Einmalanmeldung (SSO) konfigurieren

Bei der Einmalanmeldung handelt es sich um einen Authentifizierungsprozess, der Benutzer in die Lage versetzt, mit einer einzigen Anmeldung mehrere Anwendungen zu verwenden. Diligent One unterstützt SSO Integration für jeden Identitätsanbieter, der das OASIS SAML-2.0-Protokoll verwendet.

Sie können mehr als einen SSO-Anbieter für eine Organisation einrichten.

Berechtigungen

Anforderungen

SSO-Indentitätsanbieter einrichten

URLs von Launchpad-Dienstanbietern

Anmeldung mit aktiviertem SSO

Abmeldung mit aktiviertem SSO

Vorgehensweise, wenn Sie jemanden zu einer Organisation von Diligent One mit aktivierter SSO hinzufügen

SSO deaktivieren

SSO und SAML

Offboarding von Benutzern, die das Unternehmen verlassen

Berechtigungen

Nur Systemadministratoren können die SSO-Einstellungen für ihr Unternehmen konfigurieren.

Anforderungen

• Ihr Identitätsanbieter muss das OASIS SAML-2.0-Protokoll einhalten.
• Alle Benutzer einer Diligent One-Instanz mit aktivierter Einmalanmeldung (SSO) müssen sich über einen Identitätsanbieter authentifizieren.

Wenn Ihre Benutzer auf mehrere Organisationen zugreifen

Benutzer, die sich über einen Identitätsanbieter authentifizieren, können dies für mehrere Diligent One-Organisationen tun, wenn diese Organisationen zum selben Unternehmen gehören:

Um dies zu überprüfen, schauen Sie unter „Kundenname“ in den Organisationseinstellungen für jede Organisation nach. Dieser muss für alle Organisationen, auf die SSO-Benutzer zugreifen müssen, gleich sein. Weitere Informationen finden Sie unter Organisationseinstellungen aktualisieren. Alternativ können Sie mit dem Instanz-Switcher überprüfen, ob die betreffenden Organisationen unter dem gleichen Unternehmensnamen eingerückt sind. Weitere Informationen finden Sie unter Zwischen Diligent One-Organisationen wechseln.

Wenden Sie sich an den Support, wenn Sie ändern möchten, zu welchem Unternehmen Ihre Instanz gehört.

Die Authentifizierung ist nicht regionsspezifisch. Benutzer können in mehreren Regionen auf Diligent One-Instanzen zugreifen.

Wenn Ihre Benutzer auf Schulungsorganisationen zugreifen

Benutzer, die über einen Identitätsanbieter authentifiziert werden, können Schulungsorganisationen erstellen, die automatisch mit demselben Unternehmen verknüpft sind.

Diesen Organisationen können weitere Benutzer hinzugefügt werden, sofern diese Benutzer nicht bereits einer anderen Schulungsorganisation mit derselben E-Mail-Adresse angehören. Diese Benutzer müssen ein Passwort einrichten, um auf die Schulungsorganisationen von Diligent One zugreifen zu können, indem sie auf der Anmeldeseite den Link Passwort vergessen? auswählen.

Wenn Ihre Benutzer für mehrere Unternehmen arbeiten

Benutzer, die für mehrere Unternehmen arbeiten, können SSO verwenden. Beim Anmelden werden sie aufgefordert, sich mit der SSO zu authentifizieren, die für das jeweilige Unternehmen, auf das sie zugreifen, konfiguriert ist.

Wenn Sie SSO und 2FA zusammen verwenden möchten

Sie können Benutzer von der SSO-Authentifizierung ausnehmen und ihnen die Anmeldung über den Standardprozess mit 2FA ermöglichen. Weitere Informationen finden Sie unter Benutzer zur Zulassungsliste zum Umgehen von SSO hinzufügen.

