SSO und SCIM-Bereitstellung

Lass dein Team sich über den Identitätsanbieter deines Unternehmens anmelden und halte die Workspace-Mitgliedschaft mit deinem Verzeichnis synchron.

Wer kann diese Funktion nutzen?

Workspace-Inhaber und Admins können SSO und SCIM einrichten

Verfügbar im Enterprise-Plan

Übersicht

Mit Single Sign-on (SSO) melden sich Leute bei Lora mit dem Arbeitskonto an, das dein Identitätsanbieter ohnehin verwaltet. Mit SCIM fügt dein Verzeichnis Workspace-Mitglieder hinzu, deaktiviert und entfernt sie für dich. Du kannst beides einzeln nutzen, SCIM braucht aber zuerst eine verifizierte SSO-Domain.

SSO einrichten

Identitätsanbieter verbinden

Klicke in deinem Workspace in der Seitenleiste auf Einstellungen und dann auf Identität.
Klicke neben SSO-Authentifizierung und SCIM-Bereitstellung auf Einrichten (oder auf Verwalten, wenn du schon einen Anbieter verbunden hast).
Klicke auf Anbieter verbinden und wähle deinen Anbieter: Microsoft Entra ID, Google Workspace, Okta, einen anderen OpenID-Connect-Anbieter oder SAML 2.0.
Klicke auf Weiter. Folge den Schritten im Dialog, um in deinem Identitätsanbieter eine App anzulegen. Der Dialog zeigt dir die Redirect-URI (bei SAML die Entity-ID und die Antwort-URL), die du dort einträgst.
Gib deine erste E-Mail-Domain und die Verbindungsdaten deines Identitätsanbieters ein und klicke auf Anbieter verbinden.

E-Mail-Domains verifizieren

Leute können sich nur mit einer E-Mail-Adresse auf einer verifizierten Domain per SSO anmelden. Eine Verbindung kann bis zu 10 Domains haben, und jede wird einzeln verifiziert.

Öffne unter SSO-Authentifizierung und SCIM-Bereitstellung deinen Identitätsanbieter.
Klicke unter SSO-genehmigte E-Mail-Domains auf Hinzufügen, oder öffne das Menü einer ausstehenden Domain und klicke auf Verifizieren.
Lege bei deinem DNS-Anbieter den TXT-Eintrag an, den der Dialog zeigt. Kopiere Host / Name und Wert genau so.
Klicke auf Verifizieren.

Eine Domain zeigt Verifizierung ausstehend, bis DNS den Eintrag kennt, dann Beansprucht. DNS-Änderungen sind meist nach wenigen Minuten sichtbar, können aber bis zu 48 Stunden dauern. Der Wert des Eintrags ist 7 Tage gültig. Öffne den Dialog erneut für einen neuen.

Eine Domain kann jeweils nur ein Workspace beanspruchen, und eine Subdomain einer Domain, die ein anderer Workspace beansprucht hat, ist nicht verfügbar.

Hinweis: Wenn du eine Domain entfernst, endet SSO für die Adressen darauf. Diese Leute behalten ihr Konto und melden sich stattdessen mit einem E-Mail-Code an. Eine Verbindung behält immer mindestens eine Domain.

Verbindung testen

Klicke neben SSO-Verbindung testen auf Testen. Lora meldet dich erneut über deinen Identitätsanbieter an und zeigt, wann der letzte Test erfolgreich war. Der Test ersetzt deine Sitzung durch das Konto, mit dem der Identitätsanbieter angemeldet hat. Nutze also dein eigenes Arbeitskonto.

Identitätsanbieter ein- oder ausschalten

Mit Identitätsanbieter aktivieren pausierst du SSO, ohne die Verbindung zu entfernen. Solange er aus ist:

Leute auf deinen SSO-Domains melden sich stattdessen mit einem E-Mail-Code an.
Inhaber und Admins können sich weiterhin darüber anmelden, um ihn zu testen.
Über SSO tritt niemand Neues dem Workspace bei.

