Zum Hauptinhalt springen

Sally AI SSO-Anmeldung: Microsoft, Google, Apple oder eigener Identity-Provider

Sally AI unterstützt Single Sign-On (SSO) mit Microsoft, Google und Apple und über den Knopf SSO mit dem eigenen Identity-Provider deiner Firma. Du meldest dich mit der Identität an, die du schon hast, ohne ein separates Sally-Passwort zu verwalten. Neue Nutzer können über Microsoft, Google oder Apple per Klick ein Sally-Konto anlegen.

Diese Anleitung fasst alle Anmeldewege an einer Stelle zusammen: wie die Anmeldung funktioniert, wie ein Administrator Sally einmal für einen ganzen Microsoft-365-Mandanten freigibt und wie du Microsoft zum einzigen Weg in Sally für eure Firmendomain machst. Wie der Besitzer deines Unternehmenskontos Keycloak, Okta oder einen anderen Anbieter verbindet, steht unter SSO mit eigenem Identity-Provider.

Schnellnavigation

  1. Unterstützte Anmeldewege
  2. Anmelden mit Microsoft
  3. Anmelden mit Google
  4. Anmelden mit Apple
  5. Anmelden über den Identity-Provider deiner Firma (SSO)
  6. FAQ

1. Unterstützte Anmeldewege​

Sally AI unterstützt die folgenden Identity Provider out of the box:

  • Microsoft: Microsoft-365- und Azure-AD-Geschäftskonten sowie persönliche Microsoft-Konten (z. B. Outlook.com).
  • Google: Google Workspace und persönliche Google-Konten.
  • Apple: Persönliche Apple ID über „Sign in with Apple“.
  • Identity-Provider deiner Firma: Keycloak, Okta, OneLogin und andere OpenID-Connect-Anbieter, die dein Unternehmenskonto verbunden hat, über den Knopf SSO.

Auf der Sally-Anmeldeseite findest du für jeden Anbieter einen eigenen Button. Beim ersten Login über Microsoft, Google oder Apple legt Sally automatisch dein Konto an, falls noch keines existiert. Über SSO kommen nur Mitglieder des Unternehmenskontos hinein, oder neue Kollegen, wenn für die Domain Auto-Join eingeschaltet ist.

Info

Die SSO-Anmeldung ersetzt die native Anmeldung per E-Mail und Passwort nicht. Du kannst weiterhin die Methode nutzen, die zu deinen Richtlinien passt. Ausgenommen ist eine Firmendomain, für die ein Admin die Anmeldung nur über Microsoft oder die Anmeldung nur über SSO eingeschaltet hat.

2. Anmelden mit Microsoft​

  1. Öffne die Sally-AI-Anmeldeseite.
  2. Klicke unter dem Begrüßungstext auf Microsoft.
Sally-Anmeldeseite mit hervorgehobenem Knopf Microsoft neben Apple, Google und SSO
Abbildung 1: Der Knopf Microsoft auf der Anmeldeseite
  1. Authentifiziere dich mit deinem Microsoft-Konto im Microsoft-Zustimmungsfenster.
  2. Beim ersten Login bittet Microsoft dich, die Berechtigungen zu bestätigen, die Sally zum Lesen grundlegender Profildaten benötigt.
  3. Du wirst zurück zu Sally geleitet und bist angemeldet.

Sowohl Microsoft 365 bzw. Azure AD (Geschäfts-, Schul- oder Universitätskonten) als auch persönliche Microsoft-Konten (Outlook.com, Hotmail, Live) werden unterstützt.

Wenn deine Organisation Microsoft 365 (Azure AD bzw. Entra ID) nutzt, kann ein Global Administrator die OAuth-Berechtigungen, die Sally benötigt, einmalig für den gesamten Tenant freigeben. Deine Teammitglieder sehen den persönlichen Zustimmungsdialog beim ersten Login mit Microsoft dann nicht mehr.

Admin-Consent für die gesamte Organisation vergeben

Wenn du Microsoft-365-Administrator bist, kannst du die benötigten OAuth-Berechtigungen einmalig für deine gesamte Organisation freigeben. Einzelne Nutzer müssen den Zustimmungsdialog beim Verbinden dieser Integration dann nicht mehr bestätigen.

Admin-Consent vergebenDu benötigst die Rolle eines Microsoft-365-Global-Administrators. Der Consent gilt tenantweit und kann jederzeit über Entra ID (Azure AD) widerrufen werden. Sally erhält durch den Admin-Consent keinen automatischen Zugriff auf Nutzerdaten: Jeder Nutzer muss die Integration weiterhin selbst verbinden. Erst nach seiner individuellen Anmeldung wird ein Zugriffstoken in seinem Kontext ausgestellt.

