SAML- und OAuth-Einstellungen

SAML- und OAuth-Einstellungen

Der Bildschirm „SAML- und OAuth-Einstellungen" ist der zentrale Konfigurationspunkt, an dem Ihre Organisation festlegt, wie Benutzerinnen und Benutzer sich bei DPMS anmelden – entweder über einen unternehmenseigenen Identity Provider (IdP) per SAML 2.0 oder OAuth 2.0, anstatt oder zusätzlich zu lokalen Benutzerkonten. IT-Admins öffnen diesen Bildschirm, wenn sie einen neuen Identity Provider wie Microsoft Azure AD, Google Workspace oder Okta einbinden. DPOs und Risikomanager nutzen die Leseansicht, um zu prüfen, ob SSO aktiv ist und welche Domains zugelassen sind. Da dieser Bildschirm auch die Schalter für die automatische Benutzerbereitstellung per SCIM 2.0 und die Microsoft Entra ID-Verzeichnissynchronisierung enthält, wirken sich Änderungen hier auf die gesamte DPMS-Instanz aus.

So öffnen Sie diesen Bereich

Navigieren Sie im linken Seitenmenü zu IT-Einstellungen → Identity & Access Management → SAML & OAuth.

Zum Anzeigen benötigen Sie Leserechte für IT-Einstellungen IAM. Um Änderungen vorzunehmen, benötigen Sie zusätzlich Bearbeitungsrechte für IT-Einstellungen IAM. Fehlen Ihnen die Leserechte, leitet DPMS Sie auf eine „403 Verboten"-Seite weiter.

Der Überblick

Der Bildschirm öffnet sich in der gewohnten DPMS-Oberfläche. Oben im Inhaltsbereich sehen Sie eine Breadcrumb-Navigation mit dem Pfad IT-Einstellungen → Identity & Access Management → SAML & OAuth – jedes Segment ist ein anklickbarer Link. Links und rechts neben der Breadcrumb befinden sich Pfeil-Schaltflächen, mit denen Sie direkt zum vorherigen oder nächsten IAM-Abschnitt wechseln können.

Unterhalb der Navigation befindet sich eine Konfigurationskarte. In der Kopfzeile steht links der Titel SAML & OAuth und rechts die Schaltfläche Bearbeiten (Stiftsymbol) sowie – bei aktiver SSO-Konfiguration – eine rote Deaktivieren-Schaltfläche. Der Kartenkörper zeigt die aktuelle Konfiguration als beschriftete Schlüssel-Wert-Paare. Wenn noch keine Konfiguration gespeichert wurde, erscheinen Striche als Platzhalter. Bei einer aktiven SAML- oder OAuth-Konfiguration werden zusätzliche Felder eingeblendet – SP-Metadaten-URLs bei SAML oder Client-Zugangsdaten bei OAuth – jeweils mit einem kleinen Zwischenablage-Symbol zum Kopieren.

Arbeiten mit diesem Bildschirm

SSO zum ersten Mal einrichten

Wenn bei Ihrem ersten Aufruf des Bildschirms alle Felder Striche anzeigen, ist noch keine Konfiguration vorhanden. Klicken Sie auf Bearbeiten, um das Konfigurationsformular zu öffnen.

Oben im Formular wählen Sie mit dem Umschalter SAML2 / OAuth2 Ihr Protokoll. Position links entspricht SAML 2.0 (typisch für ADFS, Okta und Google Workspace SAML-Apps), Position rechts entspricht OAuth 2.0 / OpenID Connect (typisch für Microsoft Azure AD-App-Registrierungen und Google OAuth-Clients). Ihre Auswahl steuert, welche Felder angezeigt werden.

Wählen Sie anschließend Ihren Identity Provider aus dem Dropdown Konfigurationsvorlage aus: Microsoft, Google oder Benutzerdefiniert. Eine benannte Vorlage füllt den Bereich für die Attributzuordnung unten automatisch mit passenden Standardwerten vor und erspart Ihnen die manuelle Suche nach Attributnamen. Bei Benutzerdefiniert bleiben alle Felder leer.