Mitgliedschaften ändern sich nicht, und SCIM funktioniert weiter.

So melden sich Leute an

Wer auf der Anmeldeseite eine E-Mail-Adresse auf einer verifizierten Domain eingibt, wird von Lora zu deinem Identitätsanbieter weitergeleitet. Ist das Konto neu im Workspace, tritt die Person als Mitglied bei. Leute auf anderen Domains melden sich wie bisher an.

SSO wird angeboten, nicht vorgeschrieben. Leute auf deinen SSO-Domains können sich weiterhin mit E-Mail-Code, Google oder Passkey anmelden, solange du das nicht unter Weitere Domains änderst.

Solange SSO aktiv ist, kann niemand dem Workspace über genehmigte E-Mail-Domains beitreten. Unter Einstellungen → Identität erscheint stattdessen ein Hinweis mit einem Link zu deiner SSO-Konfiguration anstelle der Liste genehmigter Domains. Deine genehmigten Domains kommen zurück, wenn du SSO ausschaltest.

Mitglieder mit SCIM bereitstellen

Öffne die Seite deines Identitätsanbieters unter SSO-Authentifizierung und SCIM-Bereitstellung.
Schalte SCIM-Benutzerbereitstellung aktivieren ein. Der Schalter bleibt deaktiviert, bis eine Domain verifiziert ist.
Wähle unter Token läuft ab nach 90, 180 oder 365 Tage und klicke auf SCIM verbinden.
Kopiere die Tenant-URL (SCIM-Basis-URL) und das Geheimes Token in die Bereitstellungseinstellungen deines Verzeichnisses. Lora zeigt das Token nur einmal.

Ab dann verwaltet dein Verzeichnis die Mitgliedschaft:

Wenn dein Verzeichnis …	macht Lora …
einen Benutzer anlegt oder aktiv setzt	ihn zum Mitglied oder hebt die Suspendierung auf
einen Benutzer deaktiviert	seine Mitgliedschaft suspendiert und den Platz freigibt
einen Benutzer löscht	seine Mitgliedschaft entfernt. Seine Shortcuts gehen an den ältesten Inhaber des Workspace

Lora löscht nie das Konto selbst, und dein Verzeichnis kann keinen Workspace-Inhaber deaktivieren oder löschen. Übertrage vorher die Inhaberschaft.

E-Mail-Adressen außerhalb deiner verifizierten Domains werden abgelehnt, und eine von einem Admin entfernte Person bleibt entfernt, es sei denn, das Verzeichnis hat sie bereitgestellt.

Tokens erneuern oder widerrufen

Klicke neben dem Schalter auf Konfiguration anzeigen. Neues Token erstellen legt ein zweites Token an, während das erste weiter funktioniert, damit du dein Verzeichnis ohne Unterbrechung umstellen kannst. Eine Verbindung hat höchstens zwei Tokens. Widerrufe eines, um ein anderes zu erstellen.

Schalte SCIM-Benutzerbereitstellung aktivieren aus, um die Verbindung zu trennen. Alle Tokens funktionieren dann nicht mehr, und aktuelle Mitglieder behalten ihren Zugriff.

Namen vom Verzeichnis verwalten lassen

Schalte Benutzern erlauben, ihren Namen zu ändern aus, damit der Name aus deinem Verzeichnis für die Leute, die es verwaltet, in Lora schreibgeschützt ist. Alle anderen können ihren Namen weiterhin ändern. Die E-Mail-Adresse verwaltet immer das Verzeichnis.

Tipp: Lege vorher fest, wo die Namen gepflegt werden. Wenn die Option aus ist, ändert sich ein Name nur noch in deinem Verzeichnis.

