SSO (SAML/OIDC) einrichten
Single Sign-On mit SAML 2.0 oder OIDC einrichten — für Azure AD, Okta, Google Workspace und mehr.
Zuletzt aktualisiert: 2026-05-17
SSO (SAML/OIDC) einrichten
Single Sign-On ist im Business- und Enterprise-Plan enthalten. Wir unterstützen SAML 2.0 und OpenID Connect (OIDC).
Voraussetzungen
- Orconic-Plan: Business oder Enterprise
- Rolle Workspace Owner
- Zugriff auf deinen Identity Provider (Azure AD, Okta, Google Workspace, Keycloak, …)
SAML 2.0
Schritt 1 — Orconic-Metadaten holen
Dashboard → Sicherheit → SSO → SAML konfigurieren. Dort findest du:
- ACS URL (Assertion Consumer Service)
- Entity ID / Audience
- Metadata XML zum Download
Schritt 2 — IdP-seitige App anlegen
In deinem IdP legst du eine neue SAML-Anwendung an und trägst die Orconic-Werte ein.
Attribut-Mapping:
NameID → user.email
firstName → user.givenName
lastName → user.surname
groups → user.groups (optional, für Rollen-Mapping)Schritt 3 — IdP-Metadaten in Orconic einspielen
Lade die Metadata-URL oder die XML-Datei deines IdPs in Orconic hoch.
Schritt 4 — Testen
Klicke Testverbindung im Orconic-Dashboard. Du wirst zum IdP geleitet, loggst dich ein und siehst die zurückgegebenen Claims.
OIDC
Alternativ kannst du OIDC verwenden:
Issuer: https://login.example.com
Client ID: (vom IdP generiert)
Client Secret: (vom IdP generiert)
Redirect URI: https://app.orconic.com/auth/oidc/callback
Scopes: openid email profile groupsRollen-Mapping
Du kannst Gruppen aus deinem IdP auf Orconic-Rollen mappen:
admins → Workspace Owner
ops → Admin
support → Member
viewer → Read-onlySind keine Gruppen vorhanden, bekommen neue Nutzer:innen die Default-Rolle, die du im Dashboard festlegst.
SCIM (auf Anfrage)
Für automatisches Provisioning/Deprovisioning über SCIM 2.0: bitte über support@orconic.com anfragen. Enterprise-Plan vorausgesetzt.
Erzwungene Anmeldung
Sobald SSO eingerichtet ist, kannst du Passwort-Login deaktivieren. Alle Workspace-Nutzer:innen müssen sich dann zwingend über den IdP anmelden.
Häufige Probleme
Symptom | Fix
----------------------------------------- | --------------------------
"NameID mismatch" | Mapping auf E-Mail prüfen
"InResponseTo invalid" | Systemzeit beider Seiten checken
"Audience restriction violation" | Entity ID exakt übernehmen