Bei SAML 2.0: Nach der Vorlagenauswahl zeigt das Formular schreibgeschützte SP-Felder (Service Provider) – SP Entity ID, SP Anmelde-URL, SP Abmelde-URL und SP ACS-URL. Diese systemseitig generierten Werte müssen Sie in die Enterprise-Anwendungskonfiguration Ihres IdPs eingeben. Nutzen Sie das Zwischenablage-Symbol neben jedem Feld zum Kopieren. Nachdem Sie diese Werte beim IdP eingetragen haben, fügen Sie die Metadaten-URL Ihres IdPs in das Feld Identity Provider Metadaten-URL ein und klicken Sie auf das Link-Symbol daneben. DPMS ruft die Metadaten ab und füllt automatisch IdP Entity ID, IdP Anmelde-URL, IdP Abmelde-URL und das x.509-Zertifikat aus. Geben Sie die E-Mail-Domain(s) Ihrer Organisation in das Feld Erlaubte Domains ein (z. B. meinefirma.de), legen Sie ein Ablaufdatum passend zur Zertifikatslaufzeit fest und stellen Sie sicher, dass Nachrichten signieren aktiviert eingeschaltet ist. Klicken Sie auf Speichern. Sie kehren zur Leseansicht zurück, die nun die aktive Konfiguration anzeigt.

Bei OAuth 2.0: Wechseln Sie mit dem Umschalter auf OAuth2, wählen Sie eine Vorlage und tragen Sie Client-ID und Client-Secret aus der App-Registrierung Ihres IdPs ein. Bei der Microsoft-Vorlage geben Sie zusätzlich Ihre Azure AD Mandanten-ID ein. Legen Sie ein Ablaufdatum fest, prüfen Sie die Attributzuordnung und klicken Sie auf Speichern.

Sobald die Konfiguration gespeichert ist, können sich Benutzerinnen und Benutzer, deren E-Mail-Adressen zu den eingetragenen Domains gehören, beim nächsten Aufruf per SSO anmelden.

Ablaufendes Zertifikat oder Client-Secret aktualisieren

Wenn DPMS oder Ihr Monitoring meldet, dass ein Zertifikat oder ein Client-Secret demnächst abläuft, klicken Sie auf Bearbeiten.

Bei einem SAML-Zertifikat: Scrollen Sie zum Textbereich Identity Provider Zertifikat. Sie können einen neuen Zertifikatsstring einfügen, die URL der aktualisierten Metadaten einfügen (DPMS extrahiert das Zertifikat automatisch) oder Zertifikat hochladen anklicken und eine neue .pem-, .crt-, .cer-, .der- oder .cert-Datei von Ihrem Computer auswählen. Aktualisieren Sie anschließend das Feld Ablaufdatum und klicken Sie auf Speichern.

Bei einem OAuth-Client-Secret: Achtung – wenn Sie in das Feld Client-Secret klicken, wird der gespeicherte maskierte Wert sofort gelöscht und das Feld wechselt in den Bearbeitungsmodus. Klicken Sie nur hinein, wenn Sie das Secret tatsächlich ersetzen möchten. Wenn Sie versehentlich hineingeklickt haben, verlassen Sie das Formular mit Zurück, ohne zu speichern. Der Server behält in diesem Fall das Original-Secret, weil das Feld leer aus dem Formular entfernt wurde.

Hinweis: Ein Klick in das Feld Client-Secret löscht den gespeicherten Wert sofort. Klicken Sie nur hinein, wenn Sie ein neues Secret eingeben möchten.

Von SAML zu OAuth wechseln (oder umgekehrt)

Klicken Sie auf Bearbeiten, bewegen Sie den Umschalter SAML2 / OAuth2 auf die neue Position und füllen Sie alle erforderlichen Felder für das neue Protokoll aus. Klicken Sie auf Speichern. Da Sie eine bestehende Konfiguration von einem Protokoll auf ein anderes umstellen, zeigt DPMS eine Bestätigungsmeldung an. Diese warnt Sie, dass der Wechsel vorhandene Tokens betrifft. Sie haben 15 Sekunden Zeit, um mit dem Häkchen-Symbol in der Toast-Benachrichtigung zu bestätigen. Wenn Sie nicht innerhalb dieses Zeitfensters bestätigen, wird der Speichervorgang still abgebrochen – achten Sie auf die Benachrichtigung am unteren Bildschirmrand. Nach der Bestätigung speichert DPMS die neue Konfiguration und deaktiviert alle vorhandenen SCIM-Tokens des alten Protokolls.

