> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-de/absichern-and-steuern/identity-providers/active-directory.md).

# Active Directory

Verwenden Sie Active Directory als Ihren Identitätsanbieter, damit sich Benutzer mit ihren Active-Directory-Anmeldedaten über LDAPS bei Dispel anmelden.

## Konfigurieren einer Active-Directory-Integration <a href="#configuring-an-active-directory-integration" id="configuring-an-active-directory-integration"></a>

Verbinden Sie Dispel mit dem Verzeichnis Ihrer Organisation **Active Directory (AD)** damit Ihr Team sich mit seinen vorhandenen Unternehmensanmeldedaten anmelden kann, wobei der Zugriff automatisch auf Grundlage der AD-Gruppen gewährt wird, denen die Benutzer bereits angehören.

***

### Bevor Sie beginnen <a href="#before-you-begin" id="before-you-begin"></a>

Diese Ressourcen sind erforderlich, damit sich Benutzer über Ihr Active Directory bei Dispel anmelden können.

* **Ein schreibgeschütztes AD-Dienstkonto**: Dispel verwendet dies, um Benutzer und Gruppen nachzuschlagen. Dies sollte nach dem Prinzip der geringsten Privilegien eingerichtet sein und benötigt keinen Schreibzugriff.
* **Die Hostnamen Ihrer Domänencontroller** (zum Beispiel `dc01.corp.example.com`), erreichbar von Dispel über **LDAPS (Port 636)**.
* **Das CA-Zertifikat** das die TLS-Zertifikate Ihrer Domänencontroller ausgestellt hat.
* **Die organisatorischen Einheiten (OUs)** in denen sich Ihre Benutzer und Gruppen befinden.

***

### 1. Öffnen Sie die Active-Directory-Einstellungen <a href="#id-1.-open-the-active-directory-settings" id="id-1.-open-the-active-directory-settings"></a>

Navigieren Sie zu **Einstellungen → Authentifizierung → Active Directory** im Dispel-Dashboard.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-a5e4e108ec026492bf2c642249fba1dc49494502%2FScreenshot%202026-07-29%20at%204.43.53%E2%80%AFPM.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### 2. Benennen Sie die Integration und legen Sie den Anmeldebezeichner fest <a href="#id-2.-name-the-integration-and-set-the-sign-in-identifier" id="id-2.-name-the-integration-and-set-the-sign-in-identifier"></a>

Füllen Sie den **Verbindung** Abschnitt.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-d98e1227d88d12bc8afc75b02bedd57c4afb9a15%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Feld                        | Was es ist                                                                                                                                                   | Wo Sie es finden                                                                                  |
| --------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------- |
| **Name**                    | Eine freundliche Bezeichnung für diese Integration, die nur in Dispel angezeigt wird.                                                                        | Ihre Wahl – z. B. „Corporate AD“ oder „Plant Directory“.                                          |
| **Anmeldekennung**          | Das kurze, eindeutige Schlüsselwort, das Ihre Benutzer bei der Anmeldung mit diesem Verzeichnis eingeben. Verwenden Sie Buchstaben, Zahlen und Bindestriche. | Ihre Wahl – z. B. `plant-directory`. Muss unter Ihren Integrationen eindeutig sein.               |
| **Active-Directory-Domäne** | Ihr AD-DNS-Domänenname.                                                                                                                                      | Ihre AD/DNS-Domäne, z. B. `corp.example.com`. Fragen Sie bei Unsicherheit Ihren AD-Administrator. |

***

### 3. Fügen Sie Ihre Domänencontroller hinzu <a href="#id-3.-add-your-domain-controllers" id="id-3.-add-your-domain-controllers"></a>

Listen Sie die Domänencontroller auf, mit denen Dispel verbunden werden soll. Fügen Sie pro Zeile einen hinzu; für Redundanz können Sie mehrere hinzufügen.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6a0922c8b797f53a8d7deb15cda58dc015734cc5%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Feld                  | Was es ist                                                                                      | Wo Sie es finden                                                                                                               |
| --------------------- | ----------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------ |
| **Domänencontroller** | Der Hostname (oder die IP) eines Domänencontrollers, der über LDAPS auf Port 636 erreicht wird. | z. B. `dc01.corp.example.com`. Von Ihrem AD-Administrator oder DNS. Stellen Sie sicher, dass er von Dispel aus erreichbar ist. |

> **Tipp:** Nach dem Speichern und Testen zeigt jeder Controller einen Integritätsstatus an – **Gesund**, **Nicht erreichbar**, **TLS fehlgeschlagen**, oder **Bind fehlgeschlagen** – so können Sie Verbindungsprobleme auf einen Blick erkennen.

