Single Sign On (SSO) | So richten Sie SAML 2.0 ein

Wenn Sie SAML 2.0 als Protokoll verwenden, können Sie Single Sign On (SSO) für Lanes & Planes basierend auf den E-Mail-Adressen Ihrer Benutzer aktivieren.

Wenn Sie dies einrichten möchten, gibt Ihnen Lanes & Planes eine sogenannte Redirect-URL, wie z.B. diese:

https://api.lanes-planes.com/auth/example/callback

Diese URL wird während der Einrichtung benötigt.

1) SAML Konfiguration

Bitte nehmen Sie folgende Einstellung in Ihrem System vor:

• Assertion Consumer Service (ACS) URL:

  https://api.lanes-planes.com/auth/:provider/callback 

  • (:provider wird Ihnen vom Lanes & Planes Team mitgeteilt)
• Service Provider Entity ID: lanesplanessaml
• Add attribute mapping: User email → email
  • Bitte beachten Sie, dass die E-Mail-Adressen Ihrer Nutzer identisch zu den bei Lanes & Planes angelegten Adressen sein müssen
  • Der Name des Attributes muss email  lauten. Namespacing/prefix wie z. B.

    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/email

    wird nicht unterstützt
  • Stellen Sie sicher, dass Sie ein Attribut und keinen „Claim“ setzen

Beispiel Microsoft Entra ID

2) XML Metadata

Nachdem die oben genannten Einstellungen vorgenommen wurden, stellen Sie uns bitte Ihre XML-Metadaten zur Verfügung:

• Gehen Sie zu Ihrem Unternehmenskonto unter https://api.lanes-planes.com/org_admin/organizations/:your_org_id/
• Klicken Sie auf „Single Sign on"

• Wählen Sie SAML

• Geben Sie entweder die XML-Metadaten oder eine DIREKTE URL zu den XML-Daten ein.

Sie können sich nun anmelden. Melden Sie sich von einer anderen Browsersitzung unter https://app.lanes-planes.com an, damit Sie bei Bedarf weiterhin Änderungen an Ihrer Konfiguration vornehmen können.

RelayState URL Parameter nutzen: Falls ihr SAML 2.0 Anbieter individuelle URL Parameter unterstützt, aktivieren Sie diese Option, um auf den RelayState Parameter zu wechseln, welcher offizieller Teil des SAML 2.0 Protokolls ist.

Mobile App benutzt den Browser des Gerätes zur Authentifizierung: Aktivieren Sie diese Option nur, wenn Sie fortgeschrittene Omniauth Funktionen wie bedingter Gerätezugriff oder zusätzliche Sicherheitsfunktionen wie Authentifizierungs-Schlüsselanhänger nutzen wollen. Ansonsten ist die standardmäßige Methode einfacher und komfortabler.

WICHTIG: Die E-Mail-Adressen der Nutzer müssen in beiden System absolut identisch sein (Groß- und Kleinschreibung muss beachtet werden).