SSO mit eigenem Identity-Provider
Verwaltet deine Firma ihre Konten in einem eigenen Identity-Provider, etwa Keycloak, Okta, OneLogin oder Auth0, kannst du ihn über OpenID Connect mit Sally verbinden. Deine Mitarbeiter melden sich dann mit ihrem Firmenkonto bei Sally an statt mit einem eigenen Sally-Passwort. Mehrfaktor-Authentifizierung, Passwortregeln und Kontosperren bleiben dort, wo sie schon sind: in deinem Identity-Provider.
Diese Anleitung führt dich durch die ganze Einrichtung: den Client in deinem Identity-Provider vorbereiten, ihn in Sally verbinden, SSO auf Wunsch für eine Domain zur Pflicht machen, neue Kollegen automatisch aufnehmen und wie die Anmeldung für deine Mitarbeiter aussieht.
Schnellnavigation
- Bevor du startest
- Client im Identity-Provider vorbereiten
- Identity-Provider in Sally verbinden
- Anmeldung nur über SSO
- Auto-Join für neue Kollegen
- So melden sich deine Mitarbeiter an
- Verbindung ändern oder entfernen
- Fehlermeldungen und was sie bedeuten
- FAQ
1. Bevor du startest
Du brauchst drei Dinge:
- Dein Identity-Provider spricht OpenID Connect. Keycloak, Okta, OneLogin, Auth0, Ping und JumpCloud tun das. SAML wird nicht unterstützt.
- Mindestens eine verifizierte Domain. SSO gilt für E-Mail-Adressen auf Domains, die dein Unternehmenskonto verifiziert hat. Wie du eine Domain hinzufügst und verifizierst, steht unter Interne Domains. Lass den TXT-Eintrag danach stehen: Sally prüft ihn jeden Tag, und fehlt er, verliert die Domain ihre Verifizierung und SSO funktioniert für sie nicht mehr.
- Dein Identity-Provider ist aus dem Internet per https erreichbar. Sally tauscht die Anmeldung von den eigenen Servern aus gegen ein Token und holt beim Identity-Provider die Schlüssel, um es zu prüfen. Ein Identity-Provider, der nur im Firmennetz oder nur per
httperreichbar ist, lässt sich nicht verbinden. - Zugang zur Verwaltung deines Identity-Providers, damit du dort einen Client anlegen kannst. Kümmert sich jemand anderes darum, schick ihm Schritt 2.
Nutzt deine Firma Microsoft Entra ID oder Google Workspace, brauchst du diese Einrichtung nicht. Deine Mitarbeiter melden sich direkt über den Knopf Microsoft oder Google an, siehe SSO-Anmeldung. Soll Microsoft der einzige Weg sein, nutze Anmeldung nur über Microsoft.
2. Client im Identity-Provider vorbereiten
Sally meldet sich bei deinem Identity-Provider als eigener Client an. Diesen Client legst du einmal an und brauchst später vier Angaben daraus: die Issuer-URL, die Client-ID, das Client-Secret und einen Eintrag für die Redirect-URI von Sally.
Die Redirect-URI findest du in Sally im Einrichtungsfenster (siehe Schritt 3), mit einem Knopf zum Kopieren. Sie ist für alle Sally-Kunden dieselbe Adresse. Am einfachsten öffnest du zuerst das Fenster in Sally, kopierst die Adresse und legst dann den Client in deinem Identity-Provider an.
2.1. Keycloak
- Wechsle in der Keycloak-Verwaltung in den Realm, über den sich deine Mitarbeiter anmelden.
- Öffne Clients und klicke auf Create client.
- Lass OpenID Connect als Client-Typ stehen und trag eine Client ID ein, z. B.
sally. Klicke auf Next. - Schalte Client authentication ein und lass Standard flow angehakt. Klicke auf Next.
- Füge die Redirect-URI von Sally unter Valid redirect URIs ein und klicke auf Save.
- Kopiere im Reiter Credentials des Clients das Client secret.
Die Issuer-URL ist die Adresse deines Realms: dein Keycloak-Server, dann /realms/ und der Name des Realms, z. B. https://sso.firma.de/realms/firma. Bei älteren Keycloak-Installationen (bis Version 16) steht noch /auth dazwischen: https://sso.firma.de/auth/realms/firma.
