Anmelden mit dem eigenen Organisationskonto (SSO) Anleitung

Mit Single Sign-on melden sich deine Mitarbeiter bei 2LRN4 mit dem Konto an, das sie ohnehin schon haben, meist ihr Microsoft- oder Google-Konto aus dem Arbeitsumfeld. Sie müssen sich dann kein eigenes Passwort für 2LRN4 merken, und deine Organisation behält die Kontrolle: Wer bei euch ausscheidet und kein Organisationskonto mehr hat, kommt auch nicht mehr in 2LRN4 hinein.

Zwei Wege

1. Die Microsoft- oder Google-Schaltfläche auf der Anmeldeseite. Das ist die einfachste Form und erfordert keine Einrichtung auf eurer Seite. Für jeden Benutzer ist eingestellt, wie er sich anmeldet (mit einem Passwort, mit Microsoft oder mit Google); das änderst du im Benutzerprofil oder gesammelt über die Benutzerübersicht. Nutzt ihr die automatische Benutzersynchronisation mit Microsoft Entra oder Google Workspace, dann steht das gleich richtig.

2. Eine SAML-Verbindung mit eurem eigenen Identity Provider. Für Organisationen, die ihre Zugriffe zentral regeln, zum Beispiel mit Entra ID (früher Azure AD), ADFS oder Okta. Du findest das in der Verwaltung unter Saml2 bei deiner Organisation. Dort trägst du vier Angaben zu eurem Identity Provider ein, die dir dein Identity-Administrator liefert:

die Entity-ID des Identity Providers;
die Anmelde-URL (Single Sign-on Service);
die Abmelde-URL (Single Logout Service);
das X.509-Zertifikat.

Nach dem Speichern siehst du in der Übersicht die Anmelde-URL deiner Organisation. Die kannst du intern teilen, zum Beispiel als Kachel im Intranet. Die Angaben, die dein Identity-Administrator von uns braucht, schicken wir dir auf Anfrage zu; gerne schauen wir auch bei der Einrichtung und beim Testen mit.

Was passiert bei einem unbekannten Benutzer?

Meldet sich jemand über SSO an, obwohl noch kein 2LRN4-Konto besteht, dann entscheidet eine Einstellung bei deiner Organisation, was geschieht. Du findest sie im Organisationsformular unter Single Sign-on — neue Benutzer, bei der Auswahlliste Unbekannter Benutzer bei der SSO-Anmeldung. Es gibt drei Möglichkeiten:

Standard der Plattform übernehmen (die Ausgangsstellung). Du triffst selbst keine Wahl; die Organisation folgt dem, was plattformweit eingestellt ist. Praktisch, solange du darüber noch nicht bewusst entschieden hast, aber lege die Wahl am besten fest, damit dich eine Änderung des Plattformstandards nicht überrascht.
Konto muss bereits bestehen (empfohlen). Nur wer schon in 2LRN4 steht, kann sich anmelden. Neue Mitarbeiter kommen über die Benutzersynchronisation oder über einen Import herein, und du behältst die Regie darüber, wer einen Platz belegt.
Konto bei der ersten Anmeldung automatisch anlegen. Wer sich zum ersten Mal anmeldet, bekommt sofort ein Konto mit der Standardrolle, verknüpft mit deiner Organisation. Die Lizenz wird dabei überwacht: Ist deine Organisation voll, wird kein Konto angelegt und der Benutzer sieht eine deutliche Meldung auf der Anmeldeseite.

Entscheidest du dich für das automatische Anlegen in Kombination mit der Microsoft- oder Google-Schaltfläche, dann fülle auch das Feld E-Mail-Domains dieser Organisation aus (mehrere sind erlaubt, durch Kommas getrennt, zum Beispiel kundenname.de, kundenname.com). Diese Schaltflächen arbeiten nämlich mit einer gemeinsamen Verbindung für alle Kunden, deshalb bestimmt die E-Mail-Domain, zu welcher Organisation ein neuer Benutzer gehört. Beansprucht mehr als eine Organisation dieselbe Domain, wird nichts angelegt; das ist Absicht, denn die Plattform kann dann nicht feststellen, wohin der Benutzer gehört. Bei einer SAML-Verbindung ist dieses Feld nicht nötig, denn diese Verbindung gehört ohnehin zu deiner Organisation.

Für die meisten Organisationen empfehlen wir die Kombination aus Benutzersynchronisation und Konto muss bereits bestehen. Die Synchronisation legt Konten mit der richtigen Abteilung und Sprache an und schaltet sie ab, sobald jemand ausscheidet. Das automatische Anlegen bei der Anmeldung ist praktisch, wenn du keine Synchronisation nutzt, aber der Benutzer startet dann ohne Abteilung; kontrolliere in dem Fall regelmäßig den Filter Ohne Abteilung in der Benutzerübersicht.

Siehst du diesen Block im Organisationsformular nicht, fehlt deinem Konto das Recht, die Konfiguration zu verwalten. Die Einstellung ist nur für die Administratorrolle sichtbar; frag in dem Fall eine Kollegin oder einen Kollegen mit dieser Rolle oder deine Ansprechperson bei 2LRN4.

Gut zu wissen

Die Zwei-Faktor-Authentifizierung regelt euer Identity Provider. Wer sich über SSO anmeldet, durchläuft die Sicherheit des eigenen Organisationskontos, einschließlich MFA, wenn ihr das aktiviert habt. Die MFA-Einstellung in 2LRN4 selbst ist für Konten gedacht, die sich mit einem Passwort anmelden.
Passwort vergessen gilt hier nicht. Für ein SSO-Konto gibt es kein 2LRN4-Passwort, und die Funktion „Passwort vergessen“ tut damit bewusst nichts. Kommt ein Mitarbeiter nicht weiter, liegt die Lösung beim Organisationskonto selbst.
Eine fehlgeschlagene SSO-Anmeldung gibt eine Meldung. Der Benutzer landet wieder auf der Anmeldeseite, mit einem Text, der sagt, was los ist, zum Beispiel dass das Konto noch nicht besteht oder dass die Lizenz voll ist.
Erst mit einer kleinen Gruppe ausprobieren. Richte die Verbindung ein, teste mit ein paar Kollegen aus verschiedenen Abteilungen und rolle SSO danach erst breit aus. Gerne denken wir bei der Reihenfolge mit.