Single Sign-On (SSO)¶
Melde Admins über einen externen Identity-Provider an — per OpenID Connect (OIDC). Die Integration ist discovery-basiert, funktioniert also mit jedem standardkonformen Provider: Keycloak, Authentik, Azure AD / Entra ID, Google Workspace, Auth0, Zitadel und weiteren.
Zu finden unter System → Single Sign-On (nur Admin).
Nur Admin-Anmeldung
SSO meldet ausschließlich Admin-Konten an. Reseller und Kunden nutzen weiterhin die normale Anmeldung. Die lokale Passwort-Anmeldung bleibt immer aktiv — ein fehlkonfigurierter Provider (falsche Issuer-URL, abgelaufenes Client-Secret) kann dich also nie aussperren.
Einrichtung in drei Schritten¶
- Client beim Provider anlegen (vertraulicher OAuth2/OIDC-Client mit Authorization-Code-Flow). Als erlaubte Redirect-URI trägst du exakt die URL ein, die die SSO-Seite dir anzeigt:
-
Zugangsdaten im Panel hinterlegen: Issuer-URL (z. B.
https://keycloak.example.com/realms/enconf), Client-ID und Client-Secret. Über Verbindung testen wird die OIDC-Discovery (<issuer>/.well-known/openid-configuration) geprüft. -
SSO aktivieren und speichern. Auf der Anmeldeseite erscheint nun eine Single-Sign-On-Schaltfläche.
Die Issuer-URL muss HTTPS verwenden; ohne hinterlegtes Client-Secret lässt sich SSO nicht aktivieren.
Zugriff einschränken¶
Optional, zusätzlich zur immer geltenden Admin-Rollen-Pflicht:
- Erlaubte E-Mail-Domains — Komma-getrennt (z. B.
example.com). Leer = beliebige Domain. - Erlaubte E-Mail-Adressen — explizite Freigabeliste. Leer = keine.
- Erforderliche Gruppe — ist sie gesetzt, muss das ID-Token die Gruppe im
konfigurierten Gruppen-Claim (Standard
groups) enthalten.
Kommt aus dem Provider ein email_verified: false, wird die Anmeldung
abgelehnt. Fehlt der Claim ganz (viele Enterprise-IdPs senden ihn nicht), wird
die E-Mail akzeptiert.
Kontenzuordnung¶
Die verifizierte E-Mail aus dem Provider wird auf ein Panel-Konto abgebildet:
- Bestehendes Konto: existiert die E-Mail und ist das Konto ein aktiver Admin, wird angemeldet. Ist es kein Admin, wird abgelehnt.
- Automatisch anlegen (JIT): ist die Option aktiv, wird bei der ersten Anmeldung für eine verifizierte, erlaubte E-Mail ein Admin-Konto angelegt. Standard: aus — dann dürfen sich nur bereits vorhandene Admins anmelden (die sicherere Voreinstellung).
JIT-angelegte Admins erhalten ein zufälliges lokales Passwort; die Anmeldung läuft ausschließlich über SSO.
Sicherheit¶
- CSRF/Replay-Schutz: Der Authorization-Flow nutzt einen signierten, kurzlebigen State (Double-Submit-Cookie) plus einen OIDC-Nonce, der im ID-Token gegengeprüft wird.
- Client-Secret wird verschlüsselt gespeichert (AES) und nie an das Frontend ausgeliefert.
- 2FA: Die Multi-Faktor-Prüfung übernimmt der Identity-Provider. Das lokale TOTP des Panels bleibt für die Passwort-Anmeldung unberührt.
- In der Demo-Instanz (
DEMO_MODE) ist SSO deaktiviert.