> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-de/absichern-and-steuern/identity-providers.md).
# Identitätsanbieter (SSO)
Lassen Sie Ihre Benutzer sich mit Ihrem bestehenden Identitätsanbieter bei Dispel anmelden. Verbinden Sie Microsoft Entra ID, Okta oder PingIdentity über OAuth (OIDC) oder SAML für Single Sign-on.
## Übersicht
Durch das Verbinden eines Identitätsanbieters (IdP) können sich Ihre Benutzer mit denselben Unternehmensanmeldedaten bei Dispel anmelden, die sie bereits überall sonst verwenden — Single Sign-On (SSO). Anstatt ein separates Dispel-Passwort zu verwalten, übernimmt Ihr IdP die Authentifizierung und teilt Dispel mit, wer der Benutzer ist.
Dispel unterstützt vier Identitätsanbieter. Active Directory wird über LDAP(S) verbunden; Microsoft Entra ID, Okta und Ping Identity werden jeweils über OAuth (OIDC) oder SAML verbunden:
* [**Active Directory**](/documentation/documentation-de/absichern-and-steuern/identity-providers/active-directory.md) — Microsofts lokaler Verzeichnisdienst.
* [**Microsoft Entra ID**](/documentation/documentation-de/absichern-and-steuern/identity-providers/microsoft-entra-id.md) — Microsofts Cloud-Identitätsplattform (ehemals Azure AD).
* [**Okta**](/documentation/documentation-de/absichern-and-steuern/identity-providers/okta.md) — Okta’s Enterprise-Identitätsplattform.
* [**PingIdentity**](/documentation/documentation-de/absichern-and-steuern/identity-providers/ping-identity.md) — Pings föderierte Identitätsplattform.
{% hint style="info" %}
**Wo Sie es finden.** Melden Sie sich als Organisationsadministrator an und öffnen Sie **Einstellungen → Integrationen** (oder die dedizierte **Einstellungen → Authentifizierung** Seite). Die Anbieter erscheinen im Abschnitt **Identität & Authentifizierung (IdP / SSO)** Abschnitt. Klicken Sie auf **Verbinden** bei einem Anbieter, um zu beginnen.
{% endhint %}
{% hint style="warning" %}
**Ein Identitätsanbieter pro Organisation.** Eine Organisation kann jeweils nur einen aktiven IdP verwenden, und zwar mit nur einem Protokoll. Um den Anbieter zu wechseln — oder einen vorhandenen Anbieter zwischen OAuth und SAML umzuschalten — müssen Sie zuerst den aktuellen trennen.
{% endhint %}
## Protokoll auswählen
Welches Protokoll Sie verwenden, wird durch den Anbieter bestimmt, mit dem Sie eine Verbindung herstellen:
* Active Directory wird nur über LDAP(S) verbunden.
* Microsoft Entra ID, Okta und Ping Identity unterstützen jeweils sowohl OAuth (OIDC) als auch SAML. Wenn Sie einen dieser Anbieter konfigurieren, können Sie zwischen diesen beiden Protokollen wählen. Pro Anbieter kann jeweils nur eines aktiv sein.
Wählen Sie für diese drei Cloud-Anbieter zwischen OIDC und SAML, basierend darauf, wie Ihre IdP-Anwendung eingerichtet ist:
| Protokoll | Was es ist | Wählen Sie es, wenn |
| ---------------- | ------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------- |
| **OAuth** (OIDC) | Ein offener Standard für Zugriffsdelegation, der häufig für tokenbasierte Authentifizierung verwendet wird. | Ihre IdP-App ist als OIDC-/OAuth-Anwendung eingerichtet. |
| **SAML** | Ein XML-basiertes Framework zum Austausch von Authentifizierungs- und Autorisierungsdaten zwischen Parteien. | Ihre IdP-App ist als SAML-Anwendung eingerichtet, oder Ihre Organisation standardisiert auf SAML. |
> Active Directory verwendet LDAP(S) — ein Protokoll zum Abfragen und Authentifizieren an einem Verzeichnisserver, abgesichert mit TLS. Da AD nur LDAP(S) unterstützt, gibt es dafür keinen Schritt zur Protokollauswahl.
