# Single Sign-On für Ihr Team

> Melden Sie sich über den SAML 2.0- oder OpenID Connect-Provider Ihres Unternehmens (Okta, Entra ID, Google Workspace, Keycloak) in der Konsole an, optional erforderlich für jedes Mitglied Ihrer Organisation.

Source: https://developers.anpheros.com/de/guides/team-sso

Auf dem Scale-Plan meldet sich Ihr Team über den Identitätsanbieter Ihres Unternehmens (Okta, Microsoft Entra ID, Google Workspace, Keycloak oder einen beliebigen SAML 2.0- oder OpenID Connect-Provider) in der Konsole an. Wenn Single Sign-On erforderlich ist, verlieren Personen, die Ihr Unternehmen verlassen, den Zugriff auf Ihre Organisation, sobald Sie sie in Ihrem Identitätsanbieter deaktivieren; ein Passwort oder ein Google-Konto reicht dann nicht mehr aus.

## Funktionsweise

1. Sie übermitteln uns die Details Ihres Identitätsanbieters (siehe unten) und die E-Mail-Domänen, die Ihr Team verwendet.
2. Wir verbinden den Anbieter mit Ihrer Organisation. Die Einrichtung erfolgt während der Beta-Phase manuell und dauert in der Regel einen Geschäftstag.
3. Ihr Team wählt auf der Anmeldeseite der Konsole **Sign in with SSO** und gibt seine geschäftliche E-Mail-Adresse ein. Die Konsole findet Ihren Anbieter anhand der Domäne und öffnet die Anmeldeseite Ihres Unternehmens.
4. Optional wird Single Sign-On **erforderlich**: Mitglieder können die Projekte, Schlüssel, Anwendungen und Protokolle Ihrer Organisation erst öffnen, nachdem sie sich über Ihren Anbieter angemeldet haben. Wir schalten dies auf Anfrage ein, nachdem Sie überprüft haben, ob sich alle anmelden können.

Personen müssen weiterhin Mitglieder der Organisation sein; Single Sign-On bestimmt, wie sie ihre Identität nachweisen, nicht, wer dazugehört. Eine Domäne kann nur einer Organisation angehören, und öffentliche E-Mail-Domänen (gmail.com, outlook.com…) können nicht verwendet werden.

## Was Sie uns senden müssen

**SAML 2.0:** Die IdP-Entitäts-ID, die Single-Sign-On-URL und das Signaturzertifikat (oder die Metadaten-XML).
Konfigurieren Sie Ihre IdP mit:

| Einstellung | Wert |
|---|---|
| Assertion Consumer Service (ACS) URL | `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler` |
| Service Provider Entitäts-ID | den Wert, den wir Ihnen zu Beginn der Einrichtung mitteilen |
| Name ID | die E-Mail-Adresse des Benutzers |

**OpenID Connect:** Die Issuer-URL, eine Client-ID und für den Code-Flow ein Client-Secret. Registrieren Sie diese Redirect-URI bei Ihrem Anbieter: `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler`.

Schreiben Sie an platform@anpheros.com mit dem Betreff "SSO-Einrichtung".

## Limits

- Single sign-on gilt für die Konsole und die Admin-API (people). API-Schlüssel und OAuth-Zugriffstoken, die von Ihrer Software verwendet werden, sind davon nicht betroffen.
- Die Mitgliedschaft wird weiterhin in der Konsole verwaltet; Benutzer werden nicht automatisch aus Ihrem Verzeichnis erstellt.
- Die patientenseitige Zustimmungsseite ist nicht betroffen: Patienten melden sich mit ihren eigenen Konten an.