Sie können Benutzer in Kontainer über SSO einrichten, um eine sichere und nahtlose Erfahrung für Ihre internen Benutzer zu schaffen.

Wir haben eine Standardkonfiguration für Microsoft Entra ID, ADFS und Google. Kontaktieren Sie uns für andere Setups.

Wir erstellen ein „Trust“ zwischen Ihren Active Directory-Gruppen (verwaltet von Ihrer IT) und Kontainer. Das bedeutet, dass der Benutzer automatisch erstellt und beim ersten Login den vordefinierten Gruppen zugewiesen wird.

Wie jede andere Gruppe in Kontainer können Sie jederzeit die Zugriffseinstellungen ändern und verwalten.

Sie können einzelnen Benutzern auch zusätzliche Rechte zuweisen, die über die Grundberechtigungen hinausgehen, die sie durch ihre Gruppenmitgliedschaft erhalten.

Um Ihre Benutzerliste überschaubar zu halten, können Sie Regeln festlegen, die Benutzer deaktivieren oder löschen, die sich für einen bestimmten Zeitraum nicht angemeldet haben – z. B. 2, 4 oder 6 Monate. Wenn sich ein Benutzer nach der automatischen Löschung erneut anmeldet, wird sein Benutzerkonto einfach reaktiviert.

Neben SSO-Benutzern können Sie weitere Benutzer und Gruppen manuell hinzufügen

Auf der Kontainer-Integrationsseite finden Sie weitere Informationen zu Anwendungsfällen, Vorteilen usw. Die SSO-Funktionen umfassen unter anderem Azure/Entra ID, Okta SSO und Google SSO.

Im Folgenden führen wir Sie durch die Einrichtung einer Microsoft Entra ID SSO-Verbindung zu Kontainer:

 

 

Azure/Entra ID App-Registrierung

 

 

Schritt 1: Ressource erstellen

Klicken Sie auf der Startseite der Entra ID-Dienste auf „Entra ID Active Directory“

 

 

 

Schritt 2: App registrieren

Klicken Sie im rechten Menü auf „App registrations“

 

 

Neue Registrierung

Klicken Sie oben auf „New registration“

 

 

Details ausfüllen

 

 

 

 

Schritt 3: Authentifizieren

Klicken Sie auf „Authentication“ und „Redirect URI configuration“ und füllen Sie die Details aus:

Klicken Sie auf „Save“

Klicken Sie auf „Authentication“ und „Settings“ und füllen Sie die Details aus:

Kreuzen Sie das Kästchen an:

  • „ID tokens“

Klicken Sie auf „Save“

 

 

 

Schritt 4: Zertifikat und Geheimnis

Klicken Sie auf „Certificates and secrets“ und dann auf „New client secret“.

Füllen Sie aus:

  • Beschreibung: Kontainer

Setzen Sie "Expires" auf „720 days“

HINWEIS: Notieren Sie sich das Geheimnis.

 

 

 

 

Schritt 5: Token-Konfiguration

Klicken Sie auf „Token configuration“ und dann auf „Add optional claim“.

Wählen Sie „ID“ und kreuzen Sie an:

  • „email“
  • „upn“

Klicken Sie auf „Add“.

 

 

 

 

Schritt 6: Gruppen-Claim bearbeiten

Klicken Sie auf "Add groups claim" und kreuzen Sie an:

  • "Security groups"
  • "ID"

Und dann ankreuzen:

  • "Group ID"

 

 

 

 

Schritt 7: API-Berechtigungen

Gehen Sie zu "API permissions" und klicken Sie auf "Add a permission".

Wählen Sie "Microsoft Graph" und klicken Sie auf „Delegated permissions“

 

 

 

OpenID-Berechtigungen

Scrollen Sie zu OpenID-Berechtigungen und kreuzen Sie “email” und “profile” an

Application-Berechtigungen

Scrollen Sie zu "Application" und kreuzen Sie “Application.Read.All” an

GroupMember

Scrollen Sie zu „GroupMember“ und kreuzen Sie an:

  • „GroupMember.Read.All“

 

 

 

Schritt 8: Berechtigungen prüfen

Die Berechtigungen sollten nun wie unten angezeigt sein.

Möglicherweise benötigt ein Administrator die Zustimmung zu den Berechtigungen.

 

 

 

 

Schritt 9: Details an Kontainer Support senden

Gehen Sie zu „Overview“, wo Sie die untenstehenden Details finden, um sie an Ihren Kontainer-Kontakt oder support@kontainer.com zu senden:

  • „Application (Client) ID“
  • „Directory (Tenant) ID“

HINWEIS: Senden Sie das gespeicherte Geheimnis auf sichere Weise.

 

 

 

Client Secret in Kontainer verwalten

Sobald Ihre SSO-Verbindung eingerichtet ist, können Administratoren das Client Secret erneuern und die Administratorgruppe direkt in Kontainer festlegen – ohne den Support zu kontaktieren.

Gehen Sie zu Einstellungen → Konfigurierung → SSO (https://xxx.kontainer.com/settings/sso, xxx durch die Kontainer Client-ID ersetzen).

Die SSO-Seite in Kontainer mit dem Entra ID-Anbieter, dem Feld Administratorgruppe, dem Ablaufdatum des aktuellen Secrets sowie Feldern für ein neues Client Secret und dessen Ablaufdatum.

 

Client Secret erneuern

Das Client Secret, das Sie in Schritt 4 in Entra ID erstellt haben, läuft ab (nach 720 Tagen, wenn Sie der Anleitung gefolgt sind). Auf der SSO-Seite sehen Sie, wann das aktuelle Secret abläuft, sodass Sie es rechtzeitig erneuern können, bevor sich Ihre Benutzer nicht mehr anmelden können.

  1. Gehen Sie in Entra ID zu „Certificates and secrets“ und erstellen Sie ein „New client secret“, genau wie in Schritt 4. Kopieren Sie den Wert.
  2. Fügen Sie den Wert in Kontainer im Feld „Neues Client Secret“ ein.
  3. Wählen Sie unter „Neues Secret läuft ab am“ das Ablaufdatum, das Sie in Entra ID gewählt haben. Das Datum ist ein Pflichtfeld, sobald Sie ein neues Secret eingeben, und muss in der Zukunft liegen.
  4. Klicken Sie auf „Speichern“.

Das neue Secret ersetzt das alte, sobald Sie speichern. Wenn Sie „Neues Client Secret“ leer lassen, bleibt das aktuelle Secret erhalten.

HINWEIS: Löschen Sie das alte Secret in Entra ID erst, nachdem Sie das neue in Kontainer gespeichert haben. So können sich Ihre Benutzer ohne Unterbrechung weiter anmelden.

 

Administratorgruppe festlegen

Mitglieder der unter „Administratorgruppe“ ausgewählten Gruppe werden Administratoren in Kontainer, wenn sie sich über SSO anmelden.

Nur SSO-Gruppen – also Gruppen, die mit einer Gruppe in Entra ID verknüpft sind – können ausgewählt werden. Hat die aktuelle Administratorgruppe keinen SSO-Gruppennamen, wird bei der SSO-Anmeldung niemand Administrator, und ein Hinweis unter dem Feld weist Sie darauf hin. Wählen Sie eine SSO-Gruppe und klicken Sie auf „Speichern“, um das zu beheben.

HINWEIS: Steht auf der SSO-Seite „Wenden Sie sich an den Kontainer-Support, um diesen Anbieter zu ändern.“, wird Ihr SSO-Anbieter von Kontainer verwaltet. Senden Sie Ihre Änderungswünsche an Ihren Kontainer-Kontakt oder support@kontainer.com.