Sally erkennt deine Mitarbeiter an ihrer E-Mail-Adresse. Achte darauf, dass jeder Nutzer in Keycloak eine E-Mail-Adresse hat und dass dem Client die Client Scopes email und profile zugewiesen sind. In Keycloak ist das standardmäßig so. Sally liest die Adresse aus dem ID-Token, und fehlt sie dort, über den Userinfo-Endpunkt.
2.2. Okta
- Öffne in der Okta Admin Console Applications › Applications und klicke auf Create App Integration.
- Wähle OIDC - OpenID Connect als Anmeldemethode und Web Application als Anwendungstyp.
- Füge die Redirect-URI von Sally unter Sign-in redirect URIs ein und speichere.
- Kopiere im Reiter General die Client ID und das Client secret.
- Weise unter Assignments die Personen oder Gruppen zu, die sich bei Sally anmelden dürfen.
Die Issuer-URL ist deine Okta-Adresse, z. B. https://firma.okta.com.
2.3. Andere Anbieter
Bei anderen Anbietern heißen die Schritte anders, sind inhaltlich aber dieselben:
- Leg eine Webanwendung oder einen vertraulichen Client mit dem Authorization Code-Flow an.
- Trag die Redirect-URI von Sally als erlaubte Weiterleitung ein.
- Gib die Scopes
openid,emailundprofilefrei. - Sally meldet sich mit dem Client-Secret per HTTP Basic an (
client_secret_basic) und schickt immer PKCE mit der MethodeS256mit. Fragt dein Anbieter nach einer PKCE-Methode, wähleS256. - Notier dir Issuer-URL, Client-ID und Client-Secret.
Alles Weitere liest Sally selbst aus der OpenID-Konfiguration deines Anbieters unter {Issuer-URL}/.well-known/openid-configuration. Die eingetragene Issuer-URL muss dort genau dem Wert issuer entsprechen, nur ein Schrägstrich am Ende darf abweichen.
3. Identity-Provider in Sally verbinden
- Öffne Einstellungen unten in der linken Seitenleiste.
- Öffne unter Verwaltung die Benutzerverwaltung.
- Klicke über der Nutzerliste auf SSO einrichten, neben SCIM einrichten.
- Rechts öffnet sich das Fenster SSO-Anmeldung verbinden. Füll den Abschnitt Verbindung aus:
| Feld | Was hinein gehört |
|---|---|
| Anzeigename | Der Name, den deine Mitarbeiter auf dem Anmeldeknopf sehen, z. B. Muster GmbH SSO. Sally zeigt dann Weiter mit Muster GmbH SSO. |
| Issuer-URL | Die Adresse deines Identity-Providers, siehe Schritt 2. Sie muss genau dem issuer in der OpenID-Konfiguration deines Anbieters entsprechen. |
| Client-ID | Die Client-ID aus deinem Identity-Provider. |
| Client-Secret | Das Secret aus deinem Identity-Provider. Nach dem Speichern lässt es sich nicht mehr anzeigen. |
| Redirect-URI | Füllt Sally aus. Kopiere sie mit dem Knopf daneben und trag sie in deinem Identity-Provider als erlaubte Weiterleitung ein. |
- Klicke auf Verbindung prüfen. Sally liest die Anmelde-, Token- und Schlüssel-Adresse aus der OpenID-Konfiguration deines Anbieters und speichert deine Angaben. Klappt das nicht, steht es direkt am Feld: Prüfe die Issuer-URL, oft fehlt der Realm oder der Teil
/auth. Die Test-Anmeldung lässt sich erst nach einer erfolgreichen Prüfung starten. - Klicke im Abschnitt Test-Anmeldung auf Test-Anmeldung starten. Die Anmeldeseite deines Identity-Providers öffnet sich. Melde dich dort mit deinem eigenen Firmenkonto an. Danach kommst du zurück in die Benutzerverwaltung, und das Fenster zeigt das Ergebnis, z. B. Die Test-Anmeldung ist gelungen, angemeldet als name@firma.de. Bestanden ist der Test nur, wenn dein Identity-Provider eine E-Mail-Adresse mitschickt.