Weitere Domains

Unter Weitere Domains legst du fest, wie sich Leute anmelden können, deren E-Mail-Adresse nicht auf einer deiner SSO-Domains liegt. Leute auf deinen SSO-Domains können immer jede Methode nutzen.

Google-Authentifizierung erlaubt die Anmeldung mit einem Google-Konto.
E-Mail- & Passkey-Authentifizierung erlaubt die Anmeldung mit einem Code per E-Mail oder Telefon oder mit einem Passkey.

Ist eine Methode aus, sehen Leute, die sich so anmelden, einen Bildschirm, der den Workspace und die akzeptierten Methoden nennt, mit einer Schaltfläche zum Abmelden und erneuten Anmelden. Wer sich über das SSO eines anderen Unternehmens anmeldet, etwa ein Dienstleister mit eigenem Identitätsanbieter, kann den Workspace immer öffnen.

Ein paar Regeln verhindern, dass du dich aussperrst:

Du kannst die Methode, mit der du angemeldet bist, nicht ausschalten, es sei denn, deine E-Mail-Adresse liegt auf einer SSO-Domain. Melde dich zuerst auf anderem Weg an.
Beide Methoden können nur ausgeschaltet sein, solange SSO aktiv und eine Domain verifiziert ist. Und solange beide aus sind, kann SSO nicht ausgeschaltet oder entfernt werden, und keine verifizierte Domain kann entfernt werden: Die Leute darauf hätten keinen Zugang mehr.
Ist nur eine Methode aus, kannst du die SSO-Domain, auf der deine eigene E-Mail-Adresse liegt, nicht entfernen, solange du mit dieser Methode angemeldet bist. Melde dich zuerst auf anderem Weg an.
Eine Sitzung aus der Zeit vor dieser Einstellung muss sich erst erneut anmelden, bevor sie hier etwas ändern kann.
Eine Methode auszuschalten erfordert den Enterprise-Plan. Sie wieder einzuschalten nie.

Erstellung neuer Workspaces einschränken

Schalte unter Einstellungen → Identität Erstellung neuer Workspaces einschränken ein, damit Leute auf deinen verifizierten SSO-Domains keine weiteren Workspaces erstellen können. Inhaber und Admins deines Workspace sind ausgenommen. Die Option ist verfügbar, sobald eine Domain verifiziert ist.

FAQ

Die Verifizierung findet den TXT-Eintrag nicht DNS braucht manchmal etwas, bis es aktuell ist. Prüfe, ob der Host der vollständige Name aus dem Dialog ist und der Wert genau dem angezeigten entspricht. Meldet der Dialog, der Wert sei abgelaufen, trage den neuen ein.

Jemand auf unserer Domain kann sich nicht per SSO anmelden Die Domain muss Beansprucht zeigen, und Identitätsanbieter aktivieren muss an sein. Eine neue Person braucht außerdem einen freien Platz, um beizutreten.

Jemand kann den Workspace nicht öffnen, nachdem wir eine Anmeldemethode ausgeschaltet haben Die Person hat sich mit einer Methode angemeldet, die der Workspace nicht mehr akzeptiert. Der Bildschirm, den sie sieht, nennt die akzeptierten. Sie meldet sich ab und mit einer davon erneut an, oder ein Admin schaltet die Methode wieder ein.

Ich kann eine Anmeldemethode nicht ausschalten Du bist damit angemeldet, der Workspace hat nicht den Enterprise-Plan, oder SSO wäre ohne aktive SSO-Verbindung der einzige Zugang. Der Tooltip des Schalters nennt den Grund.

Was passiert, wenn wir von Enterprise herunterstufen? SSO-Mitglieder melden sich weiter über die bestehende Verbindung an, und Einschränkungen von Anmeldemethoden und Workspace-Erstellung bleiben in Kraft. Du kannst die Verbindung ausschalten oder entfernen, Methoden wieder einschalten und die Einschränkung aufheben, aber keine neuen Einschränkungen hinzufügen.