Inhalt

Single-Sign-On (SSO bzw. Einmalanmeldung) ist ein Authentifizierungsverfahren, in dem Sie ohne die Eingabe von Anmeldedaten sofort mit Ihrem Benutzer im BMD Web angemeldet werden.

Das Ziel von SSO ist demnach, dass sich der Benutzer nur einmalig authentifizieren muss und die Anwendung anschließend diese Aufgabe übernimmt.

Grundsätzlich müssen die SSO-Anwendung innerhalb der NTCS sowie die ISP-Anwendung bei Google oder Azure nur einmalig vom Administrator angelegt werden. Anschließend kann man in der Benutzerverwaltung jedem Benutzer eine SSO-Anwendung zuordnen und eine E-Mail-Adresse (Google) oder UPN (Azure) zur Erkennung hinterlegen.

Falls für die SSO-Anmeldung eine Multi-Faktor-Authentifizierung mittels Einmal-Passwort eingesetzt werden soll, wird das Lizenzpaket 495 benötigt.

1. Anlegen einer BMD SSO-Anwendung

Unter TOOLS → Tools → Berechtigungen → SSO-Anwendungen muss zuerst eine neue Anwendung angelegt werden.

Eine neue SSO-Anwendung erhält gleich bei der Neuanlage eine neue eindeutige Anwendungs-ID, welche zur Identifizierung innerhalb des BMD Systems dient.

Wird als Identity Service Provider (ISP) Azure oder Google verwendet, so können die URLs zu den ISP-Endpunkten über die Funktionen im Menü übernommen werden. Ansonsten müssen diese Zugangspunkte vom Administrator bereitgestellt werden. Client-ID und Client-Secret werden von der ISP-Anwendung definiert, deren Anlage später noch am Beispiel Azure und Google erläutert wird. Diese können dann zu einem späteren Zeitpunkt nachgetragen werden.

Abschließend muss das Vergleichskriterium email für Google oder UPN für Azure ausgewählt werden.

Die Felder "Login- und Callback-URLs" existieren jeweils für BMD Web und BMD Com. Die Login-URLs dienen zum Aufruf des BMD SSO-Endpoints und zum Einstieg in BMD Web mittels der ISP-Anmeldung. Die Callback-URLs müssen bei Erstellung der ISP-Anwendung (z. B. Google oder Azure) auf der jeweiligen Plattform hinterlegt werden. Details hierzu finden Sie im Kapitel Anlegen einer ISP-Anwendung.

Zusammengesetzt wird die Callback-URL aus dem Parameter "URL zum eigenen Server für BMD Com" bzw. "URL zum eigenen Server für BMD Web" in den Tools-Parametern.

Achtung!

Nachträgliche Änderungen der SSO-Anwendung werden erst nach Neustart des Anwendungspools (App-Pool) am Webserver übernommen!

2. Anlegen einer ISP-Anwendung

Hinweis

Nachfolgende Screenshots dienen als Symbolbilder und können vom aktuellen Erscheinungsbild der Benutzeroberflächen von Azure oder Google abweichen.

2.1. Azure

Für eine SSO-Anmeldung mit Azure muss im Azure Portal eine neue Applikation eingerichtet werden.

Öffnen Sie hierzu das Fenster App registrations im Azure Portal und klicken Sie auf New registration.

Anschließend können Sie den Namen der Applikation vergeben und die Redirect URl hinterlegen.

Für die Redirect URl muss die BMD Web Callback URL bzw. BMD Com Callback URL aus dem NTCS Fenster SSO-Anwendungen angegeben werden.

Zum Autorisieren von BMD Web bzw. BMD Com für den Zugriff auf diese ISP-Anwendung muss als nächstes die Application (client) ID kopiert werden und anschließend bei der jeweiligen SSO-Anwendung in der NTCS im Feld "Client ID" hinterlegt werden.

Als nächstes wechseln Sie zum Fenster Certificates & secrets und klicken Sie auf New client secret.

Das Secret an der markierten Stelle im Screenshot muss anschließend im Feld "Client Secret" in der BMD NTCS hinterlegt werden.

Achtung!

Nach Verlassen von "Certificates & secrets" kann das Client Secret nicht mehr kopiert werden! Achten Sie bitte darauf, dass Sie das Client Secret gleich hier kopieren und an anderer Stelle sichern.

Hinweis

Für das Azure Single Login braucht die NTCS keine speziellen API-Permissions.

