So richten Sie Single Sign-On (SSO) mit Microsoft Entra ID ein

Übersicht

Dieser Leitfaden hilft Ihrem IT-Administrator dabei, Single Sign-On (SSO) zwischen Microsoft Entra ID (früher Azure AD) und ELSA School einzurichten. Mit aktiviertem SSO können sich Ihre Schülerinnen, Schüler und Lehrkräfte mit ihren bestehenden schulischen Microsoft-Anmeldedaten bei ELSA School anmelden – separate Passwörter sind nicht mehr erforderlich.

Vorbereitung

Was Sie bereitstellen müssen

Die E-Mail-Domain, die Sie für SSO verwenden möchten (zum Beispiel: xyz@schooldomain.com)

Was Sie benötigen

Administratorzugang zum Microsoft Entra ID (Azure AD)-Portal Ihrer Organisation
SSO-Zugangsdaten (werden von ELSA bereitgestellt), darunter:
- SP Entity ID (Service Provider Entity ID)
- ACS URL (Assertion Consumer Service URL)

Schritt 1: Eine ELSA-Anwendung in Microsoft Entra ID erstellen

Melden Sie sich im Microsoft Azure Portal an
Navigieren Sie zu „Enterprise-Anwendungen":
- Klicken Sie auf „Microsoft Entra ID" (oder „Azure Active Directory")
- Wählen Sie im linken Menü „Enterprise-Anwendungen" aus
- Klicken Sie auf „+ Neue Anwendung"
Erstellen Sie Ihre eigene Anwendung:
- Klicken Sie auf „Eigene Anwendung erstellen"
- Geben Sie einen Namen für die Anwendung ein (z. B. „ELSA School SSO")
- Wählen Sie „Beliebige andere Anwendung integrieren, die Sie nicht im Katalog finden (Nicht-Katalog)"
- Klicken Sie auf „Erstellen"

Schritt 2: SAML-basiertes Single Sign-On konfigurieren

SSO-Einstellungen aufrufen:
- Klicken Sie in Ihrer neu erstellten ELSA-Anwendung im linken Menü auf „Einmaliges Anmelden"
- Wählen Sie „SAML" als Methode für das einmalige Anmelden
Grundlegende SAML-Konfiguration einrichten:
- Klicken Sie im Abschnitt „Grundlegende SAML-Konfiguration" auf „Bearbeiten"
- Geben Sie die folgenden, von ELSA bereitgestellten Werte ein:
  - Bezeichner (Entitäts-ID): Geben Sie die SP Entity ID von ELSA ein
  - Antwort-URL (Assertion Consumer Service URL): Geben Sie die ACS URL von ELSA ein
- Klicken Sie auf „Speichern"

Schritt 3: Benutzerattribute und Ansprüche konfigurieren

Attribute und Ansprüche bearbeiten:
- Klicken Sie im Abschnitt „Attribute und Ansprüche" auf „Bearbeiten"
Überprüfen Sie, ob die folgenden Zuordnungen festgelegt sind:

Wichtig: Diese Zuordnungen stellen sicher, dass ELSA die korrekten Benutzerinformationen erhält. Falls Sie diese Zuordnungen aus irgendeinem Grund ändern müssen, wenden Sie sich bitte zunächst an den ELSA-Support, da Änderungen die Benutzerauthentifizierung beeinflussen können.

Schritt 4: SAML-Metadaten an ELSA übermitteln

Kopieren Sie nach der SAML-Konfiguration das SAML-Zertifikat (App-Verbundmetadaten-URL) aus der SAML-Konfiguration (siehe Abbildung) und senden Sie es an das ELSA-IT-Team.

