Für KI kopieren

SSO-Konfiguration (Single Sign-On)

Übertragen Sie die Authentifizierung für Cord an den Identitätsanbieter Ihres Unternehmens (Okta, Google Workspace, Azure AD).

Sicherheit für Unternehmen

Wenn Organisationen wachsen, wird die Einzelverwaltung von Nutzern und Passwörtern zu einem nicht mehr beherrschbaren Risiko. Cord unterstützt SSO über SAML 2.0 mit eigener Engine (kein kosmetisches Kontrollkästchen): Validierung der XML-DSig-Signatur, Schutz vor Replay, automatische Bereitstellung von Konten, Rollenzuordnung nach Attribut und ein Notfallmechanismus, falls Ihr Identitätsanbieter ausfällt.

Wenn Sie SSO in Ihrer Organisation in Cord aktivieren:

• Ihre Mitarbeitenden werden automatisch angemeldet, wenn sie bereits im Arbeitsportal Ihres Unternehmens authentifiziert sind.
• Jede MFA-Richtlinie, die Sie bei Ihrem Identitätsanbieter (Okta, Azure AD, Google Workspace) bereits durchsetzen, wird übernommen: Cord überträgt die Authentifizierung vollständig und sieht oder verwaltet diesen zweiten Faktor daher nie.
• „SSO erzwingen“ sperrt Passwort, Google, Apple und Passkeys für alle Mitglieder außer dem Inhaber des Kontos, der sein Passwort immer als Rückfallebene behält – der einzige Zugang, der nicht davon abhängt, dass Ihr IdP erreichbar ist.
• Die Anforderung gilt für Ihre Organisation, nicht für das Konto: Wer auch einer anderen Organisation mit eigenem SSO angehört, kann sich nicht dort anmelden und dann zu Ihrer wechseln. Beim Öffnen Ihrer Organisation schickt Cord die Person zur Anmeldung bei Ihrem Identitätsanbieter.

Voraussetzungen

1. Ihre Organisation muss den Scale-Tarif von Cord oder höher (Developer) haben – im kostenlosen Tarif sowie in Starter und Professional ist SSO nicht verfügbar.
2. Sie brauchen die Berechtigung equipo (Team) in Ihrer Rolle in Cord (Inhaber und Administrator haben sie standardmäßig; auch eine individuelle Rolle kann sie haben).
3. Sie müssen Administratorrechte bei Ihrem Identitätsanbieter haben (Okta, Azure AD / Microsoft Entra, Google Workspace oder jeder IdP mit SAML 2.0).

Wo Sie es konfigurieren

Einstellungen › Team und Berechtigungen › SSO (nicht unter Sicherheit – SSO gehört zur selben Gruppe wie Team und Rollen, weil es regelt, wer in die Organisation kommt, und teilt sich die Berechtigung equipo).

Schritte der SAML-Konfiguration

Der Austausch läuft in beide Richtungen, aber die tatsächliche Reihenfolge ist umgekehrt, als viele erwarten: Zuerst geben Sie Cord die Daten Ihres IdP, und Cord erzeugt daraus die eigenen – nicht umgekehrt.

1. Erstellen Sie bei Ihrem Identitätsanbieter eine neue SAML-Anwendung für Cord und laden Sie ihr Metadaten-XML herunter oder kopieren Sie es (die meisten IdPs stellen es unter einer öffentlichen URL oder über eine Schaltfläche „Download metadata“ bereit).
2. Öffnen Sie in Cord Einstellungen › Team und Berechtigungen › SSO › Anbieter verbinden, geben Sie der Verbindung einen Namen und fügen Sie das XML ein. Cord liest es automatisch aus: Es entnimmt die Entity ID des IdP, die Anmelde-URL, das oder die X.509-Signaturzertifikate und, falls vorhanden, die URL für Single Logout – Sie müssen diese Felder nicht von Hand eingeben (die Detailansicht der Verbindung lässt sie aber später bearbeitbar, falls Ihr IdP das Zertifikat rotiert).
3. Sobald die Verbindung erstellt ist, zeigt Cord Ihnen drei Werte Ihrer Organisation: die ACS-URL (Assertion Consumer Service – wohin Ihr IdP die SAML-Antwort senden soll), die Entity ID von Cord und die Metadaten-URL. Kehren Sie zu Ihrem Identitätsanbieter zurück und tragen Sie diese Werte in der Anwendung ein, die Sie in Schritt 1 erstellt haben.
4. Testen Sie mit einem einzelnen Nutzer, bevor Sie SSO für das ganze Team erzwingen – eine falsche Attributzuordnung kann Ihr gesamtes Personal aussperren.

Bereitstellung und Rollen, nicht nur Anmeldung

SSO in Cord ist nicht nur „anders anmelden“ – es entscheidet automatisch, welches Konto mit welcher Rolle angelegt wird:

• JIT-Bereitstellung (Just-in-Time): standardmäßig aktiviert. Wenn sich jemand zum ersten Mal über diese Verbindung anmeldet, legt Cord bei derselben Anmeldung das Konto an und fügt die Person der Organisation hinzu – Sie müssen sie nicht zuerst manuell unter Team einladen.
• Rollenzuordnung nach Attribut: Definieren Sie Regeln wie „Wenn das Attribut groups, das mein IdP sendet, finance-admin enthält, weise die Rolle Administrator zu.“ Jede Regel vergleicht ein SAML-Attribut (equals, contains oder regex) mit einem Wert und einer Rolle in Cord; die Regeln werden der Reihe nach ausgewertet, und die erste passende gewinnt. Passt keine, erhält das Konto die Standardrolle, die Sie für die Verbindung festlegen (z. B. Nur Lesen).
• Vom IdP gestartete Anmeldung: Sie können erlauben, dass sich Mitarbeitende direkt über das App-Portal ihres IdP (Okta, MyApps von Microsoft) anmelden, ohne vorher cordhq.app aufzurufen. Da diese Anmeldung nicht in ihrem Browser begonnen hat, zeigt Cord an, mit welcher E-Mail-Adresse sie sich anmelden, und bittet um Bestätigung mit Weiter, bevor die Sitzung geöffnet wird.

Verifizierte Domains (optional, empfohlen)

Sie können eine SSO-Verbindung über einen TXT-Eintrag in Ihrem DNS an eine oder mehrere E-Mail-Domains (yourcompany.com) binden – dasselbe Verifizierungsmuster wie bei einer Domain für ausgehende E-Mails. Mit mindestens einer verifizierten Domain können sich nur E-Mail-Adressen dieser Domain über diese Verbindung anmelden; ohne verifizierte Domain schränkt die Verbindung nicht nach Domain ein.

Wenn Ihr Identitätsanbieter ausfällt (Break-Glass)

Bei aktiviertem „SSO erzwingen“ sperrt ein ausgefallener Identitätsanbieter die ganze Organisation aus – außer den Inhaber des Kontos. Wenn sich der Rest des Teams vorübergehend mit Passwort anmelden muss, kann der Inhaber die Notfallschaltfläche auf derselben Seite verwenden: Er authentifiziert sich erneut mit seinem Passwort und deaktiviert die SSO-Pflicht für 1 Stunde. Nach Ablauf der Stunde (oder wenn Sie sie vorher von Hand wieder aktivieren) gilt die Pflicht automatisch wieder.