SSO-Indentitätsanbieter einrichten

1. Öffnen Sie Launchpad.
2. Wählen Sie im linken Navigationsbereich Plattform-Einstellungen aus.
3. Wählen Sie in den Plattform-Einstellungen unter Organisation die Option Sicherheitseinstellungen aus.
4. Wählen Sie auf der Seite Sicherheitseinstellungen im Abschnitt Optionen für die Einmalanmeldung (SSO) die Option Anbieter einrichten aus.
5. Geben Sie im Bereich Einrichtung der Einmalanmeldung die Details wie in der folgenden Tabelle beschrieben ein:

   Feld	Beschreibung
   Kunden-Domäne	Der eindeutige Name, der Ihre Instanz identifiziert und es den Benutzern in Ihrem Unternehmen ermöglicht, sich bei Diligent One anzumelden. Die benutzereigene Domäne ist die Unterdomäne Ihrer Organisation, an die eine Regionskennung angehängt wurde. Hinweis Sie können die Unterdomäne Ihrer Instanz auf der Seite Organisation aktualisieren ändern. Weitere Informationen finden Sie unter Organisationseinstellungen aktualisieren.
   Name	Geben Sie einen Namen für den Identitätsanbieter ein.
   Entität-ID	Die URL, die den Identitätsprovider identifiziert, der eine SAML-Anfrage ausgibt. Dies ist eine für Ihren Identitätsanbieter spezifische URL.
   Metadaten URL	Die URL, auf die das Launchpad zugreifen kann, um die SSO-Konfigurationsdaten vom Identitätsprovider abzurufen. Dies ist eine für Ihren Identitätsanbieter spezifische URL.
   Weiterleitungs-Anmelde-URL	Die URL des Identitätsanbieters für Benutzer in Ihrem Unternehmen, um sich bei Diligent One anzumelden.
   Abmelde-URL	Die URL, an die Diligent One die Benutzer im Unternehmen umleitet, nachdem sie sich bei Diligent One abgemeldet haben.
   Öffentliches Zertifikat	Das Zertifikat, das zur Überprüfung des Geräts und des Benutzers ausgestellt wird.

6. Wählen Sie Aktivieren aus.

   Im Abschnitt Optionen für die Einmalanmeldung (SSO) wird der von Ihnen hinzugefügte Identitätsanbieter angezeigt.

Benutzer zur Zulassungsliste zum Umgehen von SSO hinzufügen

Wenn Sie mehrere Authentifizierungsoptionen hinzufügen, können Sie Benutzer von der Verwendung der SSO-Authentifizierung ausnehmen. In der Regel gilt diese Ausnahme für Benutzer, die nicht Mitglied eines Identitätsanbieters sind. Diese ausgenommenen Benutzer können sich weiterhin mit ihrem Benutzernamen und Passwort anmelden.

1. Wählen Sie im Abschnitt Optionen für die Einmalanmeldung (SSO) in den Sicherheitseinstellungen den Abschnitt +Benutzer hinzufügen neben dem Abschnitt Benutzer mit Berechtigung zum Umgehen von SSO aus.
2. Wählen Sie im angezeigten Bereich Benutzer mit Berechtigung zum Umgehen von SSO die Benutzer aus, die von der Verwendung der SSO-Authentifizierung ausgenommen werden sollen.

Sie können Benutzer über das Suchfeld suchen.

3. Wählen Sie Benutzer hinzufügen aus.

Die Benutzer, die der Liste zum Umgehen von SSO hinzugefügt wurden, werden im Abschnitt Benutzer mit Berechtigung zum Umgehen von SSO angezeigt.

Benutzer aus der Zulassungsliste zum Umgehen von SSO entfernen

Um Benutzer, die zur Zulassungsliste zum Umgehen von SSO hinzugefügt wurden, daraus zu entfernen, wählen Sie im Abschnitt Benutzer mit Berechtigung zum Umgehen von SSO das Symbol „Entfernen“ aus, das neben dem Benutzer angezeigt wird, den Sie entfernen möchten.

SSO-Identitätsanbieter deaktivieren

1. Wählen Sie auf der Seite Sicherheitseinstellungen im Abschnitt Optionen für die Einmalanmeldung (SSO) die Option Details öffnen für den Identitätsanbieter aus, den Sie deaktivieren möchten.
2. Wählen Sie im Bereich Einrichtung der Einmalanmeldung im Dropdown-Menü des Felds Status die Option Deaktiviert aus.
3. Wählen Sie Änderungen speichern.
4. Wählen Sie im angezeigten Dialogfeld Deaktivieren des SSO-Anbieters bestätigen die Option Bestätigen aus.

