Single Sign-On einrichten

Mit Single Sign-On (SSO) melden sich die Mitglieder eines Workspaces über den Identity Provider Ihres Unternehmens an, zum Beispiel Microsoft Entra ID, Google Workspace, Okta oder Keycloak. ContentMate unterstützt SAML 2.0 und OpenID Connect (OIDC). Dieser Artikel führt Admins durch die Einrichtung in ContentMate und beim Anbieter. Wie sich Mitglieder anmelden, steht unter Mit Single Sign-On anmelden.

Voraussetzungen

• Plan: Das Abo der Inhaberin oder des Inhabers des Workspaces ist Agency. Sonst ist die Karte Single Sign-On (SSO) in den Workspace-Einstellungen gesperrt.
• Rolle: Sie sind Admin des Workspaces. Eigene Rollen können das Recht, SSO zu verwalten, nicht erhalten.
• Frische Anmeldung: Jede Änderung an SSO verlangt eine Anmeldung mit Passwort, die höchstens fünf Minuten zurückliegt. Ist sie älter, zeigt die Karte Erneute Anmeldung nötig mit dem Knopf Mit Passwort neu anmelden.
• Identity Provider: ein Anbieter, der SAML 2.0 oder OpenID Connect beherrscht, und jemand, der dort eine Anwendung anlegen darf.

Ein Workspace hat höchstens einen Identity Provider.

So läuft die Anmeldung

Die Anmeldung beginnt immer bei ContentMate: auf der Anmeldeseite mit Mit SSO anmelden oder über den Anmelde-Link des Workspaces. ContentMate schickt die Person zum Anbieter und nimmt nur Antworten an, die zu dieser Anfrage gehören. Eine Anmeldung, die im Portal des Anbieters startet (IdP-initiiert), lehnt ContentMate ab. Soll eine Kachel im Portal Ihres Unternehmens zu ContentMate führen, hinterlegen Sie dort den Anmelde-Link. Wer die Kachel anklickt, sieht zuerst eine kurze Bestätigungsseite von ContentMate und gelangt mit Weiter zum Identity Provider zur Anmeldung.

Wer Zugang bekommt, entscheiden Sie beim Anbieter. Ist eine Domain nachgewiesen, legt ContentMate für jede Person dieser Domain ein Konto an, die sich beim Anbieter für ContentMate anmelden kann. Geben Sie die Anwendung beim Anbieter deshalb nur den Personen oder Gruppen frei, die den Workspace nutzen sollen.

Schritt 1: Angaben für den Identity Provider kopieren

Öffnen Sie Einstellungen im Workspace und die Karte Single Sign-On (SSO). Unter Angaben für deinen Identity Provider stehen vier Adressen mit Kopierknopf. Sie gelten nur für diesen Workspace und bleiben gleich, auch wenn Sie den Anbieter neu einrichten.

Schritt 2: Anwendung beim Anbieter anlegen

Legen Sie beim Anbieter eine Anwendung für ContentMate an und geben Sie die Personen oder Gruppen frei, die sich anmelden sollen. Die Anleitungen für die verbreiteten Anbieter stehen weiter unten. Für jeden Anbieter gilt:

SAML 2.0

• Die Antwort und die Assertion müssen mit dem Zertifikat des Anbieters signiert sein. Anfragen von ContentMate sind nicht signiert.
• Als NameID nimmt ContentMate die Kennung der Person. Am besten ist eine dauerhafte Kennung, die sich nie ändert und nicht neu vergeben wird (Format persistent). Eine E-Mail-Adresse als NameID geht auch; ändert sich die Adresse, gilt die Person aber als neue Anmeldung.
• Die E-Mail-Adresse muss in einem dieser Attribute stehen: email, mail, emailAddress, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, urn:oid:0.9.2342.19200300.100.1.3 oder urn:oid:1.2.840.113549.1.9.1. Ist die NameID selbst eine Adresse, genügt das.
• Vor- und Nachname sind freiwillig: givenName, firstName oder http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname sowie sn, surname, lastName oder http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname.

