Einrichtung von SAML Single Sign-On (SSO) für ELSA School

Diese Anleitung beschreibt, wie Sie Ihren Identity Provider (z. B. Microsoft Entra ID, Google Workspace) konfigurieren, um Single Sign-On (SSO) für Ihre Benutzer in ELSA zu aktivieren. Es gibt 5 wichtige Schritte, um die Einrichtung abzuschließen.

Bevor Sie beginnen

Bitte stellen Sie Ihrem ELSA-Vertreter die folgenden Informationen zur Verfügung, bevor die Einrichtung beginnt:

Daten	Erforderlich?
E-Mail-Adressen von Lernenden und Administratoren	✅ Erforderlich — wird als eindeutige ID in ELSA verwendet
Vornamen	✅ Erforderlich
Nachnamen	✅ Erforderlich
Organisations-E-Mail-Domäne (z. B. `@companyname.com`)	✅ Erforderlich

Schritt 1: Service Provider-Details (Was wir bereitstellen)

Wenden Sie sich an Ihren ELSA-Vertreter, um Ihre SSO-Anmeldedaten zu erhalten. Erstellen Sie dann eine neue SAML-Anwendung in Ihrem Identity Provider mit diesen Anmeldedaten.

Feld	Wert
ACS URL	`https://auth.workos.com/sso/saml/acs/{SP_ENTITY_ID}`
SP Entity ID	`{SP_ENTITY_ID}`
Start URL (Google Workspace) / Relay State (Microsoft Entra ID)	Wird von Ihrem ELSA-Vertreter bereitgestellt — erforderlich, um sicherzustellen, dass Benutzer nach der Anmeldung auf das richtige Produkt gelangen

Schritt 2: Konfiguration und Mapping (Was Sie tun)

Konfigurieren Sie das Attribut-Mapping in Ihrer IdP-SAML-App. Drei Attribute müssen korrekt gemappt werden. Wenn eines fehlt oder falsch ist, können sich Benutzer nicht anmelden.

Erforderliche Daten	Zu sendender Attributname
E-Mail-Adresse	`email` OR `http://.../emailaddress`
Vorname	`firstName` OR `http://.../givenname`
Nachname	`lastName` OR `http://.../surname`

Schritt 3: Finaler Austausch (Was Sie zurück senden)

Exportieren Sie die Metadata XML-Datei aus Ihrem IdP (zu finden unter „Sign On", „App Federation Metadata" oder „IDP Metadata") und senden Sie sie an Ihren ELSA-Vertreter.

Schritt 4: Test

Sobald ELSA SSO aktiviert hat, testen Sie mit einigen Administrator- und Lernenden-Konten:

Überprüfen Sie, ob die Anmeldung funktioniert
Überprüfen Sie, ob Name und E-Mail korrekt im Dashboard angezeigt werden

Schritt 5: Go Live

Alle Lernenden und Administratoren können sich jetzt über SSO anmelden.

Hinzufügen neuer Lernender nach der Einrichtung

Vergeben Sie der neuen Person eine Organisations-E-Mail-Adresse in Ihrem IdP (Google Workspace / Entra ID)
Benachrichtigen Sie Ihren ELSA-Vertreter über die E-Mail-Adresse der neuen Person
ELSA sendet eine Einladung — die Person meldet sich dann über SSO an und ihr Konto wird automatisch erstellt

⚠️ Die Einladung von ELSA muss vor dem ersten Anmeldeversuch der Person gesendet werden. Ohne sie wird die Anmeldung abgelehnt.

Abmeldung

Um den Zugriff einer Person zu widerrufen, entfernen Sie sie aus der ELSA-SAML-App in Ihrem IdP (Google Workspace / Entra ID).

⚠️ Das Widerrufen des Zugriffs verhindert zukünftige Anmeldungen, löscht aber nicht automatisch Daten aus ELSA. Wenden Sie sich an Ihren ELSA-Vertreter, um eine Datenlöschung anzufordern.

Häufig gestellte Fragen

Frage	Antwort
Werden Lernendaten übertragen, wenn wir zu SSO wechseln?	✅ Ja — solange die Person die gleiche E-Mail-Adresse verwendet, bleiben ihr Konto, Verlauf und Fortschritt vollständig erhalten.
Was ist, wenn die E-Mail in unserer Liste nicht mit der IdP-E-Mail übereinstimmt?	❌ Ein doppeltes Konto wird erstellt und die früheren Lernendaten sind nicht zugänglich. Bitte stellen Sie sicher, dass die E-Mail-Adressen in Ihrer Liste genau mit denen in Google Workspace / Entra ID übereinstimmen (E-Mail-Adressen werden in Kleinbuchstaben gespeichert).
Werden Google Workspace und Microsoft Entra ID beide unterstützt?	✅ Ja. Der Einrichtungsprozess ist für beide identisch.
Müssen Lernende nach der Aktivierung von SSO etwas anders tun?	Nein. Sie klicken auf „Mit SSO anmelden" statt E-Mail/Passwort einzugeben. Der gesamte Verlauf und Fortschritt ist immer noch vorhanden.
Was ist, wenn sich eine Person nicht anmelden kann?	Überprüfen Sie: (1) Hat ELSA eine Einladung an diese E-Mail-Adresse gesendet? (2) Stimmt die IdP-E-Mail genau mit der in ELSA registrierten E-Mail überein? (3) Ist das SAML-Attribut-Mapping korrekt (E-Mail, firstName, lastName)? Wenn nicht gelöst, wenden Sie sich an Ihren ELSA-Vertreter.
Ist SSO dasselbe wie „Mit Google anmelden"?	Nein. SSO (SAML) ist sicherer — Ihr IT-Team kontrolliert genau, wer auf ELSA zugreifen kann, kann den Zugriff jederzeit widerrufen und setzt Ihre eigenen Sicherheitsrichtlinien durch (z. B. MFA).
Können auch Administratoren SSO nutzen oder nur Lernende?	✅ Beide. SSO gilt für die gesamte Organisation.
Was ist, wenn wir Google Workspace oder Microsoft Entra ID nicht haben?	SSO erfordert einen SAML-kompatiblen IdP. Bitte wenden Sie sich an Ihren ELSA-Vertreter, um Alternativen zu besprechen.