Nach dem Klick auf Admin-Consent vergeben meldest du dich bei Microsoft mit einem Administratorkonto an und stimmst den Berechtigungen für deine Organisation zu. Microsoft legt Sally dabei in Entra ID als Unternehmensanwendung an. Danach leitet Microsoft dich zurück zu Sally, wo du das Ergebnis siehst. Bei Erfolg steht dort Zustimmung erteilt zusammen mit der Mandanten-ID deines Microsoft-Tenants. Lehnt Microsoft die Zustimmung ab, beispielsweise weil dem Konto die Administratorrechte fehlen, steht dort Zustimmung nicht erteilt mit dem Grund, den Microsoft nennt. Ein eigenes Sally-Konto brauchst du dafür nicht. Das Fenster kannst du danach schließen.

2.2. Anmeldung nur über Microsoft​

Ein Owner oder Admin kann Microsoft zum einzigen Weg in Sally machen, und zwar für alle mit einer Adresse auf einer verifizierten Firmendomain. Sally lehnt dann für diese Adressen Passwort, Google und Apple ab und lässt nur noch Microsoft-Anmeldungen aus dem eigenen Microsoft-Mandanten deines Unternehmens zu.

Damit schließt du eine Lücke: Ohne den Schalter könnte sich jemand mit einem Sally-Passwort anmelden und so die Mehrfaktor-Authentifizierung, die Richtlinien für bedingten Zugriff und die Kontosperren umgehen, die du in Microsoft eingerichtet hast. Mit dem Schalter gelten sie in Sally genauso wie in Microsoft 365.

Einschalten​

Der Schalter sitzt bei der Domain unter Interne Domains und lässt sich nur einschalten, wenn drei Dinge zutreffen:

  • Die Domain ist verifiziert.
  • Du bist Owner oder Admin, und deine eigene E-Mail-Adresse liegt auf dieser Domain.
  • Du bist über Microsoft bei Sally angemeldet, mit einem Konto aus dem Microsoft-Mandanten, dem Microsoft diese Domain zuordnet.

Ist für die Domain die Anmeldung nur über SSO eingeschaltet, bleibt der Schalter ebenfalls gesperrt. Eine Domain kann nur einen Pflicht-Anmeldeweg haben.

  1. Hast du dich mit Passwort angemeldet, melde dich ab und über den Knopf Microsoft auf der Anmeldeseite neu an, wie oben beschrieben.
  2. Öffne die Einstellungen, wechsle zu Konto und wähle links Interne Domains.
  3. Klicke auf die verifizierte Domain und schalte in ihrer Detailansicht Anmeldung nur über Microsoft ein. Der Schalter steht direkt unter Auto-Join.
Detailansicht einer Domain mit dem hervorgehobenen Schalter Anmeldung nur über Microsoft unter Auto-Join
Abbildung 2: Der Schalter unter Auto-Join, hier noch gesperrt, weil die Domain nicht verifiziert ist

Fehlt eine der Bedingungen, bleibt der Schalter gesperrt, und die Zeile darunter nennt den Grund, zum Beispiel dass die Domain erst verifiziert werden muss. Ist der Schalter an, zeigt das Info-Symbol daneben, an welchen Microsoft-Mandanten die Domain gebunden ist und wer den Schalter wann eingeschaltet hat.

Was sich für deine Nutzer ändert​

Der Schalter gilt für jedes Konto, dessen E-Mail-Adresse auf dieser Domain liegt. Adressen anderer Domains in deinem Unternehmenskonto sind nicht betroffen.

  • Anmeldung: Es funktioniert nur noch der Knopf Microsoft auf der Anmeldeseite. Passwort, Google und Apple werden auf jedem Weg abgelehnt: im Browser, in der Sally App, im Sally Recorder und bei KI-Agenten, die über MCP verbunden sind.
  • Nur dein Mandant: Auch ein Microsoft-Konto aus einem anderen Mandanten wird abgelehnt. Das gilt ebenso für ein privates Microsoft-Konto, das zufällig die Firmenadresse nutzt.
  • Sitzungen: Sobald du den Schalter einschaltest, enden die übrigen Sitzungen dieser Nutzer. Alle melden sich einmal neu an, diesmal über Microsoft.
  • Passwörter: Passwort vergessen, Passwort ändern und ein neues Passwort setzen sind für diese Adressen gesperrt. Sally erklärt auf diesen Seiten, warum. In den Sicherheitseinstellungen gibt es auch die Zwei-Faktor-Authentifizierung nicht mehr, denn die Mehrfaktor-Authentifizierung kommt jetzt von Microsoft.
  • Einladungen: Wer mit einer Adresse dieser Domain eingeladen wird, nimmt die Einladung an und geht direkt weiter zur Anmeldung bei Microsoft. Einen Passwortschritt gibt es nicht.
Sally App und Sally Recorder

Auch in der App und im Recorder meldet man sich über Microsoft an. Versucht es dort jemand mit Passwort, erscheint zurzeit eine allgemeine Fehlermeldung statt einer eigenen Erklärung.

