Single Sign-On (SAML) - Wave Connect

Verfügbar im Tarif Enterprise. Nur Organisationsinhaber können Identity Provider konfigurieren.

Übersicht

SSO ermöglicht es Ihrem Team, sich über den Identity Provider (IdP) Ihrer Organisation bei Wave Connect anzumelden. Anstatt ein separates Wave Connect-Passwort zu verwalten, authentifizieren sich Benutzer mit denselben Anmeldedaten, die sie für alles andere verwenden. Wave Connect unterstützt SAML 2.0 und OpenID Connect (OIDC) und funktioniert mit jedem standardkonformen Identity Provider, einschließlich Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud und Ping Identity. Sie konfigurieren es selbst unter Einstellungen → Sicherheit → Identitätsanbieter.

So funktioniert es

Je nachdem, ob der Benutzer bereits ein Wave Connect-Konto hat, gibt es zwei Anmeldepfade.

Benutzer können SSO auch direkt über diese URL starten: https://app.wavecnct.com/auth/sso?org=YOUR_ORG_SLUG. Ersetzen Sie YOUR_ORG_SLUG durch Ihren Organisationsbenutzername, den Sie in Ihren Organisationseinstellungen finden. Dieselbe URL wird bei der SAML-Konfiguration als Start-URL angezeigt.

Noch kein Konto: Der Benutzer klickt auf der Wave Connect-Anmeldeseite auf Weiter mit SSO und gibt den Benutzernamen Ihrer Organisation in das Feld Organisationsbenutzername ein. Wave Connect leitet ihn zu Ihrem Identity Provider weiter, er authentifiziert sich, und sein Konto wird bei der ersten Anmeldung automatisch erstellt. Die von Ihrem IdP übermittelte E-Mail muss auf einer der verifizierten Domains Ihrer Organisation liegen, andernfalls wird die Anmeldung abgelehnt. Bestehendes Konto mit erzwungenem SSO: Der Benutzer gibt wie gewohnt seine E-Mail ein. Wave Connect erkennt, dass SSO für seine Organisation erzwungen ist, und leitet ihn zur Authentifizierung zu Ihrem Identity Provider weiter.

Wir empfehlen, Benutzer im Voraus mit SCIM bereitzustellen, damit Konten fertig und dem richtigen Team zugewiesen sind, bevor sich Ihr Team zum ersten Mal anmeldet. Wenn Sie Microsoft Entra ID verwenden, finden Sie in der Entra ID-Anleitung, wie Sie beides in derselben Unternehmensanwendung einrichten.

Über SSO erstellte Konten lesen die Standard-Claims für Vorname, Nachname und E-Mail. Der Standard-Claim name von Microsoft Entra ID, der die E-Mail enthält, wird als E-Mail akzeptiert. Name-Claims können außerdem Telefon, Stadt, Berufsbezeichnung, Sprache und Rolle (USER oder ADMIN) übermitteln.

Einrichtung

SAML

Identitätsanbieter öffnen

Gehen Sie zu Einstellungen → Sicherheit → Identitätsanbieter und klicken Sie neben SAML auf Konfigurieren.

Wave Connect-Details in Ihren IdP kopieren

Der erste Schritt des Modals SAML konfigurieren zeigt die Werte, die Ihr IdP benötigt:

Entitäts-ID: wave-connect
Assertion Consumer Service (ACS) URL: https://app.wavecnct.com/__/auth/handler
Start-URL: https://app.wavecnct.com/auth/sso?org=YOUR_ORG_SLUG

Erstellen Sie in Ihrem Identity Provider eine SAML 2.0-Anwendung für Wave Connect mit diesen Werten. Setzen Sie das Name-ID-Format auf E-Mail-Adresse. Klicken Sie auf Weiter.

Details Ihres IdP eingeben

Kopieren Sie aus der SAML-Anwendung Ihres IdP:

Entitäten-ID: die Identifikator-URI Ihres Identity Providers
SSO-Url: die URL der Anmeldeseite Ihres Identity Providers
x509-Zertifikate: das Signaturzertifikat im PEM-Format, von -----BEGIN CERTIFICATE----- bis -----END CERTIFICATE-----

Speichern und testen

Lassen Sie Erstellen Sie für Ihre Benutzer eine SSO-Anmeldepflicht deaktiviert, klicken Sie auf Speichern und testen Sie mit einem Benutzer über die Start-URL, bevor Sie SSO für alle erzwingen.

Es kann nur ein Identity Provider gleichzeitig konfiguriert werden. Um von SAML zu OIDC oder zu einem anderen IdP zu wechseln, entfernen Sie zuerst den aktuellen Provider. Das Entfernen führt alle Benutzer zur Anmeldung per E-Mail- oder Telefoncode zurück.

OIDC

OIDC-Anwendung in Ihrem IdP erstellen

Registrieren Sie eine Webanwendung für Wave Connect mit der Redirect-URI https://app.wavecnct.com/__/auth/handler. Setzen Sie den Client-Authentifizierungstyp auf Client Secret Basic.

Identitätsanbieter öffnen

Gehen Sie zu Einstellungen → Sicherheit → Identitätsanbieter und klicken Sie neben OpenID Connect auf Konfigurieren.

Details Ihres IdP eingeben

Füllen Sie im Modal OIDC konfigurieren die Felder Client-ID, Client-Secret und Herausgeber (die Issuer-URL Ihres IdP) aus. Belassen Sie Antworttyp auf Code. Der Implicit Flow ist verfügbar, wird aber nicht empfohlen.

Speichern und testen

Lassen Sie Erstellen Sie für Ihre Benutzer eine SSO-Anmeldepflicht deaktiviert, klicken Sie auf Speichern und testen Sie mit einem Benutzer, bevor Sie SSO für alle erzwingen.

SSO erzwingen

Sobald SSO funktioniert, können Sie es verpflichtend machen, sodass sich alle Benutzer über Ihren Identity Provider anmelden müssen. Dadurch wird die Anmeldung per E-Mail- und Telefoncode für Ihre Organisation deaktiviert. Öffnen Sie Einstellungen → Sicherheit → Identitätsanbieter, bearbeiten Sie Ihren Provider, aktivieren Sie Erstellen Sie für Ihre Benutzer eine SSO-Anmeldepflicht und klicken Sie auf Aktualisieren. Bestehende Benutzer, die versuchen, sich mit ihrer E-Mail anzumelden, werden zu Ihrem Identity Provider weitergeleitet.

Stellen Sie sicher, dass sich der Inhaber, der SSO erzwingt, zuerst über den IdP anmelden kann. Sobald SSO erzwungen ist, muss sich jedes Mitglied der Organisation, einschließlich der Inhaber, darüber authentifizieren.