Schritt 5: Benutzer und Gruppen zuweisen (nachdem ELSA die Einrichtung bestätigt hat)

Sobald ELSA bestätigt hat, dass SSO konfiguriert ist:

Navigieren Sie zu „Benutzer und Gruppen":
- Klicken Sie in Ihrer ELSA-Anwendung im linken Menü auf „Benutzer und Gruppen"
- Klicken Sie auf „+ Benutzer/Gruppe hinzufügen"
Zugang zuweisen:
- Klicken Sie unter „Keine ausgewählt" auf „Benutzer" (oder „Gruppen")
- Wählen Sie die Benutzer oder Gruppen aus, die Zugang zu ELSA erhalten sollen
- Klicken Sie unten auf „Auswählen"
- Klicken Sie auf „Zuweisen"
Was das bedeutet:
- Nur zugewiesene Benutzer/Gruppen können sich über SSO bei ELSA anmelden
- Nicht zugewiesene Benutzer sehen ELSA nicht in ihren Microsoft-Apps
- Sie können Benutzer jederzeit hinzufügen oder entfernen

Ihre SSO-Verbindung testen

Weisen Sie sich selbst zunächst als Testbenutzer zu
Melden Sie sich bei ELSA School ab, falls Sie aktuell angemeldet sind
Rufen Sie die Anmeldeseite von ELSA School auf
Klicken Sie auf „Mit SSO anmelden"
Geben Sie Ihre schulische E-Mail-Adresse ein
Überprüfen Sie, ob Sie zur Microsoft-Anmeldeseite weitergeleitet werden
Bestätigen Sie, dass Sie sich erfolgreich bei ELSA anmelden können

Häufige Probleme beheben

Fehler „Anmeldung nicht möglich"

Mögliche Ursachen:

ELSA hat die SSO-Konfiguration auf unserer Seite noch nicht abgeschlossen
Die Metadaten-URL wurde nicht an ELSA gesendet
Die SP Entity ID oder ACS URL wurde falsch eingegeben

Lösung: Bestätigen Sie mit ELSA, dass die Einrichtung abgeschlossen ist, und überprüfen Sie die in Schritt 2 eingegebenen Werte.

Benutzer ist zugewiesen, kann sich aber nicht anmelden

Mögliche Ursachen:

Die E-Mail-Adresse des Benutzers in Azure AD stimmt nicht mit der E-Mail-Adresse in ELSA überein
Benutzerattribute sind nicht korrekt konfiguriert
Das Benutzerkonto ist in ELSA nicht aktiv

Lösung:

Überprüfen Sie, ob die E-Mail-Adresse des Benutzers in beiden Systemen übereinstimmt
Prüfen Sie, ob die Attributzuordnungen in Schritt 3 korrekt sind
Wenden Sie sich an den ELSA-Support, um den Status des Benutzerkontos zu überprüfen

Der Abschnitt „Attribute und Ansprüche" zeigt abweichende Zuordnungen

Mögliche Ursache:

Ihr Azure AD verfügt möglicherweise über benutzerdefinierte Anspruchskonfigurationen

Lösung:

Wenden Sie sich an den ELSA-Support, bevor Sie diese ändern
Wir können bei Bedarf mit Ihrer bestehenden Attributkonfiguration arbeiten

FAQ

F: Können wir SSO und die reguläre Anmeldung mit E-Mail/Passwort gleichzeitig verwenden?
A: Ja! SSO ist eine zusätzliche Anmeldeoption. Benutzer können bei Bedarf weiterhin E-Mail/Passwort verwenden.

F: Wie lange dauert die SSO-Einrichtung?
A: Die Azure-Konfiguration dauert 20–30 Minuten. Die Konfiguration durch ELSA dauert nach Erhalt Ihrer Metadaten 1–2 Werktage.

F: Müssen wir zuerst ELSA-Konten für Benutzer erstellen?
A: Ja, Benutzer müssen in ELSA School vorhanden sein, bevor sie sich über SSO anmelden können. Wenden Sie sich bei Bedarf an Ihren CSM bezüglich eines Massen-Benutzer-Uploads.

F: Können wir SSO sowohl für Schülerinnen und Schüler als auch für Lehrkräfte verwenden?
A: Ja, jeder Benutzertyp kann SSO verwenden, sofern er über ein Microsoft-Konto in Ihrem Verzeichnis verfügt.

F: Was passiert, wenn sich die E-Mail-Adresse eines Benutzers ändert?
A: Wenden Sie sich an den ELSA-Support, um die E-Mail-Adresse in ELSA School so zu aktualisieren, dass sie mit der neuen Azure AD-E-Mail-Adresse übereinstimmt.