Azure UPN als Alternative zur E-Mail

Hinweis
In Azure gibt es noch die Möglichkeit, den UPN im ID-Token zu verwenden. Hier ist noch folgende Anpassung notwendig:

Anschließend bestätigen, bei der folgenden Hinweismeldung das Häkchen setzen und auf "Add" klicken:

Seitenanfang

2.2. Google

Für eine SSO-Anmeldung mit Google muss in der Google Cloud Platform oder über den Entwickler-Login eine neue ISP-Anwendung eingerichtet werden.

Wechseln Sie anschließend in das Fenster OAuth consent screen und dann auf das Fenster Overview. Wählen Sie dann Get Started aus.

Anschließend muss im folgenden Fenster ein Applikationsname eingegeben werden.

Wählen Sie den User-Type "External" aus.

Bestätigen Sie die nächsten zwei Schritte und wählen Sie Create aus.

Als nächstes unter "Metrics" Create OAuth client auswählen.

Anschließend wählen Sie Web application und hinterlegen einen Namen. Im Feld "Authorized redirect URls" muss die Callback-URL der NTCS hinterlegt werden.

Anschließend erhalten Sie Ihre Client-ID und das Client Secret.

Diese müssen Sie nun in der BMD NTCS in den Feldern Client-ID und Client Secret hinterlegen.

Wechseln Sie zum Fenster Data Access und wählen Sie Add or remove scopes aus.

Die folgenden Scopes - email, profile und openid müssen freigegeben werden.

Nach dem Hinzufügen der Scopes mit Save bestätigen.

Seitenanfang

3. Benutzerzuordnung

In der Benutzerverwaltung sowie im Fenster "BMD Com-Benutzerverwaltung" finden Sie nun den Reiter SSO-Anwendungen. Hier können Sie die zuvor erstellten SSO-Anwendungen einem Benutzer zuordnen.

In der Zuordnung der SSO-Anwendung muss nun nach Auswahl der korrekten Anwendung nur mehr die Externe Kennung befüllt werden. Am Beispiel Google wäre dies die E-Mail-Adresse des jeweiligen Google-Accounts des Anwenders. Verwendet man hingegen Azure, kann UPN (User Principal Name) herangezogen werden.

Im Zuge dessen wurde auch das Feld "Zwei-Faktor-Authentifizierung" in der Benutzerverwaltung auf "Erweiterte Authentifizierung" geändert:
Sobald eine SSO-Anwendung für den jeweiligen Benutzer angelegt wird, wird der Feldwert automatisch auf "2 - SSO-Authentifizierung" bzw. - wenn bereits eine Zwei-Faktor-Authentifizierung eingestellt war - auf "3 - Zwei-Faktor- und SSO-Authentifizierung" umgestellt.

Sobald nun ein Benutzer mit dem jeweiligen Google- oder Azure-Konto eingeloggt ist und BMD Web oder BMD Com mit der BMD Web-Login-URL bzw. BMD Com-Login-URL der zugeordneten SSO-Anwendung öffnet, müssen keine Zugangsdaten eingegeben werden.

Hinweis

Die Login-URLs können als Favoriten oder Startseite gespeichert werden. Somit ist garantiert, dass immer der richtige Link aufgerufen wird. Ein automatisches Login funktioniert nur mit den Links der Felder "BMD Web-Login-URL" für BMD Web und "BMD Com-Login-URL" für BMD Com.

4. SSO-Zuordnungsimport

SSO-Zuordnungen können im Fenster Benutzer ebenfalls importiert werden. Dazu ist es erforderlich, diese Funktion im Burger-Menü einzublenden. Aufgrund der Vielzahl an Funktionen sollte zunächst der Menübaum im Bereich Benutzer über "Alles zuklappen" reduziert werden.

Anschließend ist der Bereich SSO-Anwendungen zu öffnen. Dort muss im Bereich Extras die Funktion Textdatei importieren – SSO-Anwendungen mit einem Häkchen aktiviert werden.

Danach wird auf der Registerkarte "SSO-Anwendungen" im Benutzer-Menü der Menüpunkt "Extras" und die Funktion zum Import der Textdatei angeboten.

Die zu importierende Datei muss folgende drei Informationen enthalten:

Externe Kennung (z. B. E-Mail-Konto bei Microsoft oder Google)
NTCS User-ID (der die SSO-Anwendung zugeordnet ist)
SSO-Anwendungs-ID (über die gleichnamige Spalte bei den SSO-Anwendungen einsehbar)