- Wähle im Abschnitt Domains die verifizierten Domains aus, deren Adressen sich über deinen Identity-Provider anmelden sollen. Nicht verifizierte Domains lassen sich nicht auswählen. Wähle mindestens eine aus. Hat dein Unternehmenskonto noch keine verifizierte Domain, steht dort Noch keine verifizierte Domain, und Zu den Domains bringt dich hin.
- Klicke auf Speichern.
Ab jetzt kann sich jeder mit einer Adresse auf einer der gewählten Domains über den Knopf SSO bei Sally anmelden. Passwort und die übrigen Anmeldewege funktionieren für sie weiter, bis du die Anmeldung nur über SSO einschaltest.
Speichern lässt sich erst, wenn die Test-Anmeldung gelungen ist. So fällt eine falsche Client-ID oder eine vergessene Redirect-URI schon bei der Einrichtung auf und nicht erst, wenn sich deine Mitarbeiter nicht mehr anmelden können.
4. Anmeldung nur über SSO
Läuft SSO, kannst du es für eine Domain zum einzigen Weg in Sally machen. Sally lehnt dann für Adressen dieser Domain das Sally-Passwort, Microsoft, Google und Apple ab. Mehrfaktor-Authentifizierung und Richtlinien kommen vollständig aus deinem Identity-Provider, und wer dort gesperrt wird, kommt auch nicht mehr in Sally.
Einschalten lässt sich der Schalter nur, wenn:
- die Domain verifiziert ist,
- sie deiner SSO-Verbindung zugeordnet ist (siehe Schritt 3) und
- die Anmeldung nur über Microsoft für diese Domain aus ist. Eine Domain kann nur einen Pflicht-Anmeldeweg haben.
- Öffne Einstellungen, geh auf Konto und wähle links Interne Domains.
- Klicke auf die Domain. Rechts öffnet sich ihre Detailansicht.
- Schalte Anmeldung nur über Muster GmbH SSO ein (Sally setzt hier deinen Anzeigenamen ein).
- Vor dem Einschalten fragt Sally nach und sagt dir, wie viele Nutzer dieser Domain ein Sally-Passwort haben, das danach nicht mehr funktioniert. Bestätige mit Einschalten.
In der Liste trägt die Domain jetzt die Plakette Nur Muster GmbH SSO.
Was sich für deine Nutzer ändert:
- Anmeldung: Nur der Knopf SSO funktioniert. Wer es mit dem Passwort versucht, bekommt nach Anmelden einen Hinweis und kann direkt darin mit Weiter mit Muster GmbH SSO zu deinem Identity-Provider wechseln.
- Sitzungen: Beim Einschalten enden alle übrigen Sitzungen dieser Adressen. Deine eigene bleibt bestehen.
- Passwörter: Passwort vergessen und Passwort ändern sind für diese Adressen gesperrt. Unter Konto › Sicherheit steht stattdessen die Karte Anmeldung über SSO, und Sally bietet dort keine eigene Zwei-Faktor-Authentifizierung mehr an.
- Einladungen: Wer mit einer Adresse der Domain eingeladen wird, nimmt mit Annehmen und mit SSO anmelden an und landet direkt bei deinem Identity-Provider.
Ausschalten kannst du den Schalter jederzeit an derselben Stelle. Danach funktionieren für Adressen dieser Domain wieder alle Anmeldewege.
Die Regel gilt nur, solange deine SSO-Verbindung aktiv und die Domain verifiziert ist. Änderst du Issuer-URL, Client-ID oder Secret, pausiert Sally die Verbindung bis zur nächsten gelungenen Test-Anmeldung samt Speichern, siehe Schritt 7. Dasselbe passiert, wenn die Domain ihre Verifizierung verliert. In dieser Zeit funktionieren für diese Adressen wieder Sally-Passwort, Microsoft, Google und Apple, damit niemand ausgesperrt ist. Plane Änderungen an der Verbindung entsprechend.
5. Auto-Join für neue Kollegen
Standardmäßig lässt Sally über SSO nur Personen hinein, die schon Mitglied deines Unternehmenskontos sind. Alle anderen werden mit der Bitte abgewiesen, ihren Admin um eine Einladung zu fragen.