OpenID Connect

• Typ: Webanwendung mit Client-Secret (vertraulicher Client), Ablauf mit Autorisierungscode. ContentMate nutzt dabei PKCE und meldet sich am Token-Endpunkt mit Client-ID und Secret per HTTP-Basic an.
• Scopes: openid email profile.
• ContentMate liest die Angaben nur aus dem ID-Token, nicht vom UserInfo-Endpunkt. Die Adresse (email) muss also im ID-Token stehen; Vor- und Nachname (given_name, family_name) sind freiwillig.
• Meldet der Anbieter email_verified als false, legt ContentMate kein Konto an. Sendet er die Angabe nicht, gilt die Adresse als bestätigt.

Schritt 3: Anbieter in ContentMate eintragen

Wählen Sie unter Protokoll SAML 2.0 oder OIDC / OpenID Connect und füllen Sie die Felder aus.

SAML 2.0

OpenID Connect

Klicken Sie auf Speichern. Die Karte zeigt danach Aktiv. Das Protokoll lässt sich später nicht umstellen: Dafür entfernen Sie den Anbieter und richten ihn neu ein.

Schritt 4: Standardrolle wählen

Unter Standard-Rolle legen Sie fest, welche Rolle Personen bekommen, deren Konto beim ersten SSO-Login entsteht. Wählen Sie die Rolle mit den wenigsten Rechten, die für die meisten reicht, und vergeben Sie mehr gezielt in der Mitgliederliste. Neue Konten zählen gegen die Mitgliedergrenze des Plans.

Schritt 5: Domains nachweisen

Neue Konten legt der Identity Provider nur für Adressen nachgewiesener Domains an, und die Anmeldeseite findet den Workspace nur über eine nachgewiesene Domain.

1. Tragen Sie unter Domains Ihre Domain ein, etwa beispiel.de, und klicken Sie auf Domain hinzufügen.
2. ContentMate zeigt einen TXT-Eintrag mit Name _contentmate-verification.beispiel.de und einem Wert contentmate-verification=…. Legen Sie ihn im DNS der Domain an.
3. Klicken Sie auf Prüfen. Die Domain steht danach auf Nachgewiesen.

DNS-Änderungen brauchen meist Minuten, je nach Einstellung des DNS-Anbieters aber bis zu 72 Stunden. Meldet die Prüfung, der Eintrag sei nicht gefunden, versuchen Sie es später erneut. Eine Domain gehört immer nur zu einem Workspace. Den TXT-Eintrag lassen Sie stehen.

Wer schon ein ContentMate-Konto hat, braucht keine nachgewiesene Domain: Diese Personen verknüpfen den Anbieter einmal selbst im Profil.

Schritt 6: Testen

Öffnen Sie den Anmelde-Link für Mitglieder in einem privaten Browserfenster und melden Sie sich mit einem Testkonto an, das in der Anwendung beim Anbieter freigegeben ist. Ein privates Fenster ist wichtig: Eine Anmeldung über den Anbieter ersetzt nicht die Sitzung eines anderen Kontos, und Sie bleiben in Ihrem Hauptfenster mit Passwort angemeldet, falls etwas noch nicht stimmt.

Wie Konten zustande kommen

Eine Anmeldung ist fest an die Kennung gebunden, die der Anbieter sendet (SAML: NameID, OIDC: sub), und öffnet nur diesen Workspace. Wer im Workspace nicht mehr Mitglied ist, kommt auch über den Anbieter nicht hinein.

Wichtig beim Offboarding: ContentMate gleicht keine Benutzer mit dem Anbieter ab. Wer beim Anbieter gesperrt wird, kann sich nicht mehr neu anmelden, bleibt aber in einer laufenden Sitzung angemeldet, bis sie endet: 24 Stunden nach der letzten Nutzung, spätestens 14 Tage nach der Anmeldung. Entfernen Sie ausgeschiedene Personen deshalb zusätzlich aus dem Workspace.

SSO erzwingen

Mit SSO erzwingen erreichen Mitglieder den Workspace nur noch über den Identity Provider. Ihre anderen Workspaces bleiben mit Passwort erreichbar. Die Inhaberin oder der Inhaber behält die Anmeldung mit Passwort, damit ein gestörter Anbieter niemanden aussperrt.

Schalten Sie die Pflicht erst ein, wenn die Anmeldung getestet ist und alle Mitglieder ihr Konto verknüpft haben oder über den Anbieter angelegt wurden. Enthält das Abo der Inhaberin oder des Inhabers kein SSO mehr, gilt die Pflicht nicht.