   Der SSO-Identitätsanbieter wird im Abschnitt Optionen für die Einmalanmeldung (SSO) als Deaktiviert gekennzeichnet.

Hinweis

Nach der Deaktivierung eines SSO-Anbieters können sich Benutzer in Ihrer Organisation nicht mehr bei diesem Anbieter anmelden. Die Informationen des Anbieters bleiben allerdings gespeichert.

Einen deaktivierten SSO-Identitätsanbieter aktivieren

1. Wählen Sie auf der Seite Sicherheitseinstellungen im Abschnitt Optionen für die Einmalanmeldung (SSO) die Option Details öffnen für den Identitätsanbieter aus, den Sie aktivieren möchten.
2. Wählen Sie im Bereich Einrichtung der Einmalanmeldung im Dropdown-Menü des Felds Status die Option Aktiviert aus.
3. Wählen Sie Änderungen speichern.

Der SSO-Identitätsanbieter wird im Abschnitt Optionen für die Einmalanmeldung (SSO) als Aktiviert gekennzeichnet.

SSO-Indentitätsanbieter entfernen

1. Wählen Sie auf der Seite Sicherheitseinstellungen im Abschnitt Optionen für die Einmalanmeldung (SSO) die Option Details öffnen für den Identitätsanbieter aus, den Sie entfernen möchten.
2. Wählen Sie im Bereich Einrichtung der Einmalanmeldung die Option Entfernen aus.
3. Wählen Sie im angezeigten Dialogfeld Entfernen des SSO-Anbieters bestätigen die Option Bestätigen aus.
Hinweis

Nachdem Sie einen SSO-Anbieter entfernt haben, können sich Benutzer in Ihrer Organisation nicht mehr bei diesem SSO-Anbieter anmelden. Die Informationen des Anbieters werden ebenfalls gelöscht.

URLs von Launchpad-Dienstanbietern

Bei der Konfiguration Ihres SSO-Identitätsanbieters benötigen Sie u. U die folgenden URLs von Dienstbietern für Launchpad:

• Entitäts-ID des Dienstanbieters https://accounts.highbond.com/saml/metadata/your_custom_domain
• Assertion-Consumer-URL des Dienstanbieters https://accounts.highbond.com/saml/sso/consume/your_custom_domain

Anmeldung mit aktiviertem SSO

Benutzer können sich auf zweierlei Art bei aktiviertem SSO anmelden.

Was passiert, wenn SSO aktiviert ist?

Wenn SSO aktiviert ist, können Sie sich anmelden, indem Sie www.highbond.com aufrufen, auf Mit SSO fortfahren klicken und die benutzerdefinierte Domäne angeben, die Ihnen zugewiesen wurde.

Alternativ können Sie über den Diligent One-App-Link auf der Startseite ihres Identitätsanbieters auf Diligent One zugreifen.

Sie werden über Ihren Identitätsanbieter an Diligent One weitergeleitet, wenn Sie auf eine der Diligent One-Apps zugreifen (dazu gehört auch das Klicken auf einen Link in einer E-Mail, die von Diligent One gesendet wurde).

Muss ich bei jeder Anmeldung meine eigene Domäne eingeben?

• Wenn Sie sich über ihren Identitätsanbieter anmelden, müssen Sie nicht jedes Mal Ihre kundenspezifische Domäne eingeben.
• Wenn Sie sich über Diligent One anmelden, können Sie auf die folgende URL zugreifen, damit Sie nicht jedes Mal eine kundenspezifische Domäne eingeben müssen: https://accounts.highbond.com/saml/sso?custom_domain=Ihre kundenspezifische Domäne

Anmeldung bei mehreren Organisationen von Diligent One

Wenn Sie Zugriff auf mehrere Organisationen von Diligent One haben, werden Sie zu der Organisation weitergeleitet, die Sie zuletzt verwendet haben. Wenn Sie Organisationen mit und ohne aktivierte SSO angehören, müssen Sie ein Passwort zum Anmelden bei der Organisation ohne aktivierte SSO einrichten. Wählen Sie dazu den Link Passwort vergessen? aus.