Willst du nicht jeden neuen Kollegen einzeln einladen, schalte für die Domain Auto-Join ein. Der Schalter sitzt in derselben Detailansicht unter Konto › Interne Domains, siehe Interne Domains: Auto-Join. Mit Auto-Join behandelt Sally eine erste SSO-Anmeldung so:
- Noch niemand mit dieser Adresse in Sally: Sally legt den Nutzer an und nimmt ihn als Mitglied in dein Unternehmenskonto auf. Er bekommt keine Lizenz, aber die übliche Testphase einer neuen Mitgliedschaft. Eine Lizenz vergibst weiterhin du.
- Schon Sally-Nutzer, aber nicht in deinem Unternehmenskonto: Sally nimmt den bestehenden Nutzer als Mitglied in dein Unternehmenskonto auf.
- Schon Mitglied: Er wird einfach angemeldet.
Ein eigenes, neues Unternehmenskonto legt Sally auf diesem Weg nie an. Verbindest du zusätzlich SCIM, sind die Personen aus deinem Identity-Provider schon vor ihrer ersten Anmeldung da, und SCIM vergibt ihre Lizenzen über Gruppen.
6. So melden sich deine Mitarbeiter an
- Deine Mitarbeiter öffnen die Sally-Anmeldeseite und klicken auf SSO, neben Apple, Google und Microsoft.
- Sally fragt nach der Firmen-E-Mail. Adresse eintragen und auf Weiter klicken.
- Sally erkennt die Domain und leitet zu deinem Identity-Provider weiter. Dort wie gewohnt anmelden.
- Sally holt dich zurück, und du bist angemeldet.
Sally merkt sich die Adresse auf dem Gerät. Ab dem zweiten Mal genügt der Klick auf SSO. Steht auf der Anmeldeseite schon eine Adresse im Feld E-Mail, entfällt die Frage ebenfalls.
Die Seite https://app.sally.io/sso startet die Anmeldung per SSO direkt, ohne die Anmeldeseite. Du kannst sie in euer Intranet stellen oder als Kachel im App-Dashboard deines Identity-Providers anlegen.
Den Knopf SSO gibt es auch in der Sally App, im Sally Recorder und in Sally für Microsoft Teams. Auch dort fragt Sally nach der Firmen-E-Mail und leitet dann zu deinem Identity-Provider weiter.
7. Verbindung ändern oder entfernen
Ist die Verbindung gespeichert, heißt der Knopf in der Benutzerverwaltung SSO verwalten. Dort kannst du:
- Anzeigename ändern. Klicke danach auf Verbindung prüfen, das speichert den neuen Namen. Die Test-Anmeldung bleibt gültig.
- Domains ändern. Domains an- oder abwählen und auf Speichern klicken. Eine abgewählte Domain verliert auch Anmeldung nur über ….
- Issuer-URL, Client-ID oder Secret ändern. Klicke auf Verbindung prüfen, starte die Test-Anmeldung erneut und klicke dann auf Speichern. Bis dahin pausiert die Anmeldung über SSO, und die Anmeldung nur über SSO ruht. Lässt du das Feld für das Secret leer, bleibt das hinterlegte bestehen.
- Die Verbindung entfernen mit Verbindung entfernen. Danach meldet sich niemand mehr über deinen Identity-Provider an, und Anmeldung nur über … endet für alle Domains. Zum Zurückholen trägst du die Verbindung neu ein und testest sie.