Automatische Benutzerbereitstellung per SCIM 2.0 aktivieren

Um Ihrem Identity Provider zu erlauben, DPMS-Benutzerkonten automatisch zu erstellen, zu aktualisieren und zu deaktivieren, schalten Sie im Bearbeitungsformular den Schalter SCIM2 aktivieren ein und speichern Sie. Dadurch wird die Unterseite SCIM-Übersicht im IAM-Bereich aktiviert, wo Sie die SCIM-Basis-URL und das Bearer-Token für die Provisioning-Konfiguration Ihres IdPs finden.

SCIM 2.0 und Entra ID-Synchronisierung schließen sich gegenseitig aus – das Einschalten des einen Schalters deaktiviert automatisch den anderen.

Microsoft Entra ID-Verzeichnissynchronisierung aktivieren

Wenn Sie die Microsoft OAuth-Vorlage verwenden und Benutzer sowie Gruppen direkt aus Azure AD synchronisieren möchten (statt SCIM zu nutzen), schalten Sie im Bearbeitungsformular den Schalter Entra ID aktivieren ein. Durch das Speichern wird die Unterseite Active Directory / Entra ID im IAM-Bereich aktiviert. Wenn Entra ID aktiviert ist, wird SCIM 2.0 automatisch deaktiviert und der Abschnitt für die Attributzuordnung wird ausgeblendet, da Entra ID die Gruppensynchronisierung eigenständig übernimmt.

SSO vorübergehend deaktivieren

Falls Sie SSO sofort deaktivieren müssen – etwa bei einem Sicherheitsvorfall oder einem geplanten Migrationsfenster – kehren Sie zur Leseansicht zurück und klicken Sie auf die rote Schaltfläche Deaktivieren. Die Deaktivierung erfolgt unmittelbar ohne Bestätigungsdialog. Eine Erfolgsmeldung bestätigt den Vorgang, und der Bildschirm zeigt alle Felder als leer an. Betroffene Benutzerinnen und Benutzer müssen lokale Zugangsdaten oder eine andere Methode verwenden, bis Sie SSO durch erneutes Speichern der Konfiguration wieder aktivieren.

Hinweis: Die Schaltfläche Deaktivieren wirkt sofort ohne Rückfrage. SSO wird für alle betroffenen Benutzer im Moment des Klickens deaktiviert.

Feldbeschreibungen

Konfigurationsvorlage — Wählen Sie Microsoft, Google oder Benutzerdefiniert. Füllt die Attributzuordnung mit Standardwerten für den gewählten Anbieter vor. Ein nachträglicher Vorlagenwechsel überschreibt Ihre eigenen Attributzuordnungen mit den neuen Standardwerten; ein Rückwechsel zur ursprünglichen Vorlage stellt die gespeicherten Zuordnungen wieder her.

Erlaubte Domains — Kommagetrennte Liste von E-Mail-Domains (z. B. meinefirma.de, tochterunternehmen.de). Nur Benutzer mit Adressen dieser Domains können sich über diese SSO-Konfiguration anmelden. Wird auf ein gültiges Domain-Format geprüft; ungültige Einträge erzeugen beim Speichern eine Fehlermeldung.

Identity Provider Metadaten-URL (nur SAML) — URL der Metadaten-XML-Datei Ihres IdPs. Nach dem Einfügen und Klick auf das Link-Symbol lädt DPMS die Metadaten und füllt IdP Entity ID, Anmelde-URL, Abmelde-URL und das Zertifikat automatisch aus. Die Werte werden erst beim Klick auf Speichern gesichert.

Identity Provider Entity ID (nur SAML) — URI-Kennung Ihres IdPs. Wird automatisch aus den Metadaten übernommen oder kann manuell eingegeben werden.

Identity Provider Anmelde-URL (nur SAML) — SSO-Endpunkt, an den DPMS Authentifizierungsanfragen sendet. Pflichtfeld; wird automatisch aus Metadaten übernommen oder manuell eingetragen.

Identity Provider Abmelde-URL (nur SAML) — Single-Logout-Endpunkt des IdPs. Ohne diesen Wert wird beim Abmelden aus DPMS keine entsprechende Abmeldung beim IdP ausgelöst.

Identity Provider Zertifikat (nur SAML) — Öffentliches x.509-Zertifikat Ihres IdPs zur Überprüfung von SAML-Assertions. Einfügen als PEM-String, als URL (DPMS extrahiert das Zertifikat automatisch) oder per Zertifikat hochladen.

Name ID Format (nur SAML) — Das SAML Name ID Format, das DPMS beim IdP anfordert. Standard: persistent. Google erfordert meist emailAddress. Wird automatisch aus IdP-Metadaten übernommen, wenn vorhanden.