Wer was ändern darf

Was dem Anbieter vertraut, ändert nur die Inhaberin oder der Inhaber:

• SSO erzwingen einschalten,
• bei SAML die Entity-ID, die Login-URL und das Zertifikat,
• bei OIDC die Aussteller-URL und die Client-ID.

Wer den vertrauten Anbieter steuert, kann jedes verknüpfte Mitglied anmelden. Deshalb sind diese Felder anderen Admins verschlossen. Das Client-Secret, die Standardrolle und die Domains ändern alle Admins.

Schutzfrist für Admins: Entfernt ein Admin ein anderes Mitglied, das Mitglieder verwalten darf, oder nimmt ihm Rechte, wartet die Änderung 48 Stunden. Die betroffene Person erhält eine E-Mail, und die Inhaberin oder der Inhaber kann die Änderung in dieser Zeit zurücknehmen. Was die Inhaberin oder der Inhaber nach einer Anmeldung mit Passwort ändert, gilt sofort.

Zertifikat erneuern

SAML-Zertifikate laufen ab, je nach Anbieter nach einem bis fünf Jahren. ContentMate vertraut immer genau einem Zertifikat des Anbieters. Der Wechsel ist deshalb ein harter Schnitt: Zwischen dem Aktivieren beim Anbieter und dem Speichern in ContentMate schlagen Anmeldungen über den Anbieter fehl. So halten Sie die Lücke kurz:

1. Legen Sie das neue Zertifikat beim Anbieter an, aber aktivieren Sie es noch nicht.
2. Die Inhaberin oder der Inhaber meldet sich in ContentMate mit Passwort an und hält die SSO-Karte offen.
3. Aktivieren Sie das Zertifikat zu einer ruhigen Zeit beim Anbieter und tragen Sie es sofort danach in ContentMate ein.

Bei OIDC wechseln die Signaturschlüssel automatisch. Nur das Client-Secret läuft ab und muss rechtzeitig erneuert werden.

Anbieter entfernen

Anbieter entfernen löst alle verknüpften Anmeldungen bei diesem Anbieter. Konten, die der Anbieter angelegt hat, haben kein Passwort; diese Personen setzen über Passwort vergessen auf der Anmeldeseite ein neues. Die Mitgliedschaften bleiben.

Anleitungen je Anbieter

Die Oberflächen der Anbieter ändern sich gelegentlich; die Bezeichnungen unten entsprechen der englischen Oberfläche im Oktober 2026. „Entity-ID“, „ACS-URL“, „Redirect-URI“ und „Anmelde-Link“ meinen die Angaben aus Schritt 1.

Microsoft Entra ID

SAML

1. Öffnen Sie im Microsoft Entra Admin Center Entra ID → Enterprise apps → All applications → New application → Create your own application, geben Sie einen Namen ein, wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) und klicken Sie auf Create.
2. Öffnen Sie Single sign-on → SAML und unter Basic SAML Configuration Edit. Tragen Sie ein: Identifier (Entity ID) = Entity-ID, Reply URL = ACS-URL, Sign on URL = Anmelde-Link. Mit der Sign on URL startet die Kachel in My Apps über ContentMate; ohne sie würde ContentMate die Anmeldung ablehnen.
3. Unter Attributes & Claims passen die Standard-Claims bereits (…/claims/emailaddress, …/givenname, …/surname). Stellen Sie bei Unique User Identifier (Name ID) das Format Persistent mit der Quelle user.objectid ein. Haben Ihre Konten kein Attribut mail, nehmen Sie für emailaddress die Quelle user.userprincipalname, sofern der UPN die echte Adresse ist.
4. Laden Sie unter SAML Certificates das Certificate (Base64) herunter und tragen Sie unter Notification email eine Adresse ein; Entra warnt dann vor dem Ablauf.
5. Kopieren Sie unter Set up … die Login URL in das Feld Login-URL und den Microsoft Entra Identifier (https://sts.windows.net/<Tenant-ID>/, mit Schrägstrich am Ende) in das Feld Entity-ID von ContentMate. Den Inhalt der Zertifikatsdatei fügen Sie unter Zertifikat (X.509) ein.
6. Stellen Sie unter Properties Assignment required? auf Yes und weisen Sie unter Users and groups die Personen oder Gruppen zu.

