Einrichtung von Single Sign-On (SSO) mit Microsoft Entra ID

Übersicht

Diese Anleitung hilft Ihrem IT-Administrator, Single Sign-On (SSO) zwischen Ihrem Microsoft Entra ID (ehemals Azure AD) und ELSA School einzurichten. Mit aktiviertem SSO können sich Ihre Schüler und Lehrer mit ihren bestehenden Schul-Microsoft-Anmeldedaten bei ELSA School anmelden, ohne separate Passwörter zu benötigen.

Bevor Sie beginnen

Was Sie bereitstellen müssen

Die E-Mail-Domain, die Sie für SSO verwenden werden (z. B.: xyz@schooldomain.com)

Was Sie benötigen

Administrativer Zugriff auf das Microsoft Entra ID (Azure AD) Portal Ihrer Organisation
SSO-Anmeldedaten (werden von ELSA bereitgestellt), die Folgendes enthalten:
- SP Entity ID (Service Provider Entity ID)
- ACS URL (Assertion Consumer Service URL)

Schritt 1: Erstellen Sie eine ELSA-Anwendung in Microsoft Entra ID

Melden Sie sich an bei Ihrem Microsoft Azure Portal
Navigieren Sie zu Unternehmensanwendungen:
- Klicken Sie auf „Microsoft Entra ID" (oder „Azure Active Directory")
- Wählen Sie „Unternehmensanwendungen" aus dem linken Menü
- Klicken Sie auf „+ Neue Anwendung"
Erstellen Sie Ihre eigene Anwendung:
- Klicken Sie auf „Eigene Anwendung erstellen"
- Geben Sie einen Namen für die Anwendung ein (z. B. „ELSA School SSO")
- Wählen Sie „Eine beliebige andere Anwendung integrieren, die Sie nicht im Katalog finden (Anwendung außerhalb des Katalogs)"
- Klicken Sie auf „Erstellen"

Schritt 2: Konfigurieren Sie SAML-basiertes Single Sign-On

Rufen Sie SSO-Einstellungen auf:
- Klicken Sie in Ihrer neu erstellten ELSA-Anwendung im linken Menü auf „Single Sign-On"
- Wählen Sie „SAML" als Single Sign-On-Methode
Konfigurieren Sie die grundlegenden SAML-Einstellungen:
- Klicken Sie im Bereich „Grundlegende SAML-Konfiguration" auf „Bearbeiten"
- Geben Sie die folgenden von ELSA bereitgestellten Werte ein:
  - Bezeichner (Entity ID): Geben Sie die SP Entity ID von ELSA ein
  - Antwort-URL (Assertion Consumer Service URL): Geben Sie die ACS URL von ELSA ein
- Klicken Sie auf „Speichern"

Schritt 3: Konfigurieren Sie Benutzerattribute und Ansprüche

Bearbeiten Sie Attribute und Ansprüche:
- Klicken Sie im Bereich „Attribute und Ansprüche" auf „Bearbeiten"
Überprüfen Sie, dass die folgenden Zuordnungen festgelegt sind:

Wichtig: Diese Zuordnungen stellen sicher, dass ELSA die korrekten Benutzerinformationen erhält. Wenn Sie diese Zuordnungen aus irgendeinem Grund ändern müssen, kontaktieren Sie bitte zunächst den ELSA-Support, da Änderungen die Benutzerauthentifizierung beeinträchtigen können.

Schritt 4: Stellen Sie ELSA die SAML-Metadaten bereit

Kopieren Sie nach der Konfiguration von SAML das SAML-Zertifikat (App Federation Metadata URL) aus der SAML-Konfiguration (siehe Bild) und senden Sie es an das ELSA IT-Team.

