SSO für Mentortools einrichten

Mit SSO für Mentortools melden sich deine Mitglieder über den Identitätsanbieter deines Unternehmens in deiner Academy an, zum Beispiel über Microsoft Entra ID, Google Workspace, Okta oder Keycloak. Sie brauchen dann kein eigenes Mentortools-Passwort mehr.

Unterstützt werden OpenID Connect (OIDC), OAuth 2.0 und SAML 2.0.

Verfügbarkeit: SSO für Mentortools ist ab dem Premium-Tarif verfügbar.

Bevor du startest

Du brauchst Zugriff auf die Einstellungen deines Identitätsanbieters oder eine Person aus der IT, die dort eine neue Anwendung (App-Registrierung) anlegen kann. Von dort bekommst du die Werte, die du in Mentortools einträgst.

Ist der Button Provider hinzufügen bei dir ausgegraut oder siehst du einen Upgrade-Hinweis, bist du noch nicht im Premium-Tarif. Dann musst du zuerst upgraden.

Schritt 1: SSO-Einstellungen öffnen

Gehe zu Einstellungen und klicke auf die Kachel SSO für Mentortools.

Auf dieser Seite siehst du:

• SSO-Modus: Hier schaltest du SSO für deine Academy ein oder aus. Der Schalter lässt sich erst nutzen, wenn mindestens ein Anbieter angelegt und aktiviert ist.

• Zusammenfassung der Login-Richtlinien: zeigt dir auf einen Blick, ob Passwort-Login, Registrierung und SSO gerade aktiv sind.

• Identity-Provider: die Liste deiner verbundenen Anbieter.

• Website-Integration (SSO-Button): Code für einen Login-Button auf deiner eigenen Website (siehe Schritt 5).

Schritt 2: Identity-Provider hinzufügen

Klicke bei Identity-Provider auf Provider hinzufügen und wähle das Protokoll, das dein Anbieter unterstützt.

Wenn dein Anbieter mehrere Protokolle kann, ist OpenID Connect (OIDC) meist die einfachste Wahl.

In allen drei Varianten füllst du zuerst die Allgemeinen Einstellungen aus:

• Name: ein Name, an dem du den Anbieter wiedererkennst, z. B. "Firmen-Login Microsoft".

• Provider-Typ: OIDC, OAuth2 oder SAML. Du kannst ihn hier auch noch umstellen.

• Externer Origin: die Adresse deiner Website, falls du den SSO-Button dort einbauen willst (z. B. https://meine-firma.de). Wenn du das nicht vorhast, kannst du das Feld leer lassen.

Schritt 3: Protokoll konfigurieren

Variante A: OpenID Connect (OIDC)

Trage diese Werte aus deinem Identitätsanbieter ein:

• Client-ID

• Client-Secret

• Well-known URL: die Konfigurationsadresse deines Anbieters. Sie endet in der Regel auf /.well-known/openid-configuration.

Unter Sicherheit kannst du PKCE aktivieren. Das ist ein zusätzlicher Schutz beim Login. Schalte ihn ein, wenn dein Anbieter PKCE unterstützt oder verlangt.

Variante B: OAuth 2.0

Bei OAuth 2.0 gibt es keine Well-known URL. Du trägst die Adressen deshalb einzeln ein:

• Client-ID und Client-Secret

• Autorisierungsendpunkt, z. B. https://beispiel.de/oauth2/authorize

• Tokenendpunkt, z. B. https://beispiel.de/oauth2/token

• UserInfo-Endpunkt, z. B. https://beispiel.de/oauth2/userinfo

Auch hier kannst du PKCE aktivieren.

Variante C: SAML 2.0

Unter SAML 2.0-Konfiguration trägst du ein:

• IdP Entity ID: die eindeutige Kennung deines Anbieters, oft die Metadaten-Adresse.

• SSO-URL: die Adresse, an die Mentortools die Anmeldung schickt.