OpenID Connect

1. Öffnen Sie Entra ID → App registrations → New registration, wählen Sie bei Supported account types nur Ihren eigenen Mandanten und tragen Sie als Redirect URI mit der Plattform Web die Redirect-URI ein.
2. Auf der Übersicht stehen Application (client) ID (für Client-ID) und Directory (tenant) ID. Die Aussteller-URL ist https://login.microsoftonline.com/<Directory (tenant) ID>/v2.0, mit der ID in GUID-Form, nicht mit Ihrem Domainnamen.
3. Legen Sie unter Certificates & secrets → Client secrets ein neues Secret an und kopieren Sie den Value, nicht die Secret ID. Entra zeigt ihn nur einmal. Notieren Sie das Ablaufdatum.
4. Fügen Sie unter Token configuration → Add optional claim → ID die Claims given_name und family_name hinzu. Die Adresse kommt nur für Konten mit hinterlegter E-Mail-Adresse.
5. Stellen Sie unter Enterprise apps → (Ihre App) → Properties Assignment required? auf Yes und weisen Sie Personen oder Gruppen zu.

Löschen Sie die App-Registrierung nicht und legen Sie sie nicht neu an: Entra vergibt dann neue Kennungen, und alle Verknüpfungen gehen verloren.

Google Workspace

SAML

1. Öffnen Sie als Super-Admin in der Admin Console Apps → Web and mobile apps → Add app → Add custom SAML app und geben Sie einen Namen ein.
2. Unter Google Identity Provider details stehen SSO URL (für Login-URL), Entity ID (für Entity-ID) und das Certificate. Laden Sie das Zertifikat herunter oder kopieren Sie es.
3. Unter Service provider details tragen Sie ACS URL = ACS-URL und Entity ID = Entity-ID ein. Die Start URL bleibt leer. Als Name ID bleibt Basic Information > Primary email.
4. Unter Attribute mapping ordnen Sie Primary email dem Attribut email zu, First name firstName und Last name lastName.
5. Schalten Sie die App unter User access für die passenden Organisationseinheiten oder Gruppen ein. Das kann bis zu 24 Stunden dauern.

Google sendet als Kennung die primäre E-Mail-Adresse. Wird eine Adresse umbenannt oder an eine andere Person neu vergeben, passt die Verknüpfung nicht mehr; entfernen Sie ausgeschiedene Personen deshalb immer auch im Workspace. Testen Sie über den Anmelde-Link: Der Knopf Test SAML login und die Kachel im App-Launcher starten bei Google und funktionieren mit ContentMate nicht.

OpenID Connect

1. Öffnen Sie in der Google Cloud Console ein Projekt Ihrer Organisation, füllen Sie unter Google Auth Platform → Branding die Angaben aus und wählen Sie unter Audience den User type Internal.
2. Legen Sie unter Clients → Create client eine Web application an und tragen Sie unter Authorized redirect URIs die Redirect-URI ein.
3. Kopieren Sie Client-ID und Client-Secret sofort: Google zeigt das Secret nur beim Anlegen.
4. Die Aussteller-URL ist https://accounts.google.com.

Bei OIDC kann sich jede Person Ihrer Organisation anmelden; eine Zuweisung zu einzelnen Personen gibt es nicht. Wählen Sie die Standardrolle entsprechend vorsichtig oder nutzen Sie SAML. Google löscht OAuth-Clients, die sechs Monate nicht benutzt wurden, und kündigt das 30 Tage vorher per E-Mail an.

Okta

SAML

1. Öffnen Sie in der Admin Console Applications → Applications → Create App Integration und wählen Sie SAML 2.0. Haken Sie unter General Settings Do not display application icon to users an; die Kachel würde sonst bei Okta starten.
2. Tragen Sie ein: Single sign-on URL = ACS-URL (mit Use this for Recipient URL and Destination URL), Audience URI (SP Entity ID) = Entity-ID, Name ID format Unspecified. Als Application username empfiehlt sich eine dauerhafte Kennung (Custom mit user.getInternalProperty("id")); Email geht auch.
3. Legen Sie unter Attribute Statements an: email = user.email, firstName = user.firstName, lastName = user.lastName.
4. Prüfen Sie, dass Antwort und Assertion signiert werden (Signed).
5. Unter Sign On → View SAML setup instructions stehen Identity Provider Single Sign-On URL (für Login-URL), Identity Provider Issuer (für Entity-ID) und das X.509 Certificate.
6. Weisen Sie unter Assignments Personen oder Gruppen zu. Für eine Kachel legen Sie eine Bookmark App mit dem Anmelde-Link an.