8. Fehlermeldungen und was sie bedeuten
| Meldung | Was zu tun ist |
|---|---|
| Die OpenID-Konfiguration ließ sich unter dieser Issuer-URL nicht lesen. Prüfe die Adresse. | Die Issuer-URL stimmt nicht. Prüfe bei Keycloak den Namen des Realms und ob dein Server den Teil /auth braucht. |
| Die Test-Anmeldung ist fehlgeschlagen (Code: …). | Prüfe Client-ID, Secret und Redirect-URI in deinem Identity-Provider. |
| Für Adressen @… ist keine SSO-Anmeldung eingerichtet. | Die Domain der Adresse ist keiner SSO-Verbindung zugeordnet oder nicht verifiziert. |
| Der Identity-Provider hat keine E-Mail-Adresse mitgeschickt. | Gib in deinem Identity-Provider den Scope email für den Client frei und sorg dafür, dass der Nutzer dort eine E-Mail-Adresse hat. |
| Deine Adresse gehört zu keiner Domain, die in Sally für diese SSO-Anmeldung freigegeben ist. | Dein Identity-Provider hat eine Adresse auf einer Domain geliefert, die in der SSO-Verbindung nicht ausgewählt ist. Sally nimmt nur Adressen auf euren eigenen, verifizierten Domains an. |
| Du bist noch kein Mitglied dieses Unternehmenskontos in Sally. | Lade die Person über die Benutzerverwaltung ein oder schalte Auto-Join ein. |
| Die SSO-Anmeldung deiner Firma ist gerade nicht eingerichtet oder pausiert. | Die Verbindung wurde geändert und nicht erneut getestet, oder sie wurde entfernt. Starte unter SSO verwalten die Test-Anmeldung erneut. |
| Der Identity-Provider deiner Firma hat die Anmeldung abgelehnt. | Dein Identity-Provider hat die Anmeldung verweigert, etwa weil die Person dort dem Sally-Client nicht zugewiesen ist. Prüfe die Zuweisung und die Redirect-URI. |
| Die Antwort des Identity-Providers ließ sich nicht prüfen. | Oft stimmt das Client-Secret nicht oder ist abgelaufen. Prüfe es in deinem Identity-Provider und starte die Test-Anmeldung erneut. |
| Für diese Adresse ist nur die Anmeldung über den Identity-Provider deiner Firma möglich. | Für die Domain ist die Anmeldung nur über SSO eingeschaltet. Nutze den Knopf SSO statt Passwort, Microsoft, Google oder Apple. |
| Dein Zugang zu diesem Unternehmenskonto ist gesperrt. | Die Person ist in deinem Unternehmenskonto gesperrt. Heb die Sperre in der Benutzerverwaltung auf. |
| Die Anmeldung ist abgelaufen. Bitte starte sie erneut. | Eine Anmeldung muss innerhalb von zehn Minuten abgeschlossen sein. Starte neu mit SSO. |
9. FAQ
Welche Identity-Provider funktionieren?
Jeder Identity-Provider, der OpenID Connect mit dem Authorization-Code-Flow unterstützt, z. B. Keycloak, Okta, OneLogin, Auth0, Ping oder JumpCloud. SAML wird nicht unterstützt.
Kann ich mehrere Identity-Provider verbinden?
Nein. Jedes Unternehmenskonto hat eine SSO-Verbindung. Ihr kannst du aber mehrere verifizierte Domains zuordnen.
Warum gibt es nur einen Knopf „SSO“ und keinen eigenen für Okta oder Keycloak?
Jedes Okta und jedes Keycloak ist eine eigene Instanz unter der Adresse deiner Firma. Wohin es geht, weiß Sally erst mit der E-Mail-Adresse. Deshalb gibt es einen Knopf SSO für alle Firmen, und nach der Adresse zeigt Sally den Namen, den du als Anzeigenamen gewählt hast.
Vergibt eine SSO-Anmeldung eine Lizenz?
Nein. Lizenzen vergibt der Besitzer oder ein Admin, oder SCIM über Gruppen. Wer über Auto-Join hereinkommt, startet ohne Lizenz, mit der Testphase einer neuen Mitgliedschaft.
Was passiert, wenn sich die E-Mail-Adresse eines Mitarbeiters im Identity-Provider ändert?
An der E-Mail-Adresse erkennt Sally eine Person nur bei der ersten Anmeldung. Danach nutzt Sally die feste Nutzerkennung aus deinem Identity-Provider, die Person bleibt also derselbe Sally-Nutzer.
Kann ich SSO mit SCIM kombinieren?
Ja. SCIM legt Nutzer an, entfernt sie und vergibt Lizenzen, SSO übernimmt die Anmeldung. Beides arbeitet unabhängig voneinander.
Was passiert, wenn ich jemanden in meinem Identity-Provider sperre?
Über SSO kommt die Person nicht mehr hinein. Hat sie noch ein Sally-Passwort, kann sie es weiter nutzen, bis du für die Domain die Anmeldung nur über SSO einschaltest. Ist die Regel an, hält eine Sperre in deinem Identity-Provider die Person auch von Sally fern.
Woher kommt die Mehrfaktor-Authentifizierung?
Aus deinem Identity-Provider. Sally ist an der Anmeldung dort nicht beteiligt. Mit eingeschalteter Anmeldung nur über SSO bietet Sally für diese Adressen keine eigene Zwei-Faktor-Authentifizierung mehr an.