***

### 4. Wählen Sie das Zertifikatsvertrauen <a href="#id-4.-choose-certificate-trust" id="id-4.-choose-certificate-trust"></a>

Unter **Zertifikatsvertrauen**, wählen Sie aus, wie Dispel das TLS-Zertifikat Ihrer Domänencontroller validiert. **Eine vollständige Validierung wird dringend empfohlen.**

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-bd1dd84fed3f3497cd68da90f5d5c4efdc7f0b10%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Option                                          | Was das bedeutet                                                                              | Wann es verwendet wird                                                                                   |
| ----------------------------------------------- | --------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------- |
| **Kette und Hostname validieren** *(empfohlen)* | Dispel prüft die Zertifikatskette **und** und dass der Hostname übereinstimmt. Am sichersten. | Fast immer. Laden Sie unten Ihr CA-Zertifikat hoch.                                                      |
| **Hostname-Prüfung überspringen**               | Die Kette wird weiterhin geprüft; nur die Übereinstimmung des Hostnamens wird übersprungen.   | Nur wenn der Hostname Ihres Zertifikats nicht mit der Adresse übereinstimmt, mit der Sie sich verbinden. |
| **Validierung deaktivieren**                    | Die Verbindung ist **keine** authentifiziert und könnte abgefangen werden.                    | Nicht empfohlen. Erfordert eine ausdrückliche Bestätigung.                                               |

| Feld              | Was es ist                                                                                                                                                                 | Wo Sie es finden                                                                  |
| ----------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------- |
| **CA-Zertifikat** | Das öffentliche Zertifikat der Zertifizierungsstelle, die die Zertifikate Ihrer Domänencontroller signiert hat. Fügen Sie den PEM-Text ein oder laden Sie eine Datei hoch. | Von Ihrem PKI- oder AD-Administrator. Akzeptierte Formate: **PEM, CRT oder CER**. |

***

### 5. Fügen Sie die Anmeldedaten des Dienstkontos hinzu <a href="#id-5.-add-the-service-account-credentials" id="id-5.-add-the-service-account-credentials"></a>

Unter **Dienstkonto**, geben Sie das schreibgeschützte Konto an, das Dispel zum Abfragen Ihres Verzeichnisses verwendet.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6ef23b59a1eac4c022eb0e39b658dd157de489fb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Feld                 | Was es ist                                            | Wo Sie es finden                                                                                                                                                                                            |
| -------------------- | ----------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Bind-DN oder UPN** | Das Dienstkonto, als das sich Dispel authentifiziert. | Die UPN des Kontos (z. B. `svc-dispel@corp.example.com`) oder der Distinguished Name (z. B. `CN=svc-dispel,OU=Service Accounts,DC=corp,DC=example,DC=com`). Verwenden Sie ein **schreibgeschütztes** Konto. |
| **Bind-Passwort**    | Das Passwort des Dienstkontos.                        | Wird von der Person festgelegt, die das Dienstkonto erstellt hat. (Nach dem Speichern ist sie ausgeblendet — geben Sie nur einen neuen Wert ein, um sie zu ersetzen.)                                       |

***

### 6. Legen Sie die Identitätszuordnung fest <a href="#id-6.-set-the-identity-mapping" id="id-6.-set-the-identity-mapping"></a>

Unter **Identität**, teilen Sie Dispel mit, wo Benutzer und Gruppen zu finden sind und welche Attribute gelesen werden sollen.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-9f6db0d32b9d7b0b837eebf35e7326fb99288cd3%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Feld                  | Was es ist                                                                  | Wo Sie es finden                                                                                             |
| --------------------- | --------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------ |
| **Benutzersuchbasis** | Die OU (Distinguished Name), unter der Dispel nach Benutzern sucht.         | z. B. `OU=Users,DC=corp,DC=example,DC=com`. Aus Ihrer AD-Struktur (Active Directory-Benutzer und -Computer). |
| **Gruppensuchbasis**  | Die OU, unter der Dispel nach Gruppen sucht.                                | z. B. `OU=Groups,DC=corp,DC=example,DC=com`. Aus Ihrer AD-Struktur.                                          |
| **Anmeldeattribut**   | Das AD-Attribut, das Benutzer bei der Anmeldung als Benutzernamen eingeben. | Wählen Sie aus den ermittelten Attributen – häufig `sAMAccountName` oder `userPrincipalName`.                |

**Erweitert** (optional – zum Anpassen aufklappen):

| Feld            | Was es ist                                                               | Wo Sie es finden                               |
| --------------- | ------------------------------------------------------------------------ | ---------------------------------------------- |
| **Anzeigename** | Das Attribut, das für den Anzeigenamen eines Benutzers verwendet wird.   | Normalerweise `displayName` oder `cn`.         |
| **E-Mail**      | Das Attribut, das für die E-Mail-Adresse eines Benutzers verwendet wird. | Normalerweise `mail` oder `userPrincipalName`. |