If you have access to multiple organization of Diligent One, you can easily switch between them. For more information, see Zwischen Diligent One-Organisationen wechseln.

Wenn Sie zwischen Organisationen wechseln, werden Sie aufgefordert, die Anmeldeinformationen der Organisation einzugeben, zu der Sie wechseln, falls Sie sich noch nicht bei dieser Organisation angemeldet haben.

Abmeldung mit aktiviertem SSO

Diligent One unterstützt die Einmalabmeldung (SLO, Single Log-Out) unter Verwendung des vom Identitätsanbieter eingeleiteten Workflows. Die SLO-URL lautet:

https://accounts.highbond.com/saml/slo/your-custom-domain

So funktioniert der Ablauf einer Sitzung

Wenn eine Diligent One-Sitzung abläuft, oder Sie versuchen, sich von Diligent One abzumelden, müssen Sie sich zunächst von Ihrem Identitätsanbieter abmelden. Sonst werden Sie automatisch wieder bei Diligent One angemeldet.

Wenn z. B. eine Sitzung in Ihrer Organisation nach drei Stunden abläuft, und die Sitzung bei Ihrem Identitätsanbieter nach drei Tagen, werden Sie drei Tage lang automatisch bei Diligent One angemeldet.

Aus Sicherheitsgründen sollte Ihr Unternehmen sicherstellen, dass die Sitzung bei Ihrem Identitätsanbieter vor der Sitzung Ihrer Instanz abläuft.

Vorgehensweise, wenn Sie jemanden zu einer Organisation von Diligent One mit aktivierter SSO hinzufügen

Diligent One unterstützt die externe SCIM-Bereitstellung. Wenn Ihr Identitätsanbieter SCIM als Option anbietet, können Sie Benutzer automatisch für die Plattform bereitstellen. Wenn Ihr Identitätsanbieter jedoch nicht über SCIM verfügt, müssen Sie Ihre SSO-Benutzer manuell zur Diligent One-Organisation hinzufügen, damit sie auf die Plattform zugreifen können.

Abonnements und Zugriff auf Diligent One-Apps

Dem Benutzer werden jedoch weder Abonnements zugewiesen, noch erhält er automatisch Zugriff auf Diligent One-Apps. Systemadministratoren müssen Benutzern in Launchpad eine Rolle und ein Abonnement zuweisen, um sicherzustellen, dass diese Benutzer den entsprechenden Zugriff in der Instanz haben.

SSO deaktivieren

Wenn Ihr Unternehmen SSO aktiviert und zu einem späteren Zeitpunkt beschließt, es wieder zu deaktivieren:

• Benutzer, die vor der Aktivierung von SSO kein Passwort eingerichtet haben, müssen auf der Anmeldeseite auf Passwort zurücksetzen klicken, um ein Passwort zu erhalten.
• Benutzer, die vor der Aktivierung von SSO ein Passwort eingerichtet haben, können sich mit ihrem Benutzernamen und Passwort anmelden.

SSO und SAML

Diligent One unterstützt SSO Integration für jeden Identitätsanbieter, der das OASIS SAML-2.0-Protokoll verwendet.

Was ist OASIS SAML 2.0?

SSO ermöglicht Benutzern sich mit OASIS Security Assertion Markup Language 2.0 (SAML 2.0) anzumelden, einem Format zur Kommunikation und Authentifizierung von Identitäten zwischen zwei Web-Applikationen.

OASIS SAML 2.0 umfasst:

• einen Benutzer, der einen Dienst anfordert
• einen Dienstleister oder eine Applikation, die einen Dienst bereitstellt (Diligent One)
• einen Identitätsanbieter oder ein Repository, in dem Benutzerdaten verwaltet werden

In Instanzen, die SSO aktiviert haben, werden Benutzer authentifiziert, wenn sie sich über den unterstützten SAML-Identitätsanbieter bei Diligent One anmelden. Wenn ein Benutzer nicht bei dem SAML-Identitätsanbieter aktiviert ist, wird diesem Benutzer der Zugriff verweigert.