## Was Sie bereitstellen und was Dispel bereitstellt
Die Einrichtung von SSO ist ein beidseitiger Austausch. Sie geben Dispel Details zu Ihrem IdP, und — für SAML — fügen Sie die Details von Dispels Service Provider wieder in Ihren IdP ein.
#### OAuth (OIDC)
Sie geben in Dispel Folgendes ein:
| Feld | Was einzugeben ist |
| ------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Client-URL** | Die URL, an die OAuth-Tokens gesendet werden — in Ihren IdP-Einstellungen zu finden. |
| **Client-ID** | Die eindeutige Kennung Ihres IdP (oft eine URL oder URN), aus den IdP-Einstellungen. |
| **Client-Secret** | Das von Ihrem IdP ausgegebene Client-Secret. |
| **Organisationskennung** | Eine eindeutige Kennung *Sie* wählen. Ihre Benutzer geben dies auf dem Dispel-Anmeldebildschirm ein. Nur Buchstaben, Zahlen, Bindestriche und Unterstriche. |
Registrieren Sie Dispel auf der IdP-Seite als Anwendung und setzen Sie dessen **Umleitungs-URI** auf Ihre Dispel-Adresse gefolgt von `/oauth/login-callback` (zum Beispiel, `https://app.dispel.com/oauth/login-callback`). Wenn Sie sich über die genaue Adresse für Ihre Umgebung nicht sicher sind, bestätigen Sie sie bei Ihrem Dispel-Ansprechpartner.
#### SAML
Dispel zeigt oben im SAML-Formular zwei schreibgeschützte Werte an — fügen Sie diese in die SAML-Anwendung Ihres IdP ein:
| Dispel stellt bereit | In Ihrem IdP einfügen als |
| ----------------------------------- | --------------------------------------------- |
| **Service Provider (SP) Entity ID** | Die SP-Entity-ID / Zielgruppe. |
| **Assertion Consumer Service URL** | Die ACS-URL / Reply-URL / Single-Sign-On-URL. |
Verwenden Sie die **ID kopieren** und **URL kopieren** Schaltflächen neben jedem Eintrag. Geben Sie dann Folgendes in Dispel ein:
| Feld | Was einzugeben ist |
| ------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------- |
| **SSO-URL** | Die URL, an die die SAML-Assertion gesendet wird — in Ihren IdP-Einstellungen zu finden. |
| **Entity ID des Identitätsanbieters** | Die eindeutige Kennung Ihres IdP (oft eine URL oder URN). |
| **Base64-Signaturzertifikat** | Das Zertifikat, mit dem Ihr IdP SAML-Assertions signiert. Fügen Sie es ein oder verwenden Sie **Zertifikat hochladen** (max. 1 MB). |
| **Organisationskennung** | Eine eindeutige Kennung *Sie* wählen. Ihre Benutzer geben dies auf dem Dispel-Anmeldebildschirm ein. |
#### LDAP(S)
Anders als die SSO-Abläufe ist LDAP kein auf Weiterleitungen basierender Handshake — Dispel verbindet sich direkt mit Ihrem Verzeichnis und authentifiziert Benutzer dagegen. Es gibt nichts, was in ein anderes System zurückkopiert werden muss; die gesamte Konfiguration erfolgt in Dispel. Die folgenden Werte stammen von Ihrem Active-Directory-Administrator.