***

### 7. Testen Sie die Verbindung <a href="#id-7.-test-the-connection" id="id-7.-test-the-connection"></a>

Klicken Sie auf **Verbindung testen**. Dispel bindet sich mit dem Dienstkonto an und prüft jeden Domänencontroller.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-c5b37669559382afc58b977bc800e61b296c6206%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

* Ein **Ein erfolgreicher** Test schaltet die Gruppenzuordnung frei und ermöglicht es Ihnen, die Integration zu aktivieren.
* Wenn ein Controller **TLS fehlgeschlagen**, **Bind fehlgeschlagen**, oder **Nicht erreichbar**anzeigen sollte, siehe [Fehlerbehebung](#troubleshooting) unten.

> **Hinweis:** Wenn Sie später eine Verbindungsoption ändern, wird das vorherige Testergebnis **veraltet** – führen Sie vor der Aktivierung erneut einen Test durch.

***

### 8. Ordnen Sie AD-Gruppen Dispel-Gruppen zu <a href="#id-8.-map-a-d-groups-to-dispel-groups" id="id-8.-map-a-d-groups-to-dispel-groups"></a>

Unter **Gruppenzugriff**, ordnen Sie jede Active-Directory-Gruppe der Dispel-Gruppe zu, deren Zugriff sie gewähren soll. **Benutzer, die in keine zugeordnete Gruppe fallen, können sich nicht anmelden**, ordnen Sie also mindestens eine zu.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6faf89ae9eeaf03c1c10a4dec3387878abb60bcb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Spalte         | Was es ist                                                                   | Wo Sie es finden                                                             |
| -------------- | ---------------------------------------------------------------------------- | ---------------------------------------------------------------------------- |
| **AD-Gruppe**  | Die Active-Directory-Gruppe, aus der die Mitgliedschaft gelesen werden soll. | Beginnen Sie mit der Eingabe, um die Gruppen Ihres Verzeichnisses zu suchen. |
| **Org-Gruppe** | Die Dispel-Gruppe, deren Zugriff diese Mitglieder erhalten.                  | Wählen Sie aus Ihren vorhandenen Dispel-Gruppen.                             |

Verwenden Sie **Zuordnung hinzufügen** um weitere Zeilen hinzuzufügen. Mitglieder werden automatisch synchron gehalten: Benutzer, die einer zugeordneten AD-Gruppe hinzugefügt werden, erhalten Zugriff, und Benutzer, die entfernt werden, verlieren den Zugriff.

***

### 9. (Optional) Eine Benutzeranmeldung testen <a href="#id-9.-optional-test-a-user-sign-in" id="id-9.-optional-test-a-user-sign-in"></a>

Vor der Aktivierung können Sie unter **Benutzeranmeldung testen** einen echten Benutzeranmeldevorgang simulieren, um zu bestätigen, dass die Anmeldung erlaubt wäre und die Person in den richtigen Gruppen landet.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-3811d6a9b2386fe71ed7178b0634ab8eff5880a2%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Feld              | Was es ist                                     | Wo Sie es finden                                                                              |
| ----------------- | ---------------------------------------------- | --------------------------------------------------------------------------------------------- |
| **Benutzernamen** | Ein echter Verzeichnisbenutzername zum Testen. | Der Anmeldewert eines beliebigen AD-Benutzers (entsprechend Ihrem gewählten Anmeldeattribut). |
| **Passwort**      | Das Passwort dieses Benutzers.                 | Das eigene Passwort des Benutzers. Wird nur für den Test verwendet und niemals gespeichert.   |

Klicken Sie auf **Test ausführen** um zu sehen, ob Zugriff **gewährt** oder **verweigert**würde und welche Gruppen aufgelöst werden.

***

### 10. Aktivieren Sie die Integration <a href="#id-10.-enable-the-integration" id="id-10.-enable-the-integration"></a>

Wenn der Verbindungstest besteht und mindestens eine Gruppe zugeordnet ist, klicken Sie auf **Aktivieren**. Ihre Benutzer können sich nun mit ihren Active-Directory-Anmeldedaten unter Verwendung des Anmeldebezeichners aus Schritt 2 anmelden.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-104bfb7e54151452d54d9142b51006dff58d2b66%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### Wie sich Benutzer anmelden <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Sobald die Integration aktiviert ist, melden sich Benutzer mit ihren Active-Directory-Anmeldedaten statt mit einem Dispel-Passwort an:

1. Auf dem Dispel-Anmeldebildschirm gibt der Benutzer Ihren **Anmeldebezeichner**, dann ihr **AD-Benutzername und -Passwort**.
2. Dispel authentifiziert die Anmeldedaten direkt gegen Ihr Verzeichnis — es gibt keine Weiterleitung an einen externen Identitätsanbieter.
3. Bei Erfolg werden sie angemeldet.