• Signaturzertifikat (PEM): das öffentliche Zertifikat deines Anbieters, inklusive der Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----.

• SLO-URL (optional): für die Abmeldung über alle Anwendungen hinweg.

Weiter unten findest du Bindings & Sicherheit und Benutzer-Mapping (Erweitert):

• Post Binding AuthN Request / Response / Logout: Aktiviere diese Optionen, wenn dein Anbieter HTTP-POST statt Redirect erwartet.

• Signierte Assertions anfordern, Signatur validieren und Signierte AuthN-Anfragen anfordern sind standardmäßig eingeschaltet. Lass sie an, solange dein Anbieter nichts anderes verlangt.

• Signaturalgorithmus: standardmäßig RSA-SHA256.

• NameID-Policy-Format: nur ausfüllen, wenn dein Anbieter ein bestimmtes Format vorgibt.

• Principal-Typ und Principal-Attribut: legen fest, woran ein Mitglied erkannt wird. Standard ist SUBJECT. Ändere das nur, wenn deine IT es so vorgibt.

Klicke zum Schluss auf Speichern.

Schritt 4: SSO aktivieren

Aktiviere zuerst deinen neuen Provider in der Liste unter Identity-Provider. Solange kein Provider aktiv ist, lässt sich SSO nicht einschalten.

Danach schaltest du oben unter SSO-Modus den Schalter SSO aktivieren ein. In der Zusammenfassung der Login-Richtlinien steht dann bei Passwort-Login und Registrierung "Deaktiviert" und bei SSO "Aktiviert".

Wichtig: Mit aktivem SSO können sich Mitglieder nicht mehr selbst registrieren und nicht mehr mit Passwort anmelden. Der Login läuft dann nur noch über deinen Identitätsanbieter.

Tipp: Teste die Anmeldung mit einem Testnutzer aus deinem Identitätsanbieter. Er sollte zum Identitätsanbieter weitergeleitet werden, sich dort anmelden und danach in der Academy landen.

Schritt 5 (optional): SSO-Button auf deiner Website

Wenn deine Mitglieder den Login direkt auf deiner eigenen Website starten sollen, nutze die Website-Integration (SSO-Button).

So funktioniert es:

1. Lege vorher einen Identity-Provider an und aktiviere ihn.

2. Trage beim Provider im Feld Externer Origin die Adresse deiner Website ein.

3. Baue auf deiner Website ein Formular oder einen Button ein, der per POST an die angezeigte Login-Endpunkt-URL sendet und das Feld sso_settings_id mitschickt.

4. Der Origin der Anfrage muss genau mit dem Externen Origin aus Schritt 2 übereinstimmen.

Fertige Codebeispiele findest du direkt auf der Seite, einmal als HTML-Formular und einmal als JavaScript (Fetch). Kopiere sie und ersetze YOUR_SSO_SETTINGS_ID durch die ID deines Providers.

Häufige Probleme

• Provider hinzufügen ist ausgegraut: Dein Tarif enthält SSO nicht. SSO gibt es ab dem Premium-Tarif.

• SSO aktivieren bleibt ausgegraut: Lege mindestens einen Provider an und aktiviere ihn.

• Fehler bei der Well-known URL: Öffne die URL im Browser. Sie muss ein JSON-Dokument anzeigen.

• Die Weiterleitung klappt, der Login schlägt aber fehl: Prüfe im Identitätsanbieter Redirect-URL, Client-ID, Client-Secret und die erlaubten Domains.

• PKCE-Fehler: Stelle PKCE in Mentortools so ein, wie dein Identitätsanbieter es für diesen Client vorgibt.

Sicherheitshinweise

• Teile das Client-Secret nie in Screenshots, Tickets oder Chat-Nachrichten.

• Nutze für den Externen Origin und den Provider nur HTTPS-Adressen.

• Erlaube im Identitätsanbieter nur die Redirect-URLs, die du wirklich brauchst.