Sie geben in Dispel Folgendes ein:
| Feld | Was einzugeben ist |
| ---------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Anmeldekennung** | Eine eindeutige Kennung *Sie* wählen. Ihre Benutzer geben dies auf dem Dispel-Anmeldebildschirm ein. |
| **Active-Directory-Domäne** | Ihre AD-DNS-Domäne — z. B. `corp.example.com`. |
| **Domänencontroller** | Die Hostname(s) der Domänencontroller, mit denen sich Dispel über LDAPS (Port 636) verbindet — z. B. `dc01.corp.example.com`. |
| **Zertifikatsvertrauen + CA-Zertifikat** | Wie Dispel die TLS-Verbindung validiert, und (empfohlen) das CA-Zertifikat, das die Zertifikate Ihrer Domänencontroller ausgestellt hat. Aus Ihrer PKI oder von Ihrem AD-Administrator; PEM, CRT oder CER. |
| **Bind-DN oder UPN** | Das schreibgeschützte Dienstkonto, als das sich Dispel authentifiziert — z. B. `svc-dispel@corp.example.com`. |
| **Bind-Passwort** | Das Passwort des Dienstkontos. |
| **Suchbasis für Benutzer** | Der Verzeichnisort (OU), in dem nach Benutzern gesucht wird — z. B. `OU=Users,DC=corp,DC=example,DC=com`. |
| **Suchbasis für Gruppen** | Der Verzeichnisort (OU), in dem nach Gruppen gesucht wird. |
| **Anmeldeattribut** | Das Attribut, das Benutzer als ihren Benutzernamen eingeben — üblicherweise `sAMAccountName`. |
## Anbieter einrichten
Die genauen Schritte auf der IdP-Seite unterscheiden sich je nach Anbieter — Details finden Sie auf der Seite des jeweiligen Anbieters. Der allgemeine Ablauf ist derselbe:
1. Gehen Sie zu **Einstellungen → Integrationen** und klicken Sie auf **Verbinden** auf die Kachel des Anbieters.
2. **Authentifizierungsprotokoll auswählen** — OAuth oder SAML.
3. *(nur SAML)* Kopieren Sie Dispels **SP-Entity-ID** und **ACS-URL** in die SAML-App Ihres IdP.
4. Füllen Sie die Verbindungsfelder mit den Werten aus Ihrem IdP aus und wählen Sie einen **Organisationskennung**.
5. Klicken Sie auf **Einstellungen speichern**.
6. *(nur SAML)* Klicken Sie auf **Verbindung testen**. Dispel leitet Sie zu Ihrem IdP weiter, damit Sie sich anmelden, und zeigt dann die erhaltenen Benutzerattribute an (E-Mail, Vorname, Nachname). Wenn der Test fehlschlägt, prüfen Sie, ob die Angaben mit der SAML-App Ihres IdP übereinstimmen und ob der Testbenutzer in Ihrem IdP existiert und zu dieser Organisation eingeladen wurde.
> Active Directory verbinden? AD verwendet LDAP(S) und folgt einem anderen Ablauf — Dispel verbindet sich direkt mit Ihrem Verzeichnis, statt über einen SSO-Handshake umzuleiten, und es gibt kein Protokoll zur Auswahl. Siehe den [Einrichtungsleitfaden für Active Directory](/documentation/documentation-de/absichern-and-steuern/identity-providers/active-directory.md) für die vollständige Anleitung.
{% hint style="info" %}
**Geheimnisse werden maskiert.** Nachdem Sie gespeichert haben, werden geheime Felder (Client-Secret, Zertifikat) maskiert. Wenn Sie später bearbeiten, lassen Sie ein maskiertes Feld unverändert, um den gespeicherten Wert beizubehalten.
{% endhint %}
## Wie sich Benutzer anmelden
Sobald SSO konfiguriert ist, melden sich Benutzer mit Ihrem IdP statt mit einem Dispel-Passwort an:
1. Auf dem Dispel-Anmeldebildschirm gibt der Benutzer Ihre **Organisationskennung**.
2. Dispel leitet sie zu Ihrem IdP zur Authentifizierung weiter.
3. Bei Erfolg werden sie zu Dispel zurückgeleitet und angemeldet.
Dispel liest die **E-Mail**, **Vorname**und **Nachname** aus der IdP-Antwort.
