SSO-Integration | Gfacility

Integrationen · Authentifizierung · 1.4

Mit Single Sign-on (SSO) melden sich Mitarbeitende über den Identitätsanbieter Ihrer eigenen Organisation bei Gfacility an, etwa über Microsoft Entra ID (früher Azure AD) oder OneLogin. Ihre IT entscheidet, wer sich anmelden darf und unter welchen Bedingungen. Gfacility unterstützt OpenID Connect und SAML 2.0.

SSO oder „Mit Microsoft anmelden“?

Beide Wege ermöglichen die Anmeldung mit dem geschäftlichen Microsoft-Konto, allerdings über eine jeweils andere App in Ihrem Entra-Mandanten. Wählen Sie einen davon.

	Mit Microsoft anmelden	Single Sign-on (SSO)
Welche App	Die Gfacility-App	Eine App, die Ihre IT selbst anlegt
Einrichtung	Ein Administrator stimmt einmalig über einen Link zu	Die IT legt eine App-Registrierung an, der Gfacility-Administrator trägt die Angaben ein
Wer die App verwaltet	Gfacility	Ihre eigene IT (wer sich anmelden darf, wie lange ein geheimer Schlüssel gültig bleibt)
Ideal für	Schnellen Start mit wenig IT-Aufwand	Organisationen, die die Kontrolle selbst behalten möchten

Sie entscheiden sich für „Mit Microsoft anmelden“? Dann lesen Sie Mit Microsoft anmelden. Dieser Artikel behandelt SSO.

In diesem Artikel finden Sie stets die URLs für Produktion (app.gfacility.com) und UAT/Test (uat.gfacility.com). Verwenden Sie die URL der Umgebung, die Sie gerade einrichten.

1. Konfiguration über OpenID Connect (empfohlen)

OpenID Connect ist am schnellsten eingerichtet. Die Arbeit teilen sich zwei Personen: der IT-Administrator Ihrer Organisation (Schritt A) und der Gfacility-Administrator (Schritt B).

A. In Microsoft Entra ID (IT-Administrator)

Schritt	Was zu tun ist
1	Gehen Sie zu entra.microsoft.com → App-Registrierungen → Neue Registrierung. Geben Sie einen Namen ein (z. B. Gfacility SSO) und wählen Sie Nur Konten in diesem Organisationsverzeichnis.
2	Wählen Sie unter Umleitungs-URI die Plattform Web und tragen Sie ein: PROD: `https://app.gfacility.com/login/sso` UAT: `https://uat.gfacility.com/login/sso` Klicken Sie auf Registrieren.
3	Notieren Sie in der Übersicht die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant).
4	Klicken Sie auf Endpunkte und kopieren Sie den OAuth 2.0-Autorisierungsendpunkt (v2). Er endet auf `/oauth2/v2.0/authorize`.
5	Gehen Sie zu Authentifizierung und aktivieren Sie ID-Token. Klicken Sie auf Speichern.
6	Gehen Sie zu Zertifikate & Geheimnisse → Neuer geheimer Clientschlüssel. Kopieren Sie sofort den Wert (nicht die Geheimnis-ID); er wird nur einmal angezeigt. Notieren Sie das Ablaufdatum.
7	Gehen Sie zu API-Berechtigungen. Prüfen Sie, dass `openid`, `profile` und `User.Read` unter Microsoft Graph (delegiert) aufgeführt sind. Klicken Sie auf Administratorzustimmung für [Organisation] erteilen und bestätigen Sie.
8	Gehen Sie zu Unternehmensanwendungen → [App-Name] → Benutzer und Gruppen und fügen Sie die Mitarbeitenden oder Gruppen hinzu, die sich anmelden dürfen.

B. In Gfacility (Gfacility-Administrator)

Gehen Sie zu Integrationen & Anmeldung → Single Sign-on (SSO) → Identitätsanbieter hinzufügen und wählen Sie Microsoft Entra ID (OpenID). Füllen Sie aus:

Feld in Gfacility	Was Sie eintragen
Authority-URL	Der Autorisierungsendpunkt aus Schritt 4, endet auf `/oauth2/v2.0/authorize`
Redirect-URL	Exakt dieselbe URL wie in Schritt 2
Redirect-URL nach der Abmeldung	Optional, z. B. `https://app.gfacility.com/login`
Scope	Leer lassen (Gfacility verwendet dann `openid profile`)
Tenant-ID	Die Verzeichnis-ID (Mandant) aus Schritt 3
Client-ID	Die Anwendungs-ID (Client) aus Schritt 3
Client-Secret	Der Wert aus Schritt 6

Klicken Sie auf Verbindung testen. Aktivieren Sie Single Sign-on erst für alle, nachdem Sie es mit einer Person getestet haben (siehe unten).

