Du kannst die SAML-Authentifizierung zwischen Microsoft Entra ID und Haiilo einrichten, damit Deine Nutzer sich mit ihren Firmen-Anmeldedaten anmelden können. Um die Anmeldung zu ermöglichen, musst Du Schritte sowohl in Microsoft Entra ID als auch in der Administration von Haiilo abschließen.

Obwohl Haiilo selbst keine Zwei-Faktor-Authentifizierung anbietet, kannst Du einen SAML-Dienst verwenden, um dies zu tun. Du musst sicherstellen, dass der Dienst ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle und TLS 1.2 verwendet. 

1. Eine Anwendung in Entra ID einrichten

Du benötigst Administratorrechte in Deinem Microsoft Entra ID-Konto, um eine SAML-Anwendung einzurichten.

Erstelle eine Anwendung

1. Melde Dich bei der Microsoft Azure-Plattform an.
2. Gehe zu Unternehmensanwendungen > Neue Anwendung
3. Wähle Eigene Anwendung erstellen
4. Vergebe einen Namen für Deine App, z.B. Haiilo, und wähle Nicht-Galerie als Typ
5. Wähle Erstellen

Weise Testnutzer zu

1. In Deiner neu erstellten Anwendung gehe zu Benutzer und Gruppen
2. Wähle Benutzer/Gruppe hinzufügen
3. Wähle Keine ausgewählt, um einen Testnutzer auszuwählen, der der Anwendung zugewiesen werden soll. Der Nutzer sollte bereits auf Deiner Haiilo-Plattform existieren.
4. Bestätige und weise zu

Erhalte IdP-Informationen

1. Gehe zu Single Sign-On und wähle die Methode SAML
   
2. Scrolle zu Schritt 4 des SAML-Setups in Entra ID
3. Kopiere und speichere die Login-URL, Microsoft Entra-Identifier und Logout-URL

Halte den Browser-Tab für Microsoft Entra ID geöffnet, damit Du die Einrichtung nach der Konfiguration von SAML in Haiilo abschließen kannst.

2. Einen SAML-Authentifizierungsanbieter in Haiilo einrichten

Beim Einrichten eines SAML-Authentifizierungsanbieters kann dieser nur auf ein Benutzerverzeichnis und die Nutzer dieses Verzeichnisses angewendet werden. Du benötigst die Berechtigung "Verwaltung der Authentifizierungs-Anbieter", um einen Authentifizierungsanbieter in Haiilo einzurichten.

Definiere grundlegende Informationen

1. Gehe zu Administration > Authentifizierung
2. Wähle Authentifizierungs-Anbieter erstellen
3. Gib einen Namen ein. Der Name wird den Nutzern auf dem Anmeldebildschirm nach "Authentifizieren mit" angezeigt.
4. Wähle einen Typ: SAML
5. Markiere Aktiv
6. Entscheide, ob Du Automatische Anmeldung verwenden möchtest. Dies leitet den Nutzer automatisch vom Anmeldebildschirm nach einigen Sekunden zum Identitätsanbieter um. Wenn Nutzer nicht umgeleitet werden möchten, können sie vor der Umleitung Als lokaler Benutzer anmelden auswählen.
7. Entscheide, ob dieser Authentifizierungsanbieter Sitzungs-E-Mails für neue Anmeldungen sendet.

SAML konfigurieren

1. Gib die Entitäts-ID (Microsoft Entra-Identifier), den Authentifizierungs-URL (Login-URL) und den Logout-URL ein, die Du von Entra ID kopiert hast.
2. Setze sowohl den Authentifizierungs-URL als auch den Logout-URL auf REDIRECT.
3. Wähle eine Logout-Methode: Local oder Global/Federated. Dies legt fest, ob der Nutzer lokal (nur Haiilo) oder global (SAML-Abmeldung) abgemeldet wird, wenn er sich von Haiilo abmeldet.
4. Gib eine Antwortgültigkeit ein, d.h. den Zeitrahmen für Anfragen. Wir empfehlen die Standarddauer von 300 Sekunden.
5. Wähle das Benutzerverzeichnis aus, das diesen Authentifizierungsanbieter verwenden kann. Die Optionen hängen von Deinen Benutzerverzeichnis-Einstellungen ab.
6. Im Tab Antwortvalidierung aktiviere Deaktiviere Zertifikatprüfung.
7. Wähle Speichern, um die Konfiguration zu erstellen und die Haiilo-Endpunkte sowie Metadaten-XML zu generieren

Metadaten abrufen

1. Wähle Bearbeiten bei Deinem neu erstellten SAML-Authentifizierungsanbieter
2. Im Tab Allgemein scrolle nach unten
3. Öffne die Lokale Serviceanbieter XML Metadaten und speichere sie auf Deinem Computer

3. Abschließen der SAML-Konfiguration auf Entra ID

Nachdem Du den Authentifizierungsanbieter in Haiilo konfiguriert hast, kannst Du Haiilos Metadaten in Microsoft Entra ID hochladen.

1. In Deiner SAML-Anwendung auf Entra ID gehe zu Single Sign-On
2. Wähle Metadatendatei hochladen und wähle die lokale Dienstanbieterdatei aus, die Du von Haiilo gespeichert hast. Alternativ kannst Du die Werte manuell ausfüllen. Sie folgen dem Muster:
   • Identifier (Entity ID): {HOST}/web/sso/{NAME}
   • Reply URL: {HOST}
   • Sign on URL: {HOST}/web/saml/sso/alias/{NAME}
   • Relay State: {HOST}
   • Logout URL: {HOST}/web/saml/slo/alias/{NAME}
3. In Attribute & Ansprüche wähle Bearbeiten
4. Ändere den Eindeutigen Benutzeridentifikator zu user.mail
5. Wähle Speichern

Jetzt können Nutzer, wenn der Authentifizierungsanbieter in Haiilo aktiviert ist, sich mit ihren Microsoft-Anmeldeinformationen auf Deiner Plattform anmelden.