Ablaufdatum — Ablaufdatum des Zertifikats oder Client-Secrets. Standardmäßig ein Jahr nach dem heutigen Datum bei einer neuen Konfiguration. Dient als Erinnerung für die Zertifikatserneuerung.

Nachrichten signieren aktiviert (nur SAML, bei ausgewählter Vorlage) — Wenn eingeschaltet, signiert DPMS ausgehende SAML-Anfragen digital. Standardmäßig aktiviert; deaktivieren Sie dies nur, wenn Ihr IdP keine signierten Anfragen benötigt oder unterstützt.

Name ID verschlüsseln aktiviert (nur SAML, bei ausgewählter Vorlage) — Wenn eingeschaltet, verschlüsselt DPMS das Name ID-Element in SAML-Anfragen. Der Standardwert variiert je nach Vorlage.

Mandanten-ID (nur Microsoft OAuth) — GUID Ihres Azure AD-Verzeichnisses, erforderlich für die korrekten Authentifizierungs-Endpunkte.

Client-ID — Kennung der OAuth-Anwendung, vergeben von Ihrem IdP. Pflichtfeld für alle OAuth-Konfigurationen.

Client-Secret — Geheimschlüssel der OAuth-Anwendung. Bei vorhandener Konfiguration maskiert angezeigt. Nur anklicken, wenn Sie das Secret ersetzen möchten.

Entra ID aktivieren (nur Microsoft OAuth) — Aktiviert die Entra ID-Verzeichnissynchronisierung. Schließt sich mit SCIM 2.0 gegenseitig aus.

SCIM2 aktivieren — Aktiviert die automatische Benutzerbereitstellung per SCIM 2.0. Schließt sich mit Entra ID gegenseitig aus.

Gruppenansprüche-Zuordnung (Attributzuordnung) — Ordnet die Attributnamen aus den IdP-Assertions den DPMS-Benutzerprofil-Feldern zu: eindeutige Kennung (nur OAuth), Name, E-Mail, Gruppen und Telefon. Pflichtfelder sind mit „Pflichtfeld" gekennzeichnet, optionale mit „Optional". Wird mit Vorlagenstandardwerten vorbefüllt; bearbeiten Sie diese Felder, wenn Ihr IdP andere Attributnamen verwendet.

Verbindungen zu anderen DPMS-Bereichen

Der Bildschirm „SAML- und OAuth-Einstellungen" ist das Eingangstor für zwei zentrale IAM-Funktionen: föderierte Anmeldung und Verzeichnissynchronisierung. So wirken sich Änderungen hier auf den Rest von DPMS aus:

• SCIM-Übersicht (IT-Einstellungen → IAM → SCIM-Übersicht): Diese Unterseite zeigt nur dann eine funktionsfähige Konfiguration, wenn SCIM2 aktivieren hier eingeschaltet und gespeichert wurde. Die Bearbeiten-Schaltfläche auf der SCIM-Übersichtsseite führt ebenfalls zu diesem Bearbeitungsformular; nach dem Speichern kehren Sie in diesem Fall zur SCIM-Übersicht zurück.
• Active Directory / Entra ID (IT-Einstellungen → IAM → Active Directory): Die Entra ID-Synchronisierung auf der Active Directory-Seite wird durch den Schalter Entra ID aktivieren auf diesem Bildschirm aktiviert. Auch die Bearbeiten-Schaltfläche auf der Active Directory-Seite öffnet dieses Formular.
• Tokens (IT-Einstellungen → IAM → Tokens): Bei einem bestätigten Protokollwechsel (SAML ↔ OAuth) werden alle vorhandenen SCIM- und IAM-Tokens deaktiviert. Prüfen Sie nach einer Protokollmigration Ihren Token-Bestand auf der Tokens-Unterseite.
• Benutzeranmeldung: Die Liste in Erlaubte Domains steuert direkt, welche Benutzerinnen und Benutzer sich per SSO anmelden können. Eine fehlerhafte oder leere Liste verhindert die Anmeldung für die betroffenen Benutzer.
• Nach dem Speichern: Falls Sie SCIM aktiviert haben, rufen Sie die SCIM-Übersichtsseite auf, um SCIM-Basis-URL und Bearer-Token abzurufen und diese in den Provisioning-Einstellungen Ihres IdPs zu hinterlegen. Falls Sie Entra ID aktiviert haben, wechseln Sie zur Active Directory-Seite, um die Entra ID-Synchronisierung abzuschließen.