Unterstützte Workflows

Nachdem die SSO-Einstellungen konfiguriert wurden, werden die folgenden Arbeitsabläufe unterstützt: 

• Identitätsanbieter initiiert - Zugriff auf Diligent One von der Startseite des Identitätsanbieters.
• Dienstanbieter initiiert - Zugriff auf Diligent One von der Diligent One-Startseite.

Identitätsanbieter hat den Authentifizierungsprozess initiiert

Dienstanbieter hat den Authentifizierungsprozess initiiert

Offboarding von Benutzern, die das Unternehmen verlassen

Wenn Benutzer das Unternehmen verlassen, werden sie durch Ihren Offboarding-Prozess vom Identitätsanbieter entfernt. Die Auswirkungen auf die Benutzer variieren je nach den Organisationen, denen sie angehören, und den spezifischen Konfigurationen dieser Organisationen.

• Wenn Benutzer nur Teil der Organisationen mit aktivierter SSO waren, können sie nicht mehr auf diese Organisationen in Diligent One zugreifen.
• Wenn Benutzer sowohl Ihren Organisationen mit aktivierter SSO als auch anderen Organisationen ohne SSO angehörten:
  • Wenn Sie den Benutzer von Ihrem Identitätsanbieter entfernen, müssen Sie sicherstellen, dass die Benutzer aus der Diligent One-Organisation entfernt werden. Der Systemadministrator muss die Benutzer von anderen Organisationen ohne SSO entfernen.
  • Wenn Sie Benutzer manuell aus den Organisationen mit aktivierter SSO entfernen, können sie immer noch auf Instanzen ohne SSO zugreifen, nachdem sie ihr Passwort zurückgesetzt haben.

Bei der Einmalanmeldung handelt es sich um einen Authentifizierungsprozess, der Benutzer in die Lage versetzt, mit einer einzigen Anmeldung mehrere Anwendungen zu verwenden. Diligent One unterstützt SSO Integration für jeden Identitätsanbieter, der das OASIS SAML-2.0-Protokoll verwendet.

Berechtigungen

Anforderungen

Aktivierung der Einmalanmeldung (SSO)

URLs von Launchpad-Dienstanbietern

Anmeldung mit aktiviertem SSO

Abmeldung mit aktiviertem SSO

Vorgehensweise, wenn Sie jemanden zu einer SSO-Instanz von Diligent One hinzufügen

SSO deaktivieren

SSO und SAML

Offboarding von Benutzern, die das Unternehmen verlassen

Berechtigungen

Nur Systemadministratoren können die SSO-Einstellungen für ihr Unternehmen konfigurieren.

Anforderungen

• Ihr Identitätsanbieter muss das OASIS SAML-2.0-Protokoll einhalten.
• Alle Benutzer einer Diligent One-Instanz mit aktivierter Einmalanmeldung (SSO) müssen sich über einen Identitätsanbieter authentifizieren.

Wenn Ihre Benutzer auf mehrere Instanzen zugreifen

Benutzer, die sich über einen Identitätsanbieter authentifizieren, können dies für mehrere Diligent One-Instanzen tun, wenn diese Instanzen zum selben Unternehmen gehören:

Um dies zu überprüfen, schauen Sie unter „Kundenname“ in den Organisationseinstellungen für jede Instanz nach. Dieser muss für alle Instanzen, auf die SSO-Benutzer zugreifen müssen, gleich sein. Weitere Informationen finden Sie unter Organisationseinstellungen aktualisieren. Alternativ können Sie mit dem Instanz-Switcher überprüfen, ob die betreffenden Instanzen unter dem gleichen Unternehmensnamen eingerückt sind. Weitere Informationen finden Sie unter Zwischen Diligent One-Organisationen wechseln.

Wenden Sie sich an den Support, wenn Sie ändern möchten, zu welchem Unternehmen Ihre Instanz gehört.

Die Authentifizierung ist nicht regionsspezifisch. Benutzer können in mehreren Regionen auf Diligent One-Instanzen zugreifen.

