Single Sign-On (SSO)

Dutzende Passwörter von Mitarbeitenden zu verwalten, ist ein Sicherheitsrisiko. Cord bietet Single Sign-On über SAML 2.0 für Organisationen im Scale- oder Developer-Tarif. Jeder Identitätsanbieter, der SAML unterstützt, ist geeignet – Google Workspace, Microsoft Entra ID / Azure AD, Okta und andere –, eingerichtet als SAML-Anwendung in Ihrem IdP, nicht als direkte OIDC-Verbindung.

SSO einrichten

1. Legen Sie in Ihrem Identitätsanbieter eine SAML-Anwendung für Cord an und kopieren Sie deren Metadaten-XML.
2. Gehen Sie in Cord zu Einstellungen › Team und Berechtigungen › SSO › Anbieter verbinden und fügen Sie dieses XML ein: Cord liest daraus die Entity ID, die Anmelde-URL und das Zertifikat aus.
3. Übertragen Sie die drei Werte, die Cord Ihnen anzeigt, in Ihren Identitätsanbieter: ACS-URL, Entity ID und Metadaten-URL.
4. Beanspruchen Sie Ihre Unternehmensdomain (zum Beispiel @ihrunternehmen.de). Cord gibt Ihnen ein Token, das Sie in einem TXT-Eintrag Ihres DNS hinterlegen, und prüft die Inhaberschaft, indem es diesen Eintrag über echtes DNS abfragt – es genügt nicht, das Token auf dem Bildschirm einzufügen.

Sobald die Domain verifiziert ist und Sie SSO erzwingen aktivieren, funktionieren Passwort, Google und Passkeys für die Mitglieder Ihrer Organisation nicht mehr: Cord leitet sie an Ihren Identitätsanbieter weiter. Der Inhaber des Kontos behält immer die Möglichkeit, sich mit Passwort anzumelden, als Notausgang, falls der Identitätsanbieter ausfällt.

Die Anforderung gehört zu Ihrer Organisation, nicht zur Anmeldung: Wer zusätzlich zu einer anderen Organisation mit eigenem SSO gehört, kann sich nicht über deren SSO anmelden und dann zu Ihrer Organisation wechseln. Beim Öffnen Ihrer Organisation verlangt Cord die Anmeldung über Ihren Identitätsanbieter.

Wenn Sie die Anmeldung über das App-Portal Ihres Anbieters zulassen (Okta, Microsoft MyApps), zeigt Cord die E-Mail-Adresse, mit der sich die Person anmelden wird, und bittet sie, dies mit Weiter zu bestätigen, weil diese Anmeldung nicht in ihrem Browser begonnen hat.

Was automatisiert ist und was nicht

Cord unterstützt JIT-Bereitstellung (Just-In-Time): Wenn sich jemand aus Ihrer Domain zum ersten Mal über SSO anmeldet, legt Cord automatisch sein Konto und seine Mitgliedschaft an, ohne dass Sie ihn manuell einladen müssen. Cord unterstützt kein SCIM: Wenn Sie jemanden aus Ihrem Verzeichnis entfernen (Google Workspace, Azure AD), wird sein Zugriff auf Cord nicht automatisch widerrufen – dafür widerrufen Sie ihn zusätzlich in Cord unter Einstellungen › Team und Rollen.