Zum Inhalt springen
Kostenlos testen

Betrieb & Verwaltung (Control)

Anmeldung über die eigene Hochschule (SSO)

Für wenVerwaltungBetreiber

Die Hochschule dockt ihr Anmeldesystem (SAML 2.0) selbst an und testet die Verbindung sofort — ohne auf uns zu warten. Der Betreiber ordnet die E-Mail-Domänen dem Kunden zu; neue Konten landen dann automatisch beim richtigen Mandanten.

Wozu#

Kein zusätzliches Passwort für Studenten und Personal — und keine Wartezeit auf ein Einrichtungsprojekt: Die IT der Hochschule trägt unsere Angaben ein, testet und schaltet frei. Wenn das so nicht geht, ist der Kontaktweg mit allen technischen Angaben vorausgefüllt.

So geht’s#

KlickwegVerwaltungHochschul-Anmeldung andocken

  1. 1Betreiber: „Hochschul-Anmeldung (SSO)“ in der Leiste der Verwaltung öffnen (Adresse /admin/sso). Unter „Domäne zuordnen“ die „E-Mail-Domäne“ (nur die Domäne, ohne @) und den „Kunden“ eintragen, dann „Zuordnen“ (Abb. 1).
    Abb. 1 „Domäne zuordnen“: E-Mail-Domäne und Kunde.
    „Domäne zuordnen“: E-Mail-Domäne und Kunde.

    Abb. 1 „Domäne zuordnen“: E-Mail-Domäne und Kunde.

  2. 2Die Liste „Zugeordnete Domänen“ zeigt je Zeile Domäne, Kunde und „Anmeldung“ (Abb. 2). Ab hier kann die Hochschule selbst weitermachen.
    Abb. 2 „Zugeordnete Domänen“ mit Kunde und Art der Anmeldung.
    „Zugeordnete Domänen“ mit Kunde und Art der Anmeldung.

    Abb. 2 „Zugeordnete Domänen“ mit Kunde und Art der Anmeldung.

  3. 3Verwaltung der Hochschule: „Hochschul-Anmeldung andocken“ öffnen (Adresse /admin/sso/andocken). Schritt 1 zeigt unsere Angaben für die IT: Metadaten-Adresse (zum Kopieren und als Datei), entityID, Empfangsadresse (HTTP-POST), Abmeldeadresse und den Fingerabdruck unseres Zertifikats.
  4. 4Schritt 2 nennt die Attribute, die das Anmeldesystem freigeben soll — mit ihren üblichen OID-Namen: eduPersonPrincipalName (dauerhafte Kennung), mail (Pflicht), givenName, sn, displayName, eduPersonScopedAffiliation.
  5. 5Schritt 3: die Metadaten-Adresse des eigenen Anmeldesystems eintragen oder die Metadaten-Datei hochladen, dann „Speichern“.
  6. 6Schritt 4: „Verbindung jetzt testen“ öffnet das Anmeldesystem in einem neuen Fenster. Nach der Anmeldung mit einem Testkonto zeigt die Seite, welche Attribute angekommen sind, wie die Person zugeordnet wird (Kennung, E-Mail, Name, Zugehörigkeit, Domäne) — oder den Fehler mit Erklärung und Lösungsvorschlag. Ein Test legt kein Konto an.
  7. 7Schritt 5: nach einem erfolgreichen Test „Freischalten“. Ab dann erscheint auf der Anmeldeseite die Anmeldung mit dem Hochschulkonto für alle Adressen der zugeordneten Domänen.
  8. 8Wenn das so nicht geht: Unten auf der Seite steht eine Anfrage mit allen technischen Angaben schon ausgefüllt — ergänzen, was nicht klappt, und „Anfrage senden“.

Einstellungen und Schalter#

  • Je Mandant schaltbarVorgabe: anModul: Schnittstellen
  • Anmeldung, die das Anmeldesystem selbst startet (IdP-initiiert), ist je Verbindung schaltbar und zunächst aus.
  • In Test- und Vorschauumgebungen gibt es eine eingebaute Test-Gegenstelle: Sie verhält sich wie das Anmeldesystem einer Hochschule, signiert mit eigenem Testschlüssel und liefert dieselben Attribute.

Zwei Schritte, zwei Zuständige#

  • Zuordnung (Betreiber) — die Domäne entscheidet, zu welchem Kunden ein Konto gehört. Wirkt sofort, auch für Anmeldungen per Passwort.
  • Andocken (Hochschule) — Anmeldesystem eintragen, testen, freischalten. Ohne Projekt, ohne Wartezeit.

Was bei jeder Anmeldung geprüft wird#

  • Signatur mit dem Zertifikat aus den hinterlegten Metadaten — nie mit einem Schlüssel aus der Nachricht selbst; nur sichere Verfahren (RSA mit SHA-256 oder SHA-512).
  • Genau eine Assertion; weitergelesen wird nur der signierte Inhalt. Das schliesst das Umhüllen signierter Nachrichten aus.
  • Absender, Empfangsadresse und Zielgruppe; Gültigkeitszeitraum mit drei Minuten erlaubter Uhrenabweichung.
  • Bezug auf unsere Anfrage, gebunden an den Browser, der sie gestellt hat; jede Antwort gilt genau einmal.
  • Die E-Mail-Domäne gehört dem Mandanten der Verbindung — sonst keine Anmeldung.
  • Verschlüsselte Antworten werden geöffnet (AES-GCM oder AES-CBC, Schlüsseltransport RSA-OAEP).

Wer darf was — und warum so streng#

Domänen ordnet nur der Betreiber zu: Wer eine fremde Domäne eintragen könnte, erbte die Nutzer eines anderen Kunden. Das Anmeldesystem trägt die Verwaltung des Kunden selbst ein — für ihre eigene Organisation, auf keinem anderen Mandanten. Eine Verbindung, die Adressen einer fremden Domäne liefert, wird abgewiesen.

Abmelden#

Wer über die Hochschule angemeldet ist und sich abmeldet, wird auch beim Anmeldesystem abgemeldet, wenn es eine Abmeldeadresse hat. Meldet das Anmeldesystem ab, endet auch die Sitzung bei uns.

Tipps#

  • Am einfachsten tauscht man Metadaten-Adressen aus: Erneuert die Hochschule ihr Zertifikat, genügt auf unserer Seite ein erneutes „Speichern“.
  • Unterdomänen erben nicht: mail.beispiel.de braucht einen eigenen Eintrag.
  • Neue Konten entstehen als Lernkonto. Weitere Rechte vergibt die Verwaltung — nie das Anmeldesystem der Hochschule.

Verwandte Funktionen#

Hintergrundwissen