Wenn Ihre Benutzer auf Schulungsinstanzen zugreifen

Benutzer, die über einen Identitätsanbieter authentifiziert werden, können Schulungsinstanzen erstellen, die automatisch mit demselben Unternehmen verknüpft sind.

Dieser Schulungsinstanz können weitere Benutzer hinzugefügt werden, sofern diese Benutzer nicht bereits einer anderen Schulungsinstanz mit derselben E-Mail angehören.

Wenn Ihre Benutzer für mehrere Unternehmen arbeiten

Benutzer, die für mehrere Unternehmen arbeiten (z. B. Unternehmensberater), können SSO nicht nutzen.

Wenn ein Diligent One-Benutzer in Ihrem Unternehmen bereits eine SSO-fähige Instanz verwendet, die zu einem anderen Unternehmen gehört, können Sie SSO nicht aktivieren. Um SSO zu aktivieren, müssen Sie entweder diesen Benutzer in Ihrem Unternehmen aus Diligent One entfernen oder ihn bitten, sich aus der Diligent One-Instanz des anderen Unternehmens entfernen zu lassen.

Sie können SSO und 2FA nicht zusammen verwenden

Sie können die Zwei-Faktor-Authentifizierung nicht mit Single Sign On verwenden. Wenn Sie sowohl SSO als auch 2FA verwenden müssen, sollten Sie die 2FA-Funktion Ihres SSO-Anbieters nutzen. Wenn SSO aktiviert ist, erlaubt Diligent One Ihnen nicht, 2FA zu aktivieren. Ebenso gilt, dass wenn ein Mitglied Ihrer Instanz 2FA verwendet, Ihnen Diligent One nicht erlaubt, SSO zu aktivieren.

Aktivierung der Einmalanmeldung (SSO)

Um SSO für Diligent One zu aktivieren, müssen Sie einige Aufgaben ausführen.

1. Konfigurieren Sie die SSO-Einstellungen in Ihrem Identitätsanbieter.
2. Aktivieren Sie SSO im Launchpad.
   1. Öffnen Sie Launchpad.
   2. Klicken Sie auf Plattform-Einstellungen > Organisation.
   3. Klicken Sie auf SSO-Einstellungen verwalten.
   4. Füllen Sie die unten aufgeführten SSO-Felder aus und klicken Sie auf „Einmalanmeldung (SSO) aktivieren“.
   5. Klicken Sie auf Änderungen speichern.
3. Fügen Sie Benutzer einer Instanz mit aktiviertem SSO hinzu.

   Um Diligent One mit Ihrem Identitätsanbieter zu verlinken, müssen Sie für alle Benutzer Vorname, Nachname und E-Mail-Adresse angeben. Weitere Informationen finden Sie unter Verfahren zum Hinzufügen von Benutzern.

SSO-Felder

Feld	Definition
Kundenspezifische Domäne	Der eindeutige Name, der Ihre Instanz identifiziert und es den Benutzern in Ihrem Unternehmen ermöglicht, sich bei Diligent One anzumelden. Die benutzereigene Domäne ist die Unterdomäne Ihrer Organisation, an die eine Regionskennung angehängt wurde. Hinweis Sie können die Unterdomäne Ihrer Instanz auf der Seite Organisation aktualisieren ändern. Weitere Informationen finden Sie unter Organisationseinstellungen aktualisieren.
Entität-ID	Die URL, die den Identitätsprovider identifiziert, der eine SAML-Anfrage ausgibt. Dies ist eine für Ihren Identitätsanbieter spezifische URL.
Metadaten URL	Die URL, auf die das Launchpad zugreifen kann, um die SSO-Konfigurationsdaten vom Identitätsprovider abzurufen. Dies ist eine für Ihren Identitätsanbieter spezifische URL.
Weiterleitungs-Anmelde-URL	Die URL des Identitätsanbieters für Benutzer in Ihrem Unternehmen, um sich bei Diligent One anzumelden.
Abmelde-URL	Die URL, an die Diligent One die Benutzer im Unternehmen umleitet, nachdem sie sich bei Diligent One abgemeldet haben.
Fingerabdruck des Sicherheitszertifikats	Der SHA-1- oder SHA-256-Fingerprint des SAML-Zertifikats, der von Ihrem Identitätsprovider abgerufen werden kann. Hinweis Wenn Diligent One als Dienstanbieter verwendet wird, muss der Identitätsanbieter die SAML-Antwort verschlüsseln, und Sie müssen im Launchpad den Fingerprint für das Sicherheitszertifikat konfigurieren.
Einzelanmeldung (SSO) aktivieren	Aktiviert SSO für diese Instanz.