OpenID Connect

1. Wählen Sie Create App Integration → OIDC – OpenID Connect → Web Application, Grant type Authorization Code, und tragen Sie unter Sign-in redirect URIs die Redirect-URI ein. Begrenzen Sie den Zugriff unter Assignments auf ausgewählte Gruppen.
2. Unter General → Client Credentials stehen Client-ID und Client-Secret.
3. Die Aussteller-URL ist Ihre Okta-Domain, etwa https://ihrefirma.okta.com.

Je nach Einstellung enthält das ID-Token bei Okta nur wenige Angaben und keine E-Mail-Adresse. Weil ContentMate die Adresse aus dem ID-Token liest, können dann keine neuen Konten entstehen. Prüfen Sie die Anmeldung mit einem Testkonto ohne ContentMate-Konto; fehlt die Adresse, nutzen Sie bei Okta SAML. Ist eine Adresse in Okta unbestätigt, lehnt ContentMate die Anmeldung ab.

Keycloak

SAML

1. Legen Sie im Realm unter Clients → Create client einen Client vom Typ SAML an. Die Client ID muss genau die Entity-ID sein.
2. Tragen Sie unter Valid redirect URIs die ACS-URL ein. Stellen Sie Name ID format auf persistent, lassen Sie Force POST binding und Sign documents an und schalten Sie Sign assertions ein. Lassen Sie IDP-Initiated SSO URL name leer.
3. Schalten Sie im Tab Keys Client signature required aus; Anfragen von ContentMate sind nicht signiert.
4. Legen Sie unter Client scopes → (Client)-dedicated → Add mapper → By configuration → User Property drei Mapper an: Property email mit SAML Attribute Name email, ebenso firstName und lastName. Die vordefinierten Mapper X500 email, X500 givenName und X500 surname gehen ebenfalls.
5. Die Login-URL ist https://<host>/realms/<realm>/protocol/saml. Die Entity-ID und das Zertifikat stehen im Deskriptor unter https://<host>/realms/<realm>/protocol/saml/descriptor; das Zertifikat finden Sie auch unter Realm settings → Keys in der RSA-Zeile.

OpenID Connect

1. Legen Sie einen Client vom Typ OpenID Connect an, schalten Sie Client authentication ein, lassen Sie Standard flow an und tragen Sie unter Valid redirect URIs die Redirect-URI ein.
2. Das Secret steht im Tab Credentials. Die Aussteller-URL ist https://<host>/realms/<realm>.

In Keycloak kann sich jede Person des Realms bei jedem Client anmelden; beschränken lässt sich das nur über einen eigenen Anmeldeablauf. Ist bei einer Person Email verified aus, lehnt ContentMate die Anmeldung über OIDC ab. Wer die Realm-Schlüssel rotiert, ändert das SAML-Zertifikat für alle SAML-Clients.

Fehlermeldungen beim Einrichten

Fehlermeldungen bei der Anmeldung selbst erklärt Mit Single Sign-On anmelden.

Häufige Fragen

Kann ein Workspace mehrere Identity Provider haben?

Nein, ein Workspace hat höchstens einen. Mehrere Domains sind möglich.

Funktioniert die Anmeldung aus dem Portal meines Anbieters?

Nur über den Anmelde-Link. Eine Anmeldung, die beim Anbieter startet, lehnt ContentMate ab, weil sie sich keiner Anfrage zuordnen lässt.

Legt ContentMate Benutzer automatisch an oder löscht sie?

Konten entstehen beim ersten SSO-Login, wenn die Domain nachgewiesen ist. Einen Abgleich mit dem Anbieter, etwa per SCIM, gibt es nicht: Entfernen Sie Personen im Workspace selbst.

Sehen Mitglieder über SSO ihre anderen Workspaces?

Nein. Eine Anmeldung über den Anbieter öffnet nur den Workspace dieses Anbieters.

Weiterführende Artikel

• Mit Single Sign-On anmelden
• Workspace-Einstellungen
• Preise & Abonnement