SSO-FAQ

Single Sign-On für Ihr Cliqer-Team konfigurieren und erzwingen.

Mit SSO meldet sich Ihr Team über Ihren eigenen Identitätsanbieter an. SSO ist Teil des Enterprise-Tarifs bzw. des Enterprise-Add-ons für Presenter, Studio HD, Studio 4K und Studio 8K und wird von Ihrem Team unter Dashboard → Team → Sicherheit (/dash/team/security) konfiguriert. Sie benötigen die Team-Berechtigung Sicherheit verwalten (Inhaber und Admins haben sie standardmäßig).

Welche Anbieter werden unterstützt?

Self-Service-SSO nutzt OpenID Connect (OIDC). Jeder OIDC-Anbieter funktioniert: Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 und andere stellen alle einen OIDC-Endpunkt bereit.

SAML ist verfügbar, aber nur als verwalteter Dienst: Wenden Sie sich an Cliqer, und wir richten es für Ihr Team ein. Über das Self-Service-Formular lassen sich nur OIDC-Anbieter anlegen.

Wie füge ich einen Anbieter hinzu?

Anbieter hinzufügen

Gehen Sie zu Team → Sicherheit → Single Sign-On und klicken Sie auf Anbieter hinzufügen.

Formular ausfüllen

Anzeigename: die Beschriftung der Anmeldeschaltfläche.
Issuer-URL: der OIDC-Issuer Ihres Anbieters. Cliqer ruft die Discovery-Daten automatisch von <issuer>/.well-known/openid-configuration ab.
Client-ID und Client-Secret: aus der Anwendung, die Sie in Ihrem IdP angelegt haben.
Identifier-Claim: welcher Claim dem Cliqer-Konto zugeordnet wird (email, sub oder preferred_username). Standard: email.
Zulässige E-Mail-Domains (optional): beschränkt die Anmeldung auf bestimmte E-Mail-Domains.
Konten automatisch anlegen: legt bei der ersten Anmeldung ein Cliqer-Konto an.

Speichern

Speichern Sie die Einstellungen. Der Anbieter erscheint nun auf der Anmeldeseite.

Wenn Sie einen Anbieter bearbeiten, kann das Feld für das Client-Secret leer bleiben, um das gespeicherte Secret beizubehalten: Es wird Ihnen nie wieder angezeigt.

Welche Redirect-URI konfiguriere ich in meinem IdP?

https://<your-cliqer-host>/sso/<slug>/callback

Der slug wird beim Anlegen des Anbieters generiert. Der Anmeldevorgang beginnt bei /api/auth/sso/<slug>/start und kehrt anschließend zum obigen Callback zurück.

Kann ich mehr als einen Anbieter verwenden?

Ja. Sie können mehrere Anbieter hinzufügen, jeder erhält eine eigene Schaltfläche auf der Anmeldeseite. Mit der Liste zulässiger E-Mail-Domains legen Sie fest, wen jeder Anbieter akzeptiert.

Was bewirkt „SSO erzwingen“?

Wenn Sie SSO erzwingen aktivieren, wird die Anmeldung per Passwort und Passkey für die Mitglieder Ihres Teams serverseitig abgelehnt: Sie müssen einen Ihrer SSO-Anbieter verwenden.

Die Durchsetzung erfolgt an den Login-Endpunkten (/api/auth/login und beim Passkey-Verifizierungsschritt), nicht durch das Ausblenden eines Formulars. Sie lässt sich daher auch durch direkte API-Aufrufe nicht umgehen.
Der Team-Inhaber ist ausgenommen (Break-Glass-Zugang): Der Inhaber kann sich immer mit einem Passwort anmelden, sodass sich eine Organisation niemals selbst aussperren kann.

Fügen Sie mindestens einen funktionierenden Anbieter hinzu und testen Sie ihn, bevor Sie die Erzwingung aktivieren.

Was passiert mit bestehenden Konten?

Mitglieder werden ihrer SSO-Identität anhand des Identifier-Claims zugeordnet (standardmäßig die E-Mail-Adresse). Bestehende Konten behalten ihre Daten und Einstellungen. Ist Konten automatisch anlegen aktiviert, wird für SSO-Nutzer, die sich erstmals anmelden und noch kein passendes Konto haben, automatisch ein Konto angelegt.

Wie deaktiviere ich die Erzwingung?

Schalten Sie SSO erzwingen auf derselben Seite aus. Die Anmeldung per Passwort und Passkey ist sofort wieder verfügbar. Ihre Anbieter bleiben konfiguriert.