URLs von Launchpad-Dienstanbietern

Bei der Konfiguration Ihres SSO-Identitätsanbieters benötigen Sie u. U die folgenden URLs von Dienstbietern für Launchpad:

• Entitäts-ID des Dienstanbieters https://accounts.highbond.com/saml/metadata/your_custom_domain
• Assertion-Consumer-URL des Dienstanbieters https://accounts.highbond.com/saml/sso/consume/your_custom_domain

Anmeldung mit aktiviertem SSO

Benutzer können sich auf zweierlei Art bei aktiviertem SSO anmelden.

Was passiert, wenn SSO aktiviert ist?

Wenn SSO aktiviert ist, können Sie sich anmelden, indem Sie www.highbond.com aufrufen, auf Bei einer kundenspezifischen Domäne anmelden klicken und die benutzerdefinierte Domäne angeben, die Ihnen zugewiesen wurde.

Alternativ können Sie über den Diligent One-App-Link auf der Startseite ihres Identitätsanbieters auf Diligent One zugreifen.

Sie werden über Ihren Identitätsanbieter an Diligent One weitergeleitet, wenn Sie auf eine der Diligent One-Apps zugreifen (dazu gehört auch das Klicken auf einen Link in einer E-Mail, die von Diligent One gesendet wurde).

Muss ich bei jeder Anmeldung meine eigene Domäne eingeben?

• Wenn Sie sich über ihren Identitätsanbieter anmelden, müssen Sie nicht jedes Mal Ihre kundenspezifische Domäne eingeben.
• Wenn Sie sich über Diligent One anmelden, können Sie auf die folgende URL zugreifen, damit Sie nicht jedes Mal eine kundenspezifische Domäne eingeben müssen: https://accounts.highbond.com/saml/sso?custom_domain=Ihre kundenspezifische Domäne

Anmeldung bei mehreren Instanzen von Diligent One

If you have access to multiple instances of Diligent One, you are brought to the instance you used most recently. You can switch instances normally. For more information, see Zwischen Diligent One-Organisationen wechseln.

Abmeldung mit aktiviertem SSO

Diligent One unterstützt die Einmalabmeldung (SLO, Single Log-Out) unter Verwendung des vom Identitätsanbieter eingeleiteten Workflows. Die SLO-URL lautet:

https://accounts.highbond.com/saml/slo/your-custom-domain

So funktioniert der Ablauf einer Sitzung

Wenn eine Diligent One-Sitzung abläuft, oder Sie versuchen, sich von Diligent One abzumelden, müssen Sie sich zunächst von Ihrem Identitätsanbieter abmelden. Sonst werden Sie automatisch wieder bei Diligent One angemeldet.

Wenn z.B. eine Sitzung in Ihrer Instanz nach drei Stunden abläuft, und die Sitzung bei Ihrem Identitätsanbieter nach drei Tagen, werden Sie drei Tage lang automatisch bei Diligent One angemeldet.

Aus Sicherheitsgründen sollte Ihr Unternehmen sicherstellen, dass die Sitzung bei Ihrem Identitätsanbieter vor der Sitzung Ihrer Instanz abläuft.

Vorgehensweise, wenn Sie jemanden zu einer SSO-Instanz von Diligent One hinzufügen

Diligent One unterstützt JIT- (Just-in-Time-) Provisioning für SAML. Wenn sich ein Benutzer erstmalig anmeldet, wird ein entsprechendes Benutzerkonto mit derselben E-Mail-Adresse in Diligent One angelegt.

