Identity-Provider-Integration (SSO/SAML)

Nahtlose Integration in Ihre Identitätsinfrastruktur

Enterprise-Kollaborationswerkzeuge müssen sich in vorhandene Identity- und Access-Management-Infrastrukturen einfügen. Den Nutzern einen weiteren Satz Zugangsdaten aufzubürden ist nicht nur unbequem — es ist ein Sicherheitsrisiko. Vergessene Passwörter, Wiederverwendung von Zugangsdaten und ungesteuerte Zugriffe vergrößern die Angriffsfläche.

Mandraki unterstützt die Integration mit dem Identitätsanbieter (IdP) Ihrer Organisation über branchenübliche Protokolle und ermöglicht Single Sign-On, automatisiertes User Provisioning und zentrale Zugriffs-Governance.

Unterstützte Protokolle

SAML 2.0

Mandraki fungiert als SAML Service Provider (SP) und integriert sich mit jedem SAML-2.0-konformen Identitätsanbieter. Dazu gehören Microsoft Entra ID (ehemals Azure AD), Okta, OneLogin, Ping Identity, Keycloak und ADFS.

Die Konfiguration erfordert den Austausch von Metadaten zwischen Ihrem IdP und Mandraki. Nach der Einrichtung authentifizieren sich Nutzer über den Anmeldefluss Ihres IdP und werden mit einer signierten Assertion an Mandraki weitergeleitet. Mandraki validiert die Assertion, legt den Benutzerdatensatz an oder aktualisiert ihn und stellt eine Sitzung her.

OpenID Connect (OIDC)

Für Organisationen, die OIDC bevorzugen, unterstützt Mandraki den Authorization Code Flow mit PKCE. Dies ist insbesondere für Organisationen mit modernen Identitätsplattformen oder eigens entwickelten Authentifizierungsdiensten relevant, die OIDC-Endpoints bereitstellen.

Automatisierte Benutzerbereitstellung

Just-in-Time (JIT) Provisioning

Authentifiziert sich ein Nutzer erstmals per SSO, erstellt Mandraki automatisch das Konto und weist es anhand der Identitätsattribute aus der SAML-Assertion oder den OIDC-Claims der richtigen Organisation zu. Eine manuelle Kontoerstellung ist nicht erforderlich.

Aus dem IdP zugeordnete Attribute umfassen typischerweise:

• E-Mail-Adresse (erforderlich)
• Anzeigename
• Abteilung oder Gruppenzugehörigkeit
• Rolle (zugeordnet zu Mandraki-Rollen: Owner, Admin oder Member)

SCIM-Provisioning

Für Organisationen, die Lifecycle-Management benötigen — Anlegen von Konten vor dem ersten Login, Aktualisieren von Attributen und Deaktivieren von Konten beim Ausscheiden — unterstützt Mandraki das SCIM-2.0-Protokoll. Ihr IdP überträgt Benutzer- und Gruppenänderungen an Mandrakis SCIM-Endpoint und hält das Benutzerverzeichnis automatisch synchron.

So wird sichergestellt, dass beim Offboarding eines Mitarbeitenden im IdP der Mandraki-Zugriff sofort widerrufen wird, ohne dass ein Administrator daran denken muss, das Konto manuell zu deaktivieren.

Domain-Verifizierung und Auto-Capture

Organisationen können ihre E-Mail-Domain in Mandraki beanspruchen und verifizieren. Nach der Verifizierung werden mehrere mächtige Governance-Funktionen verfügbar.

Auto-Capture. Neue Nutzer, die sich mit einer E-Mail-Adresse Ihrer verifizierten Domain registrieren, werden automatisch Ihrer Organisation hinzugefügt, anstatt ein eigenständiges persönliches Konto anzulegen. Dies verhindert Schatten-IT — also Nutzer, die Mandraki außerhalb der Governance Ihrer Organisation einsetzen.

Persönliche Registrierung blockieren. Sie können verhindern, dass Nutzer mit Ihrer Domain überhaupt persönliche Konten anlegen, sodass die gesamte Nutzung von Mandraki durch Ihre Mitarbeitenden innerhalb der verwalteten Organisation stattfindet.

DNS-Verifizierung. Die Domain-Inhaberschaft wird über das Hinzufügen eines TXT-Records in der DNS-Konfiguration Ihrer Domain verifiziert. Dies ist eine einmalige Einrichtung, die fortlaufende Governance-Kontrolle ermöglicht.

Multi-Organisations-Unterstützung

Das Identitätsmodell von Mandraki unterstützt Nutzer, die mehreren Organisationen angehören. Ein Berater, der für drei Kunden mit jeweils eigener Mandraki-Organisation arbeitet, kann zwischen ihnen wechseln, ohne sich ab- und wieder anzumelden. Die SSO-Integration respektiert dieses Modell — jede Organisation kann ihre eigene IdP-Konfiguration haben, und Nutzer authentifizieren sich gegen den für die jeweilige Organisation passenden IdP.

Sicherheitsaspekte

Keine Passwortspeicherung für SSO-Nutzer. Ist SSO aktiviert, speichert Mandraki keine Passwörter für föderierte Nutzer. Die Authentifizierung wird vollständig an Ihren IdP delegiert, und Mandraki speichert nur die externe Kennung und die zugeordneten Attribute.

Erzwungenes SSO. Organisationen können verlangen, dass sich alle Mitglieder per SSO authentifizieren, und die Anmeldung per E-Mail/Passwort verhindern. So gelten die Authentifizierungsrichtlinien Ihres IdP — Multi-Faktor-Authentifizierung, bedingter Zugriff, Sitzungsdauer — konsistent.

Sitzungsverwaltung. Mandraki stellt nach erfolgreicher SSO-Authentifizierung eigene JWT-Tokens mit konfigurierbarer Gültigkeit aus. Wird die IdP-Sitzung eines Nutzers widerrufen, läuft seine Mandraki-Sitzung beim nächsten Token-Refresh ab — so ist eine zeitnahe Zugriffsentziehung gewährleistet.

Erste Schritte

Die SSO-Konfiguration dauert typischerweise weniger als dreißig Minuten. Ihr IT-Administrator fügt Mandraki als SAML- oder OIDC-Anwendung in Ihrem IdP hinzu, tauscht Metadaten aus und aktiviert SSO in den Mandraki-Organisationseinstellungen. Detaillierte Konfigurationsanleitungen für die wichtigsten Identitätsanbieter finden Sie in unserer Wissensdatenbank.