Wichtig: Bei vielen SSO Identitätsanbieter läuft das OAuth Client Secret automatisch nach einem Jahr ab und muss dann neu generiert werden. Achten Sie bei der Aktivierung von SSO bitte darauf, dass es zumindest einen LDB Account gibt, für den die Anmeldung ohne SSO freigeschaltet ist und der über die Zugriffsrechte verfügt um die SSO Einstellungen zu bearbeiten.

Die Anmeldung mit Single Sign-On (SSO) ist Teil der LDB Enterprise Cloud und kann in den Systemeinstellungen unter folgendem Link aktiviert werden:
https://labordatenbank.com/demo/configs/index/login

Sie finden die Einstellungen für SSO auch unter: Navigationsleiste → Einstellungen → Systemeinstellungen → Authentifizierung / SSO

Zum Aktivieren von SSO in der LDB benötigen Sie eine OAuth Client ID und ein OAuth Client Secret von Ihrem Identitätsanbieter (z.B. Microsoft Azure AD, Okta, Google, ...), welche Sie dort für die LDB generieren können.

Nun müssen Sie den OAuth Redirect Link von der LDB https://labordatenbank.com/demo/employees/dooauth auf dem Authentifizierungsserver von Ihrem Identitätsanbieter hinterlegen.

Wir zeigen das nachfolgend anhand von Microsoft Azure AD es sind aber auch andere SSO Provider möglich, die eine Anmeldung mit OAuth 2.0 ermöglichen.

In der Azure Verwaltungsebene kann man den LDB Redirect Link eintragen, dieser wird Ihnen in den LDB-Systemeinstellungen angezeigt und ist spezifisch für die jeweilige Instanz, es können auch mehrere Instanz-Links bei Ihrem Identitätsanbieter hinterlegt werden, zum Beispiel je ein Link zu Ihrem LDB Produktivsystem und Ihrem LDB-Testsystem.

Nach dem Hinzufügen müssen Sie als Nächstes ein neues Client Secret erstellen und die Gültigkeitsdauer definieren.
Wichtig!: Behalten Sie die Gültigkeitsdauer im Auge, sollte der Zeitraum abgelaufen sein, können sich die Nutzer nicht mehr in der LDB anmelden (Sie können sich hierzu auch einen Task in der LDB anlegen).

In der LDB werden nun die OAuth Client ID und das OAuth Client Secret eingegeben.

Jetzt können sich die Nutzer der LDB mit Ihrem SSO Account in der LDB anmelden.

Bei der ersten Anmeldung in der LDB mit SSO kann es sein, dass der Nutzer aufgefordert wird, eine Rückfrage für die Freigabe an den Admin zu stellen. Nach Versendung der Rückfrage wird der Admin des SSO Systems über den Anmeldeversuch informiert und muss die Anmeldung in der LDB einmalig freigeben.

Nutzer, die keinen SSO Account haben, können mit einer Checkbox aus dem SSO Login herausgenommen werden. Dadurch erhalten Sie zusätzlich zum SSO die Möglichkeit, sich ganz normal in der LDB mit Passwort und ggf. 2FA anzumelden.

F&Q zu SSO

Frage: Welche Identitätsanbieter werden von der LDB unterstützt?
Antwort: Wir unterstützen alle gängigen OAuth 2.0 Anbieter wie z.B. Microsoft Entra ID / Azure AD, Okta, Keycloak, Google,...

Frage: Verwendet die LDB AD-Gruppen, oder geht es nur um die Authentifizierung?
Antwort: Die LDB verwendet SSO nur für die Anmeldung (Authentifizierung).

Frage: Welche Parameter werden für die Einrichtung benötigt?
Antwort: 1.) Name des Identitätsanbieters (z.B. Microsoft Azure AD)
2) OAuth Client ID
3) OAuth Client Secret

Frage: Gibt es eine Testinstanz, auf der die Einrichtung im Vorfeld getestet werden kann?
Antwort: Ja, die SSO Anmeldung kann vorab auf Ihrem LDB-Testsystem getestet werden.

Frage: Welche Protokolle unterstützt das LDB SSO System?
Antwort: OAuth 2.0