Gebunden an deinen Microsoft-Mandanten​

Beim Einschalten fragt Sally bei Microsoft nach, zu welchem Mandanten die Domain gehört, und bindet die Einstellung an diesen Mandanten. Genau das hält Microsoft-Konten von außerhalb fern. Jede Nacht prüft Sally erneut, ob die Domain noch zum selben Mandanten gehört. Ändert sich das, bekommen die Admins deines Unternehmenskontos eine E-Mail.

Ausschalten kannst du den Schalter jederzeit an derselben Stelle. Danach funktionieren Passwort, Google und Apple für Adressen dieser Domain wieder.

3. Anmelden mit Google​

  1. Öffne die Sally-AI-Anmeldeseite.
  2. Klicke auf Google.
  3. Wähle dein Google-Konto aus und bestätige die angefragten Berechtigungen.
  4. Du wirst zurück zu Sally geleitet und bist angemeldet.

Sowohl Google Workspace als auch persönliche Google-Konten werden unterstützt.

4. Anmelden mit Apple​

  1. Öffne die Sally-AI-Anmeldeseite.
  2. Klicke auf Apple.
  3. Authentifiziere dich mit deiner Apple ID (ggf. wirst du nach Face ID, Touch ID oder einer Zwei-Faktor-Bestätigung gefragt).
  4. Entscheide, ob du deine E-Mail-Adresse teilen oder verbergen möchtest. Sally funktioniert in beiden Fällen.
  5. Du wirst zurück zu Sally geleitet und bist angemeldet.
Info

Sign in with Apple unterstützt nur persönliche Apple IDs. Apple bietet kein vergleichbares, zentral verwaltetes Firmenmodell an.

5. Anmelden über den Identity-Provider deiner Firma (SSO)​

Hat dein Unternehmenskonto einen eigenen Identity-Provider verbunden, etwa Keycloak oder Okta, meldest du dich so an:

  1. Öffne die Sally-AI-Anmeldeseite.
  2. Klicke auf SSO, neben Apple, Google und Microsoft.
Sally-Anmeldeseite mit hervorgehobenem Knopf SSO unter Google, neben Microsoft
Abbildung 3: Der Knopf SSO auf der Anmeldeseite
  1. Trag deine Firmen-E-Mail ein und klicke auf Weiter.
Seite Mit SSO anmelden mit hervorgehobenem Feld Firmen-E-Mail und dem Knopf Weiter
Abbildung 4: Sally fragt nach deiner Firmen-E-Mail
  1. Sally erkennt deine Domain und leitet dich zur Anmeldeseite deiner Firma weiter. Melde dich dort wie gewohnt an.
  2. Du wirst zurück zu Sally geleitet und bist angemeldet.

Sally merkt sich deine Adresse auf diesem Gerät, beim nächsten Mal genügt der Klick auf SSO. Steht auf der Anmeldeseite schon eine Adresse im Feld E-Mail, entfällt die Frage ebenfalls.

Den Knopf SSO gibt es auch in der Sally App, im Sally Recorder und in Sally für Microsoft Teams. Auch dort fragt Sally nach deiner Firmen-E-Mail und leitet dich dann zu deinem Identity-Provider weiter.

Meldet Sally, dass für deine Adresse keine SSO-Anmeldung eingerichtet ist, hat deine Firma für deine Domain keinen Identity-Provider verbunden. Melde dich dann mit Passwort, Microsoft, Google oder Apple an, oder frag deinen Administrator. Wie der Besitzer deines Unternehmenskontos SSO einrichtet, steht unter SSO mit eigenem Identity-Provider.

6. FAQ​

Können Nutzer zwischen SSO und E-Mail/Passwort wechseln?​

Ja. Solange die E-Mail-Adresse eines Sally-Kontos mit der Adresse bei Microsoft, Google oder Apple übereinstimmt, kann sich der Nutzer über jeden verknüpften Anbieter oder per E-Mail und Passwort anmelden. Sally verknüpft die Anbieter automatisch mit dem bestehenden Konto. Nur wenn für die Domain des Nutzers die Anmeldung nur über Microsoft oder die Anmeldung nur über SSO eingeschaltet ist, führt der Weg ausschließlich darüber.

Was passiert, wenn der Zugriff beim Identity Provider entzogen wird?​

Die Anmeldung über diesen Anbieter funktioniert nicht mehr. Der Nutzer kann weiterhin per E-Mail und Passwort oder über einen anderen mit derselben E-Mail verknüpften SSO-Anbieter auf Sally zugreifen. Soll eine Sperre in Microsoft den Nutzer auch aus Sally aussperren, schalte für eure Domain die Anmeldung nur über Microsoft ein. Für euren eigenen Identity-Provider geht dasselbe mit der Anmeldung nur über SSO.

Erzeugt eine SSO-Anmeldung automatisch eine Lizenz?​

Nein. SSO legt ein Nutzerkonto an oder meldet dich bei einem bestehenden an. Die Lizenzzuweisung erfolgt separat durch einen Administrator oder über SCIM-Provisioning.