Tipps und häufige Fehlerquellen

Tipp: Nutzen Sie wann immer möglich das Feld Identity Provider Metadaten-URL. Das Einfügen der Metadaten-URL und ein Klick auf das Link-Symbol ist deutlich schneller und weniger fehleranfällig als das manuelle Kopieren einzelner Werte aus der IdP-Administrationskonsole.

Hinweis: Die per Metadaten-URL importierten Werte werden nicht automatisch gespeichert. Sie müssen nach dem Import trotzdem auf Speichern klicken. Wenn Sie das Formular vorher schließen, gehen alle importierten Werte verloren.

• Attributzuordnungen kennen keine automatische Sicherung bei Vorlagenwechsel. Wenn Sie die Dropdown-Liste Konfigurationsvorlage ändern, nachdem Sie die Attributzuordnung manuell angepasst haben, werden Ihre Anpassungen durch die Standardwerte der neuen Vorlage überschrieben. Nur beim Zurückwechseln zur ursprünglich gespeicherten Vorlage werden Ihre gespeicherten Zuordnungen wiederhergestellt. Prüfen Sie die Attributzuordnung nach jedem Vorlagenwechsel.
• Die Pfeilsymbole in der Breadcrumb-Navigation ermöglichen ein schnelles Wechseln zwischen IAM-Unterbereichen. Nutzen Sie sie, um nach dem Speichern direkt zu Tokens, SCIM-Übersicht oder Rollenzuordnung zu wechseln.
• Ein Protokollwechsel löst eine 15-Sekunden-Bestätigungsmeldung aus. Wenn Sie das Zeitfenster verpassen, werden keine Änderungen gespeichert. Beobachten Sie den unteren Bildschirmrand, wenn Sie nach einem SAML-zu-OAuth-Wechsel auf Speichern klicken.
• SCIM 2.0 und Entra ID können nicht gleichzeitig aktiv sein. Das Formular erzwingt dies, indem es beim Einschalten eines Schalters den anderen automatisch deaktiviert. Entscheiden Sie vor der Konfiguration, welcher Ansatz zu Ihrer Verzeichnisarchitektur passt.
• Die Schaltfläche Deaktivieren ist nicht rückgängig zu machen. Nach dem Klick ist SSO sofort deaktiviert. Zum Reaktivieren klicken Sie auf Bearbeiten und speichern die Konfiguration erneut; die gespeicherten Werte werden durch die Deaktivierung nicht gelöscht.

Glossar

SAML 2.0 — Ein XML-basierter Standard für föderiertes Single Sign-On. Nach einer erfolgreichen Anmeldung beim IdP wird die Benutzerin oder der Benutzer mit einer signierten XML-Assertion zurück zu DPMS weitergeleitet.

OAuth 2.0 / OpenID Connect — Ein Autorisierungsframework und dessen Identitätserweiterung, das von Microsoft Azure AD-App-Registrierungen und Google OAuth-Clients verwendet wird. DPMS erhält ein Access-Token anstelle einer XML-Assertion.

Service Provider (SP) — Im SSO-Kontext ist DPMS der Service Provider. SP Entity ID, SP Anmelde-URL, SP Abmelde-URL und SP ACS-URL werden von DPMS generiert und müssen in die IdP-Konfiguration eingetragen werden.

Identity Provider (IdP) — Das System, das Ihre Benutzerinnen und Benutzer authentifiziert, z. B. Microsoft Azure AD, Google Workspace, Okta oder ADFS.

x.509-Zertifikat — Das öffentliche Schlüsselzertifikat des IdPs, mit dem DPMS die Signatur eingehender SAML-Assertions überprüft.

SCIM 2.0 — Ein REST-API-Standard zur Automatisierung der Benutzerbereitstellung. Wenn aktiviert, kann Ihr IdP DPMS-Konten automatisch erstellen, aktualisieren und deaktivieren.

Entra ID (Azure Active Directory) — Microsofts cloudbasierter Identitätsdienst. Bei aktiviertem Entra ID-Schalter synchronisiert DPMS Benutzer und Gruppen direkt aus Azure AD.

Attributzuordnung — Die Tabelle, die DPMS mitteilt, welcher Attributname in einer SAML-Assertion oder einem OAuth-Token welchem Benutzerprofil-Feld (Name, E-Mail, Gruppen usw.) entspricht.