E-Mail-Adressen und Domänenkonten abgleichen

Diligent ermittelt den bevorzugten Identitätsanbieter und den Benutzernamen des Benutzers. E-Mail-Adresse und Domänenkonto jedes Benutzers müssen übereinstimmen. Wenn die E-Mail-Adresse des Benutzers und das Domänenkonto nicht übereinstimmen, müssen Sie in Ihrem Verzeichnisdienst einen Alias für den Benutzer einrichten.

Abonnements und Zugriff auf Diligent One-Apps

Dem Benutzer werden jedoch weder Abonnements zugewiesen, noch erhält er automatisch Zugriff auf Diligent One-Apps. Systemadministratoren müssen Benutzern in Launchpad eine Rolle und ein Abonnement zuweisen, um sicherzustellen, dass diese Benutzer den entsprechenden Zugriff in der Instanz haben.

SSO deaktivieren

Wenn Ihr Unternehmen SSO aktiviert und zu einem späteren Zeitpunkt beschließt, es wieder zu deaktivieren:

• Benutzer, die vor der Aktivierung von SSO kein Passwort eingerichtet haben, müssen auf der Anmeldeseite auf Passwort zurücksetzen klicken, um ein Passwort zu erhalten.
• Benutzer, die vor der Aktivierung von SSO ein Passwort eingerichtet haben, können sich mit ihrem Benutzernamen und Passwort anmelden.

SSO und SAML

Diligent One unterstützt SSO Integration für jeden Identitätsanbieter, der das OASIS SAML-2.0-Protokoll verwendet.

Was ist OASIS SAML 2.0?

SSO ermöglicht Benutzern sich mit OASIS Security Assertion Markup Language 2.0 (SAML 2.0) anzumelden, einem Format zur Kommunikation und Authentifizierung von Identitäten zwischen zwei Web-Applikationen.

OASIS SAML 2.0 umfasst:

• einen Benutzer, der einen Dienst anfordert
• einen Dienstleister oder eine Applikation, die einen Dienst bereitstellt (Diligent One)
• einen Identitätsanbieter oder ein Repository, in dem Benutzerdaten verwaltet werden

In Instanzen, die SSO aktiviert haben, werden Benutzer authentifiziert, wenn sie sich über den unterstützten SAML-Identitätsanbieter bei Diligent One anmelden. Wenn ein Benutzer nicht bei dem SAML-Identitätsanbieter aktiviert ist, wird diesem Benutzer der Zugriff verweigert.

Unterstützte Workflows

Nachdem die SSO-Einstellungen konfiguriert wurden, werden die folgenden Arbeitsabläufe unterstützt: 

• Identitätsanbieter initiiert - Zugriff auf Diligent One von der Startseite des Identitätsanbieters.
• Dienstanbieter initiiert - Zugriff auf Diligent One von der Diligent One-Startseite.

Identitätsanbieter hat den Authentifizierungsprozess initiiert

Dienstanbieter hat den Authentifizierungsprozess initiiert

Offboarding von Benutzern, die das Unternehmen verlassen

Wenn ein Benutzer das Unternehmen verlässt, wird er wahrscheinlich durch den Offboarding-Prozess vom Identitätsanbieter entfernt. Wie genau sich dies auf die Benutzer auswirkt, hängt davon ab, auf welche Instanzen sie Zugriff hatten und wie diese Instanzen konfiguriert wurden.

• Wenn der Benutzer nur Teil der SSO-fähigen Instanz(en) war, kann er nicht mehr auf diese Instanzen in Diligent One zugreifen.
• Wenn der Benutzer Teil der SSO-fähigen Instanz(en) war, sowie anderer nicht SSO-fähiger Instanzen:
  • Wenn Sie den Benutzer von Ihrem Identitätsprovider entfernen, kann er auf keine Instanzen von Diligent One zugreifen. Wenn sie versuchen, auf eine Nicht-SSO-Instanz zuzugreifen, wird die Fehlermeldung „Ihre Organisation hat Single Sign-on aktiviert, bitte melden Sie sich bei der kundenspezifischen Domäne Ihrer Organisation an“ angezeigt.
  • Wenn Sie den Benutzer von Hand aus der/den SSO-fähigen Instanz(en) entfernen, kann er immer noch auf Nicht-SSO-Instanzen zugreifen, nachdem er sein Kennwort zurückgesetzt hat.