Hinweis
Mit dem Unternehmenslogin melden sich Ihre Mitarbeiter in erster Linie nicht per PIN an, sondern über den zentralen Anmeldedienst Ihres Unternehmens, etwa Microsoft Entra ID oder die Active Directory Federation Services. MEMOIO nutzt dafür den Standard SAML 2.0.
Der Anmeldedienst bestimmt dabei nicht nur, wer sich anmelden darf. Er liefert bei jeder Anmeldung auch Name, Berechtigungen und Nutzergruppen mit. Die Benutzerverwaltung bleibt so an einer Stelle.
Die Einstellungen finden Sie im Unternehmensprofil unter „SAML-Einstellungen“. Dafür benötigen Sie das Recht „Unternehmen verwalten“.
| SAML-Antragssteller | Der Name, unter dem MEMOIO bei Ihrem Anmeldedienst geführt wird (dort meist „Entity ID“ oder „Bezeichner der vertrauenden Seite“ genannt). |
| SAML-Antragssteller-Index | Der Index, unter dem die Rücksprungadresse von MEMOIO beim Anmeldedienst eingetragen ist. In der Regel bleibt es bei 0. |
| SAML-URL | Die Adresse, an die MEMOIO Ihre Mitarbeiter zur Anmeldung schickt. |
| SAML-Provider Name | Der Aussteller („Issuer“), mit dem Ihr Anmeldedienst seine Antworten kennzeichnet. Er muss genau übereinstimmen. |
| SAML-Fingerprint | Der SHA-1-Fingerabdruck des Zertifikats, mit dem Ihr Anmeldedienst die Anmeldung signiert. Tragen Sie ihn ohne Doppelpunkte oder Leerzeichen ein, also etwa 3a5f… statt 3A:5F:…; Groß- und Kleinschreibung spielt keine Rolle. |
Unter „Nutzerinformation an SAML-Server übermitteln“ können Sie die E-Mail-Adresse oder den daraus abgeleiteten Benutzernamen an den Anmeldedienst weitergeben, damit Ihre Mitarbeiter ihn nicht noch einmal eintippen müssen. Nicht jeder Anmeldedienst unterstützt das; manche lehnen solche Anfragen sogar ab. Im Zweifel bleibt es bei „Keine Weitergabe“.
Legen Sie MEMOIO bei Ihrem Anmeldedienst als Anwendung an:
- Als Bezeichner dient derselbe Wert, den Sie in MEMOIO als „SAML-Antragssteller“ eintragen.
- Als Rücksprungadresse („Assertion Consumer Service“) tragen Sie https://memoio.test.scireum.com/saml/login mit der Bindung HTTP-POST ein, und zwar unter dem Index, den Sie in MEMOIO angegeben haben.
- Die Antwort muss genau eine unverschlüsselte Assertion enthalten, und nur diese darf signiert sein, nicht zusätzlich die gesamte Antwort. Das Signaturzertifikat muss in der Signatur enthalten sein.
Außerdem erwartet MEMOIO bestimmte Attribute („Claims“). Welche Attributnamen gelten, legen Sie unter „SAML-Attribute“ fest; über „Standardwert“ übernehmen Sie die Voreinstellung:
| Kontoname |
Die E-Mail-Adresse des Mitarbeiters, über die MEMOIO das Konto zuordnet.
Fehlt das Attribut, so verwendet MEMOIO die NameID der Antwort. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress |
| Eigenname |
Der angezeigte Name. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name |
| Berechtigungen |
Die Rechte des Mitarbeiters in MEMOIO in Form ihrer technischen Bezeichnungen, etwa
permission-manage-company; mehrere Werte dürfen durch Kommas getrennt
sein.
Unbekannte oder für Ihr Unternehmen nicht gebuchte Rechte werden ignoriert. http://schemas.microsoft.com/ws/2008/06/identity/claims/role |
| Gruppen |
Die technischen Namen der
Nutzergruppen, denen der Mitarbeiter angehört
(siehe Feld „Technischer Name“ der Gruppe); mehrere Werte dürfen durch Kommas getrennt sein.