Testen

Öffnen Sie ein neues privates Fenster und rufen Sie https://app.gfacility.com/login/sso?email=name@ihrunternehmen.de auf (bzw. uat. für die Testumgebung). Melden Sie sich mit diesem Konto an. Landen Sie in Gfacility, funktioniert es.

Sie sehen	Ursache und Lösung
„Administratorgenehmigung erforderlich“	Die Administratorzustimmung aus Schritt 7 fehlt. Nennt der Bildschirm die Gfacility-App statt Ihrer eigenen App, läuft die Anmeldung über „Mit Microsoft anmelden“: Verwenden Sie den Link mit `/login/sso`.
Fehler zur Antwort-URL oder Umleitungs-URI	Die Redirect-URL in Gfacility und in Entra stimmt nicht exakt überein. Prüfen Sie `https`, `app` oder `uat` und einen abschließenden `/`.
„not assigned to a role“ oder Ähnliches	Die Person wurde in Schritt 8 nicht hinzugefügt.
Zurück in Gfacility, aber nicht angemeldet	Die E-Mail-Adresse der Person in Gfacility muss mit ihrem Microsoft-Anmeldenamen übereinstimmen.

2. Konfiguration über SAML 2.0

SAML erfordert eine einmalige Einrichtung durch Gfacility. Stimmen Sie deshalb zuerst mit uns ab, welcher Unternehmensname in den URLs verwendet wird. Folgen Sie dann diesen Schritten in Microsoft Entra ID:

Schritt	Was zu tun ist
1	Gehen Sie zu Anwendungen → Unternehmensanwendungen → Übersicht.
2	Öffnen Sie das Azure AD SAML Toolkit. Nicht vorhanden? Klicken Sie auf + Neue Anwendung.
3	Im linken Menü: Einmaliges Anmelden.
4	Klicken Sie neben der SAML-Basiskonfiguration auf Bearbeiten und tragen Sie die URLs ein (siehe unten).
5	Senden Sie uns die Angaben aus Schritt 3 (SAML-Zertifikate) und Schritt 4 (Toolkit).

URLs für Schritt 4

Ersetzen Sie {companyname} durch den Namen, den Sie mit Gfacility abgestimmt haben.

Produktion

Bezeichner (Entitäts-ID): https://app.gfacility.com/api/sso/{companyname}/metadata
Antwort-URL (ACS): https://app.gfacility.com/api/sso/{companyname}/acs
Anmelde-URL: https://app.gfacility.com/login/sso

UAT / Test

Bezeichner (Entitäts-ID): https://uat.gfacility.com/api/sso/{companyname}/metadata
Antwort-URL (ACS): https://uat.gfacility.com/api/sso/{companyname}/acs
Anmelde-URL: https://uat.gfacility.com/login/sso

Was senden Sie an Gfacility?

Schritt 3 (SAML-Zertifikate): die App-Verbundmetadaten-URL.
Schritt 4 (SAML Toolkit): die Anmelde-URL, den Microsoft Entra-Bezeichner und die Abmelde-URL.

Sobald Gfacility die Verbindung eingerichtet hat, fügen Sie in Gfacility unter Integrationen & Anmeldung → Single Sign-on (SSO) einen Identitätsanbieter vom Typ Microsoft Entra ID (SAML) hinzu. Tragen Sie die Anmelde-URL von Entra als Redirect-URL ein.

Hintergrundwissen finden Sie im Microsoft-Artikel zur Konfiguration von SAML in Entra.

Anmelden mit SSO

Endbenutzer wählen im Anmeldebildschirm „Mit SSO anmelden“. Mit einer direkten URL machen Sie es noch einfacher:

Automatische Erkennung

Die Person gibt ihre E-Mail-Adresse einmal ein. Der Browser merkt sie sich für spätere Besuche. Praktisch für einen Link im Intranet.

PROD: https://app.gfacility.com/login/sso?email=auto

UAT: https://uat.gfacility.com/login/sso?email=auto

Spezifische URL

Übergeben Sie die E-Mail-Adresse in der URL (z. B. über Ihr Intranet). Die Person muss nichts eingeben.

PROD: app.gfacility.com/login/sso?email=mail@user.com

UAT: uat.gfacility.com/login/sso?email=mail@user.com

← Zurück: Mit Microsoft anmelden Weiter: E-Mail-Versand einrichten→