{% hint style="info" %}
**Benutzer müssen zuerst eingeladen werden.** SSO authentifiziert einen Benutzer, gewährt aber nicht automatisch Zugriff. Ein Benutzer muss bereits zu Ihrer Organisation in Dispel eingeladen sein, bevor er sich per SSO anmelden kann. Siehe [Benutzer zu Dispel einladen](/documentation/documentation-de/benutzer-and-zugriff-verwalten/users/invite-a-user.md).
{% endhint %}
## Gruppenmapping
Sie können SSO-Benutzer automatisch anhand der Gruppen oder Claims, die Ihr IdP sendet, Dispel-Gruppen zuweisen. Die Gruppenzugehörigkeit wird bei jeder Anmeldung neu ausgewertet, sodass der Zugriff mit Ihrem IdP synchron bleibt. Siehe [OIDC-Gruppenmapping](/documentation/documentation-de/integrieren-and-administrieren/integrations/oidc-group-mapping.md).
## SSO und Multi-Faktor-Authentifizierung
Wenn SSO verwendet wird, ist Ihr IdP für die Authentifizierung verantwortlich — einschließlich aller MFA, die Sie dort durchsetzen. Daher werden die einmaligen E-Mail-Codes von Dispel nicht auf Benutzer angewendet, die sich per SSO anmelden. Behalten Sie dies im Hinterkopf, wenn Sie MFA-Anforderungen im [Richtlinien-Builder](/documentation/documentation-de/absichern-and-steuern/policy-builder.md).
## Anbieter wechseln oder trennen
Um Anbieter zu wechseln oder einen Anbieter zwischen OAuth und SAML umzuschalten, **Trennen Sie** zuerst die aktuelle Integration und verbinden Sie dann die neue.
{% hint style="warning" %}
**Das Trennen erzwingt eine Passwortzurücksetzung.** Das Entfernen einer SSO-Integration bedeutet, dass betroffene Benutzer sich nicht mehr über den IdP anmelden können — sie müssen ihre Dispel-Passwörter zurücksetzen, um sich erneut anzumelden, und Sie müssen zum Wiederverbinden alle Felder erneut eingeben.
{% endhint %}
## Häufig gestellte Fragen
Kann ich mehr als einen Identitätsanbieter gleichzeitig verwenden?
Nein. Eine Organisation hat jeweils nur einen aktiven IdP. Wenn Sie bereits mit einem Anbieter verbunden sind, sind die anderen nicht verfügbar, bis Sie die Verbindung trennen — Sie sehen einen Hinweis, dass Sie derzeit mit einem anderen Anbieter verbunden sind und diesen zuerst trennen müssen.
Kann ich für denselben Anbieter sowohl OAuth als auch SAML verwenden?
Nein. Pro Identitätsanbieter wird jeweils nur ein Authentifizierungsprotokoll unterstützt. Um das Protokoll zu wechseln, trennen Sie die Verbindung und verbinden Sie erneut mit dem anderen.
Was ist die Organisationskennung?
Es ist eine kurze, eindeutige Bezeichnung, die Sie auswählen (Buchstaben, Zahlen, Bindestriche und Unterstriche). Ihre Benutzer geben sie auf dem Dispel-Anmeldebildschirm ein, damit Dispel weiß, zu welchem IdP sie weitergeleitet werden sollen.
Erhält ein Benutzer beim ersten SSO-Anmelden automatisch ein Konto?
Nur wenn er bereits zu Ihrer Organisation eingeladen wurde. SSO weist nach, wer ein Benutzer ist, aber er benötigt eine Einladung in Dispel, um Zugriff zu erhalten.
Wer kann SSO konfigurieren?
Ein Organisationsadministrator. Das Konfigurieren oder Trennen eines Identitätsanbieters erfordert die Berechtigung zum Bearbeiten der Organisation.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-de/absichern-and-steuern/identity-providers.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.