Custom SAML2: Single Sign-On mit Flexopus
Verbinden Sie Flexopus mit Ihrem eigenen Identity Provider über den SAML2-Standard und ermöglichen Sie Ihren Mitarbeitenden eine sichere, zentral verwaltete Anmeldung – ohne zusätzliche Passwörter.
Was ist die Custom SAML2-Integration?
SAML2 (Security Assertion Markup Language 2.0) ist ein weit verbreiteter offener Standard für den sicheren Austausch von Authentifizierungsinformationen zwischen einem Identity Provider (IdP) und einem Service Provider (SP). Flexopus agiert dabei als Service Provider und unterstützt jeden Identity Provider, der den SAML2-Standard erfüllt.
Die Integration ermöglicht es, Single Sign-On (SSO) für Flexopus einzurichten: Nutzerinnen und Nutzer melden sich einmalig bei ihrem Unternehmens-Identity-Provider an und erhalten automatisch Zugang zu Flexopus – ohne separate Anmeldedaten. Dabei werden grundlegende Nutzerattribute wie Name, E-Mail-Adresse und optionale Felder wie Abteilung oder Kostenstelle über SAML2-Assertions übertragen.
Wozu dient die Integration?
Die Custom SAML2-Integration verbindet Flexopus nahtlos mit Ihrer bestehenden IT-Infrastruktur. Sobald ein Mitarbeitender sich bei Ihrem Identity Provider authentifiziert hat, wird er automatisch in Flexopus eingeloggt – ohne erneute Passworteingabe.
Typische Anwendungsszenarien sind zum Beispiel:
- Unternehmen, die einen eigenen oder weniger verbreiteten Identity Provider nutzen (z. B. Keycloak, Ping Identity, Okta oder einen individuellen SAML2-konformen IdP), können Flexopus trotzdem vollständig integrieren.
- Die Zugriffskontrolle verbleibt zentral beim Identity Provider: Administratoren legen dort fest, welche Nutzer oder Gruppen sich bei Flexopus anmelden dürfen.
- Neue Mitarbeitende werden beim ersten Login automatisch in Flexopus angelegt – eine manuelle Vorab-Einrichtung ist nicht erforderlich.
Wie einfach ist die Integration?
Die Einrichtung erfolgt über die Flexopus-Administrationsseite unter Einstellungen > Authentifizierung. Dort werden die benötigten Konfigurationsparameter (Entity ID, ACS-URL, Metadaten-URL) bereitgestellt, die Sie in Ihrem Identity Provider hinterlegen. Anschließend laden Sie die Metadaten Ihres IdP in Flexopus hoch oder geben die Metadaten-URL an.
Es können auch mehrere SSO-Provider gleichzeitig konfiguriert werden – praktisch für Unternehmen mit mehreren Gesellschaften oder IdPs.
Eine vollständige Schritt-für-Schritt-Anleitung zur Einrichtung finden Sie in unserem Hilfe-Zentrum.
Welche Vorteile hat die Integration?
- Kompatibilität mit jedem SAML2-konformen Identity Provider – unabhängig vom Hersteller oder System.
- Single Sign-On für Ihre Mitarbeitenden: eine Anmeldung, Zugang zu allen verbundenen Systemen – kein zusätzliches Passwort für Flexopus.
- Zentrale Zugriffskontrolle: Sie steuern im Identity Provider, wer Zugang zu Flexopus hat – auf Basis von Nutzern oder Gruppen.
- Automatische Nutzeranlage beim ersten Login: Neue Mitarbeitende müssen nicht manuell in Flexopus angelegt werden.
- Synchronisation von Nutzerattributen wie Name, E-Mail, Abteilung, Kostenstelle oder Jobtitel direkt über SAML2.
- Erhöhte Sicherheit durch signierte SAML2-Assertions und optionale Verschlüsselung der übertragenen Daten.
- Unterstützung für Multi-Faktor-Authentifizierung (MFA) – geregelt direkt über Ihren Identity Provider.
- Passwort-Login in Flexopus kann optional deaktiviert werden, um SSO als einzige Anmeldemethode durchzusetzen.
Kategorien
Developed By
Flexopus GmbHWeitere Integrationen
.svg)
Fragen und Antworten
Funktioniert die Integration auch mit unserem eigenen Identity Provider, der nicht in der Liste steht?
Ja. Flexopus implementiert den offiziellen SAML2-Standard und ist damit grundsätzlich mit jedem SAML2-konformen Identity Provider kompatibel – unabhängig vom Hersteller. Für gängige Anbieter wie Microsoft Entra ID, Google, Keycloak, Okta, Ping Identity oder Akamai stehen zusätzlich spezifische Anleitungen bereit.
Welche Nutzerdaten werden über SAML2 übertragen?
Pflichtfelder sind Vorname, Nachname (oder ein kombiniertes Namensfeld) sowie die E-Mail-Adresse. Optional können weitere Attribute wie Jobtitel, Abteilung, Kostenstelle oder Gruppenzugehörigkeiten übertragen werden. Es werden ausschließlich die Daten übermittelt, die Sie in Ihrem Identity Provider für die Übertragung konfigurieren.
Was passiert, wenn ein Nutzer aus dem Identity Provider entfernt wird?
Wird ein Nutzer im Identity Provider deaktiviert oder entfernt, kann er sich nicht mehr über SSO bei Flexopus anmelden. Der Zugang wird damit automatisch gesperrt. Der Nutzereintrag in Flexopus bleibt bestehen, bis er dort manuell gelöscht wird. Für eine vollautomatische Deaktivierung oder Löschung empfehlen wir die zusätzliche Nutzung der SCIM-Schnittstelle.
Ist es möglich, den Passwort-Login parallel zum SSO zu nutzen?
Ja, standardmäßig können beide Anmeldemethoden gleichzeitig aktiv sein. Administratoren können den Passwort-Login jedoch gezielt deaktivieren, um SSO als einzige Anmeldeoption durchzusetzen. Ein verstecktes Backup-Login bleibt für Administratoren weiterhin zugänglich.
Was ist beim User Principal Name (UPN) zu beachten?
Der UPN ist ein eindeutiges, unveränderliches Identifikationsmerkmal in SAML2. Er sollte nach der Ersteinrichtung nicht geändert werden, da dies zu doppelten Nutzereinträgen oder Zuordnungsfehlern führen kann. Sollte eine Änderung notwendig sein, wenden Sie sich bitte an den Flexopus-Support.