmailAddress, wobei Application username auf Email gesetzt ist. MuchSkills identifiziert Personen über die E-Mail-Adresse, die Okta übermittelt.

Können wir es mit wenigen Personen testen, bevor alle dabei sind?

Ja, und wir empfehlen es. Weisen Sie in Okta nur Ihre Testbenutzer der App zu und lassen Sie Enforce SAML ausgeschaltet. Alle anderen melden sich weiterhin wie bisher an. Sobald die Testbenutzer hineinkommen, weisen Sie die übrigen zu.

Können sich Personen weiterhin mit Passwort anmelden?

Ja, bis Sie Enforce SAML einschalten. Danach können sich Personen mit einer E-Mail-Adresse auf Ihren Domains nur noch über Okta anmelden. Admins können sich weiterhin mit Passwort anmelden.

Was passiert bei einem Okta-Ausfall?

Wenn Sie SAML erzwingen, können sich Ihre Admins trotzdem mit Passwort bei MuchSkills anmelden. Außerdem kann ein Admin Enforce SAML deaktivieren, bis Okta wieder läuft.

Fügt Single Sign-on unsere Mitarbeitenden zu MuchSkills hinzu?

Single Sign-on steuert, wie sich Personen anmelden. Um Personen aufzunehmen und ihre Angaben aktuell zu halten, richten Sie Okta: Benutzer synchronisieren oder Okta: SCIM-Provisionierung ein.

Wir haben mehr als eine E-Mail-Domain. Funktioniert das?

Ja. Bitten Sie den Support, jede Domain hinzuzufügen, mit der sich Ihre Mitarbeitenden anmelden. Alle nutzen dieselbe App-Integration in Okta.

Ist Single Sign-on in unserem Tarif enthalten?

Ja. Alle MuchSkills-Tarife enthalten Single Sign-on (SAML) und SCIM-Provisionierung.