Unternehmens-Anmeldung

Unter Einstellungen → „Sicherheit & SSO“ meldet sich ein Arbeitsbereich über den eigenen Identitätsanbieter an (SAML 2.0).

Lesen dürfen Inhaber und Admin. Jede andere Rolle bekommt eine Seite „nicht gefunden“.

Die Seite beginnt mit „Zwei-Faktor-Authentifizierung“ — die gilt für jeden Arbeitsbereich und ist unter Zwei-Faktor-Pflicht beschrieben. Darunter folgen die drei Karten für SSO, in der Reihenfolge, in der du sie brauchst: „E-Mail-Domains“, „Unternehmens-Anmeldung (SSO)“, „Anmeldeadresse für diesen Arbeitsbereich“.

Schritt 1: Die Domain nachweisen

Trage die Domain ein. Die Seite zeigt dir daraufhin einen TXT-Eintrag mit Kopierknöpfen:

• Name: _verstag-challenge.DEINE-DOMAIN
• Wert: verstag-domain-verification=TOKEN — das Token sind 64 Hexadezimalzeichen

Lege den Eintrag im DNS an und drücke danach „Prüfen“. Eine automatische Nachprüfung gibt es nicht: Geprüft wird nur, wenn du drückst.

Das Fenster beträgt 14 Tage. Läuft es ab, ohne dass der Eintrag gefunden wurde, stellst du den Nachweis über „Nachweis neu ausstellen“ neu aus — dabei bekommst du ein neues Token, der alte Eintrag im DNS ist dann wertlos.

Ein abgelaufener Nachweis wird auch dann nicht bestätigt, wenn der Eintrag inzwischen im DNS steht. Stelle ihn in dem Fall neu aus und trage den neuen Wert ein.

Eine bestätigte Domain wird zurückgezogen, sobald eine Prüfung den Eintrag nicht mehr findet. Dann öffnet sich dasselbe 14-Tage-Fenster erneut — diesmal mit demselben Token, der Eintrag muss also nur zurück.

Schritt 2: Die Verbindung einrichten

Ohne nachgewiesene Domain zeigt die Verbindungskarte kein Formular, sondern nur den Satz, der den Nachweis als ersten Schritt benennt. Erst danach kannst du den Identitätsanbieter eintragen, die Rolle für neue Mitglieder wählen und die automatische Aufnahme einschalten.

Eine bereits aktive Verbindung lässt sich auch ohne erneuten Nachweis auf einen anderen Anbieter umstellen — etwa nach einem Zertifikatswechsel.

Wenn die Anmeldung abläuft

Bei eingeschalteter Anmeldepflicht steht eine Anmeldung über den Identitätsanbieter höchstens zwölf Stunden, danach lässt der Arbeitsbereich sie erneut bestätigen.

Läuft das Fenster ab, landest du an der Anmeldeadresse deines Arbeitsbereichs mit einem Satz, der „abgelaufen“ sagt. Eine erneute Anmeldung über den Anbieter genügt.

Ohne eingeschaltete Anmeldepflicht gilt das nicht.

Wenn jemand den Zugang verlieren soll

Wird jemand beim Identitätsanbieter gesperrt, ist eine neue Anmeldung ab sofort unmöglich. Eine laufende Sitzung endet erst, wenn das Zwölfstundenfenster abläuft.

Soll der Zugang sofort enden, deaktiviere die Mitgliedschaft im Arbeitsbereich. Wer deaktiviert ist, kommt auch über eine Anmeldung beim Anbieter nicht zurück.

Was ein Admin bedienen darf

Ein Admin sieht die Verbindung als vier Zustandszeilen — „Identitätsanbieter“, „Rolle für neue Mitglieder“, „Automatische Aufnahme“, „Verbindung“ — und im Domain-Abschnitt die Liste, den Status, den TXT-Eintrag samt Wert und die Kopierknöpfe.

Nicht bedienen darf er: die Verbindung speichern, und im Domain-Abschnitt „Prüfen“, „Nachweis neu ausstellen“ und „Domain eintragen“. An der Stelle des Formulars steht bei ihm ein Satz, der sagt, wer es darf.

Den Schalter für die Anmeldepflicht darf ein Admin bedienen. Er bekommt damit genau einen der beiden Schalter auf der Karte.

Wenn der Tarif es nicht enthält

Dann steht statt des Formulars ein Satz, der den Tarif nennt. Verliert ein Arbeitsbereich die Funktion, sagt die Seite das anders als beim Nie-Gehabt-Haben: Bestehende Anmeldungen laufen weiter.