Dispel liest die E-Mail-Adresse und den Anzeigenamen des Benutzers aus dem Verzeichnis unter Verwendung der von Ihnen konfigurierten Attribute.

{% hint style="info" %}
**Benutzer müssen zuerst eingeladen werden**. Die Authentifizierung gegen AD bestätigt, wer ein Benutzer ist, gewährt aber nicht allein Zugriff. Bei Active Directory werden Einladungen automatisch erstellt, wenn ein Benutzer zu einer zugeordneten AD-Gruppe gehört — die Gruppensynchronisierung lädt ihn ein (und widerruft den Zugriff, wenn er aus der Gruppe entfernt wird). Ein Benutzer, der in keiner zugeordneten Gruppe ist, kann sich nicht anmelden.
{% endhint %}

***

### Zugriff synchron halten <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Sobald die Integration aktiviert ist, hält Dispel die Mitgliedschaft in Dispel-Gruppen automatisch nach einem wiederkehrenden Zeitplan mit Ihren zugeordneten Active-Directory-Gruppen synchron — Benutzer, die einer zugeordneten Gruppe hinzugefügt werden, erhalten Zugriff, und Benutzer, die aus einer zugeordneten Gruppe entfernt werden, verlieren den Zugriff ohne manuelle Schritte.

Wenn Sie gerade die Mitgliedschaft in Active Directory geändert haben und möchten, dass sie sofort wirksam wird, verwenden Sie **Jetzt synchronisieren**.

<figure><img src="https://42586449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-849ef03373977b675bfde69590b540f5f0fd8eee%2Fimage.png?alt=media" alt="" width="375"><figcaption></figcaption></figure>

* **Jetzt synchronisieren** erscheint oben rechts in der Kopfzeile der Active-Directory-Seite und erst nachdem die Integration **aktiviert**.
* ist. Klicken Sie darauf, um sofort eine Synchronisierung auszuführen. Währenddessen zeigt die Schaltfläche\
  **Synchronisiere…**, und der **Zuletzt synchronisiert** Zeitstempel wird aktualisiert, wenn sie abgeschlossen ist.
* Sie müssen dies nicht routinemäßig tun – automatische Synchronisierungen halten alles von selbst auf dem neuesten Stand. Verwenden Sie es, wenn Sie eine Änderung anwenden möchten, ohne auf die nächste geplante Synchronisierung zu warten.

***

### Die Integration verwalten <a href="#managing-the-integration" id="managing-the-integration"></a>

* **Änderungen übernehmen**: Bearbeitungen einer bestehenden Integration speichern. Änderungen an den Verbindungseinstellungen machen das Testergebnis veraltet; testen Sie erneut, bevor Sie sich darauf verlassen.
* **Deaktivieren**: die Verzeichnisanmeldung stoppen, ohne die Konfiguration zu löschen. Lokale Anmeldung und Break-Glass-Anmeldung bleiben verfügbar; Sie können jederzeit erneut aktivieren.
* **Löschen**: die Integration vollständig entfernen, einschließlich Domänencontroller, Zertifikatsvertrauen und Gruppenzuordnungen.

***

### Fehlerbehebung <a href="#troubleshooting" id="troubleshooting"></a>

| Status / Meldung                               | Was es normalerweise bedeutet                       | Was zu prüfen ist                                                                                                      |
| ---------------------------------------------- | --------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------- |
| **Nicht erreichbar**                           | Dispel kann den Domänencontroller nicht erreichen.  | Hostname ist korrekt und von Dispel aus über Port 636 erreichbar.                                                      |
| **TLS fehlgeschlagen**                         | Das Zertifikat konnte nicht validiert werden.       | Das richtige CA-Zertifikat ist hochgeladen (Schritt 4) und stimmt mit den Zertifikaten Ihrer Controller überein.       |
| **Bind fehlgeschlagen**                        | Das Dienstkonto konnte sich nicht authentifizieren. | Der Bind DN/UPN und das Passwort sind korrekt, die Anmelde-/E-Mail-Attribute sind korrekt und das Konto ist aktiviert. |
| **Einem Benutzer wird der Zugriff verweigert** | Der Benutzer ist in keiner zugeordneten Gruppe.     | Bestätigen Sie, dass er zu einer zugeordneten AD-Gruppe gehört und dass die Gruppenzuordnung (Schritt 8) korrekt ist.  |


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.dispel.com/documentation/documentation-de/absichern-and-steuern/identity-providers/active-directory.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.