Mit Single Sign-On (SSO) greift Ihr Team über den bestehenden Identitätsanbieter Ihrer Organisation auf Personyze zu — Auth0, Okta, OneLogin, Microsoft Entra ID (Azure AD), Google Workspace usw. Statt eigene Personyze-Zugangsdaten zu verwalten, wird Ihr IdP zur maßgeblichen Quelle: Deaktivieren Sie dort einen Nutzer, ist auch sein Zugang zu Personyze weg.
Wann SSO sinnvoll ist
- Enterprise-Teams mit zentral von der IT verwalteten Benutzerverzeichnissen.
- Compliance-getriebene Umgebungen, in denen Vergabe und Entzug von Zugängen über ein einziges Identitätssystem laufen müssen.
- Größere Personyze-Installationen mit 5+ Nutzern, bei denen die Verwaltung einzelner Passwörter zum Aufwand wird.
- Organisationen, die MFA durchgängig nutzen — SSO übernimmt die MFA-Pflicht Ihres IdP; Personyze verlangt MFA also automatisch, ohne eigene Konfiguration.
So funktioniert SSO in Personyze
Personyze agiert als SAML-2.0-Service-Provider. Ihr IdP stellt SAML-Assertions aus, wenn sich Nutzer authentifizieren, Personyze akzeptiert sie, und anhand der E-Mail-Adresse in der Assertion wird ein Personyze-Nutzer angelegt (oder, falls schon vorhanden, zugeordnet). Nach der Ersteinrichtung:
- Nutzer rufen Ihre Personyze-Anmeldeseite auf und klicken auf Sign in with SSO.
- Sie werden zur Authentifizierung an Ihren IdP weitergeleitet.
- Bei Erfolg sendet der IdP eine signierte SAML-Assertion an Personyze zurück.
- Personyze meldet sie an und legt bei der ersten Anmeldung bei Bedarf das Benutzerkonto an.
SSO-Clients verwalten
SSO wird pro Personyze-Konto unter Admin Console → Einstellungen → Integrationen → Single Sign On konfiguriert. Sie können mehrere SSO-Clients einrichten, wenn Sie mehrere IdPs unterstützen (selten, aber nützlich für Mutter- und Tochtergesellschaften).
Einrichtungsleitfäden je Anbieter
Jeder große IdP hat eine eigene Oberfläche, um eine SAML-Anwendung anzulegen und Metadaten mit Personyze auszutauschen. Schritt-für-Schritt-Screenshots für die gängigsten Anbieter finden Sie unten — wählen Sie Ihren und folgen Sie dem passenden Abschnitt.
- SSO aktivieren mit Auth0
- SSO aktivieren mit Okta
- SSO aktivieren mit OneLogin
- SSO aktivieren mit Xecurify (jeder andere SAML-2.0-Anbieter — generischer Ablauf)
Häufige Probleme
- „Invalid SAML response.“ Meist eine Zeitabweichung zwischen Personyze und Ihrem IdP — Assertions haben ein enges Gültigkeitsfenster. Synchronisieren Sie NTP auf beiden Seiten.
- „User not provisioned.“ Die E-Mail-Adresse in der SAML-Assertion passt zu keinem vorhandenen Personyze-Nutzer, und die automatische Bereitstellung ist deaktiviert. Legen Sie den Nutzer entweder vorab in Personyze an oder aktivieren Sie die Just-in-Time-Bereitstellung.
- Die Anmeldung springt zurück zum IdP. Die SAML-Antwort erreicht Personyze, scheitert aber an der Signaturprüfung. Prüfen Sie, ob das Signaturzertifikat des IdP korrekt in die SSO-Einstellungen von Personyze hochgeladen ist — exportieren Sie es bei Bedarf erneut aus dem IdP und laden Sie es neu hoch.
- SSO funktioniert im Test, scheitert in der Produktion. Die Produktion nutzt meist eine andere ACS-URL (Assertion Consumer Service) als Testumgebungen. Achten Sie darauf, dass die Antwort-URL der SAML-Anwendung zur ACS der Produktionsumgebung von Personyze passt.
SSO aktivieren mit Auth0
SSO aktivieren mit Okta
SSO aktivieren mit OneLogin
SSO aktivieren mit Xecurify