Namen, zu denen es in MEMOIO keine aktive Gruppe gibt, werden ignoriert. http://schemas.xmlsoap.org/claims/Group |
| Vorheriger Kontoname |
Optional: die frühere E-Mail-Adresse nach einer Namensänderung, damit das bisherige Konto
weiterverwendet wird.
Das gelingt nur mit Konten Ihres Unternehmens. http://schemas.memoio.com/claims/previous-account-name |
Telefonnummer, Mobilnummer und Position lassen sich unter „Optionale SAML-Attribute“ ebenfalls übernehmen. Bleiben diese Felder leer, pflegen Ihre Mitarbeiter die Angaben selbst in ihrem Profil.
MEMOIO sucht das Konto anhand der E-Mail-Adresse aus dem Attribut „Kontoname“. Gibt es noch keines, so legt MEMOIO es an; neue Mitarbeiter müssen also nicht eigens eingeladen werden. Ein bestehendes Konto, das noch keinem Unternehmen angehört, ordnet MEMOIO Ihrem Unternehmen zu. Beides geschieht nur für Adressen, die zu einer Ihrer E-Mail-Domains gehören, und nur, solange die vereinbarte Höchstzahl an Nutzerkonten nicht erreicht ist. Konten anderer Unternehmen bleiben unberührt; die Anmeldung schlägt dann fehl.
Bei jeder Anmeldung übernimmt MEMOIO Berechtigungen und Gruppen aus dem Anmeldedienst und ersetzt die bisherigen Werte; den Namen ebenso, sofern der Anmeldedienst einen liefert. In MEMOIO selbst lassen sich diese Angaben deshalb nicht mehr ändern. Änderungen nehmen Sie im Anmeldedienst vor; sie wirken, sobald sich der Mitarbeiter das nächste Mal anmeldet.
Eine Anmeldung über den Anmeldedienst gilt eine bestimmte Zahl von Tagen, die Sie unter „Gültigkeit“ festlegen; voreingestellt sind 30 Tage. Innerhalb der „Warnfrist“ vor Ablauf (voreingestellt 7 Tage) weist MEMOIO Ihre Mitarbeiter darauf hin und bietet „Jetzt erneuern“ an.
Wer die Frist verstreichen lässt, wird jede Nacht gegen 23 Uhr auf allen Geräten abgemeldet. Bis zur nächsten Anmeldung über den Anmeldedienst erhält er keine Push-Nachrichten, und seine persönlichen Zugriffstokens ruhen.
Unter „Erfordernis eines SAML-Logins“ legen Sie fest, ob sich Ihre Mitarbeiter innerhalb der Gültigkeit auch per PIN anmelden dürfen:
- Bei Fristablauf erforderlich (Voreinstellung): Solange die letzte Anmeldung über den Anmeldedienst gilt, ist auf weiteren Geräten auch die Anmeldung per PIN möglich. Die allererste Anmeldung erfolgt aber immer über den Anmeldedienst.
- Immer erforderlich: Jede Anmeldung läuft über den Anmeldedienst.
Diese Regeln gelten auch für lokale Nutzer, die sich sonst mit einem Passwort anmelden. Damit sie sich über den Anmeldedienst anmelden können, muss dieser sie unter ihrer Pseudo-E-Mail-Adresse mit der Endung .local kennen, und diese Domain muss zu Ihren E-Mail-Domains gehören.
In der Detailansicht eines Mitarbeiters zeigt der Bereich „SAML-Authentifizierung“, bis wann dessen letzte Anmeldung gilt. Über „SAML-Authentifizierung erzwingen“ melden Sie ihn sofort auf allen Geräten ab; bei der nächsten Anmeldung muss er sich über den Anmeldedienst ausweisen.