Schritt 5: Weisen Sie Benutzer und Gruppen zu (nachdem ELSA die Einrichtung bestätigt)

Sobald ELSA bestätigt, dass SSO konfiguriert ist:

Navigieren Sie zu Benutzer und Gruppen:
- Klicken Sie in Ihrer ELSA-Anwendung im linken Menü auf „Benutzer und Gruppen"
- Klicken Sie auf „+ Benutzer/Gruppe hinzufügen"
Weisen Sie Zugriff zu:
- Klicken Sie auf „Benutzer" (oder „Gruppen") unter „Keine ausgewählt"
- Wählen Sie die Benutzer oder Gruppen aus, die Zugriff auf ELSA haben sollen
- Klicken Sie unten auf „Auswählen"
- Klicken Sie auf „Zuweisen"
Was dies bedeutet:
- Nur zugewiesene Benutzer/Gruppen können sich über SSO bei ELSA anmelden
- Nicht zugewiesene Benutzer sehen ELSA nicht in ihren Microsoft-Apps
- Sie können Benutzer jederzeit hinzufügen oder entfernen

Testen Sie Ihre SSO-Verbindung

Weisen Sie sich selbst zunächst als Testbenutzer zu
Melden Sie sich ab von ELSA School, falls Sie derzeit angemeldet sind
Navigieren Sie zu Ihrer ELSA School-Anmeldungsseite
Klicken Sie auf „Mit SSO anmelden"
Geben Sie Ihre Schul-E-Mail-Adresse ein
Überprüfen Sie, dass Sie zur Microsoft-Anmeldung weitergeleitet werden
Bestätigen Sie, dass Sie sich erfolgreich bei ELSA anmelden können

Behebung häufiger Probleme

Fehler „Anmeldung nicht möglich"

Mögliche Ursachen:

ELSA hat die SSO-Konfiguration auf unserer Seite noch nicht abgeschlossen
Die Metadaten-URL wurde nicht an ELSA gesendet
Die SP Entity ID oder ACS URL wurde falsch eingegeben

Lösung: Überprüfen Sie mit ELSA, dass die Einrichtung abgeschlossen ist, und überprüfen Sie die in Schritt 2 eingegebenen Werte erneut.

Benutzer ist zugewiesen, kann sich aber nicht anmelden

Mögliche Ursachen:

Die E-Mail-Adresse des Benutzers in Azure AD stimmt nicht mit der E-Mail-Adresse in ELSA überein
Benutzerattribute sind nicht korrekt konfiguriert
Das Benutzerkonto ist in ELSA nicht aktiv

Lösung:

Überprüfen Sie, dass die E-Mail-Adresse des Benutzers in beiden Systemen übereinstimmt
Überprüfen Sie, dass die Attributzuordnungen in Schritt 3 korrekt sind
Kontaktieren Sie den ELSA-Support, um den Kontostatus des Benutzers zu überprüfen

Der Bereich „Attribute und Ansprüche" zeigt unterschiedliche Zuordnungen

Mögliche Ursache:

Ihr Azure AD könnte benutzerdefinierte Anspruchskonfigurationen haben

Lösung:

Kontaktieren Sie den ELSA-Support vor Änderungen an diesen
Wir können mit Ihrer vorhandenen Attributeinrichtung arbeiten, falls erforderlich

Häufig gestellte Fragen

F: Können wir SSO und reguläres E-Mail-/Passwort-Login gleichzeitig verwenden?
A: Ja! SSO ist eine zusätzliche Anmeldeoption. Benutzer können weiterhin E-Mail/Passwort verwenden, falls erforderlich.

F: Wie lange dauert die SSO-Einrichtung?
A: Die Azure-Konfiguration dauert 20-30 Minuten. Die Konfiguration von ELSA dauert 1-2 Geschäftstage nach Erhalt Ihrer Metadaten.

F: Müssen wir ELSA-Konten für Benutzer zunächst erstellen?
A: Ja, Benutzer müssen in ELSA School vorhanden sein, bevor sie sich über SSO anmelden können. Kontaktieren Sie Ihren CSM, falls Sie einen Massenupload von Benutzern benötigen.

F: Können wir SSO sowohl für Schüler als auch für Lehrer verwenden?
A: Ja, jeder Benutzertyp kann SSO verwenden, solange er ein Microsoft-Konto in Ihrem Verzeichnis hat.

F: Was passiert, wenn sich die E-Mail-Adresse eines Benutzers ändert?
A: Kontaktieren Sie den ELSA-Support, um die E-Mail-Adresse in ELSA School an die neue Azure AD-E-Mail-Adresse anzupassen.