Verbinden Sie Microsoft Azure Active Directory (Azure AD) mit Spendesk über SAML Single Sign-On (SSO). So können sich Ihre Mitarbeitenden mit ihren bestehenden Unternehmensanmeldedaten bei Spendesk anmelden. Diese Anleitung führt Sie durch die Erstellung und Konfiguration der Spendesk-Anwendung in Azure AD.
Für: Kontoinhaber:innen und Azure-Administrator:innen mit Tarifen, in denen SAML-SSO aktiviert ist.
Bevor Sie beginnen
Sie benötigen die Rolle Besitzer für die Unternehmensanwendung in Azure AD, um die Konfiguration abzuschließen. Azure weist diese Rolle automatisch der Person zu, die die Anwendung erstellt.
Spendesk ist in Azure AD nicht als Anwendung aus dem Katalog verfügbar. Sie müssen Spendesk als Anwendung außerhalb des Katalogs (Non-gallery application, also eine benutzerdefinierte Anwendung) hinzufügen.
Für die Anmeldung bei Spendesk benötigt jede mitarbeitende Person in Azure AD eine E-Mail-Adresse, einen Vornamen und einen Nachnamen.
Spendesk unterstützt keine automatische Bereitstellung oder automatische Aufhebung der Bereitstellung (SCIM). Laden Sie daher jede mitarbeitende Person zusätzlich zur Aufnahme in die Azure-Anwendung separat zu Spendesk ein.
Schritt-für-Schritt-Anleitung
Öffnen Sie das Azure-Portal und melden Sie sich als Azure-Administrator:in oder Co-Administrator:in an.
Navigieren Sie zu Azure Active Directory > Unternehmensanwendungen (Enterprise applications).
Klicken Sie auf Neue Anwendung (New application), um eine neue Anwendung zu erstellen.
Klicken Sie auf Eigene Anwendung erstellen (Create your own application). Diese Option wird auch als Hinzufügen einer Anwendung außerhalb des Katalogs (Non-gallery application) bezeichnet.
Geben Sie als Anwendungsnamen Spendesk ein.
Klicken Sie auf Erstellen (Create).
Navigieren Sie im linken Menü zu Single sign-on.
Wählen Sie SAML als Methode für Single Sign-On aus.
Klicken Sie im Bereich Grundlegende SAML-Konfiguration (Basic SAML Configuration) auf Bearbeiten (Edit).
Geben Sie die von Spendesk bereitgestellte URL in das Feld Bezeichner (Identifier / Entity ID) ein.
Geben Sie dieselbe von Spendesk bereitgestellte URL in das Feld Antwort-URL (Reply URL / Assertion Consumer Service URL) ein.
Navigieren Sie zum Bereich Benutzerattribute und Ansprüche (User Attributes & Claims).
Setzen Sie den eindeutigen Benutzerbezeichner (Unique User Identifier / Name ID) auf
user.mail.Überprüfen Sie, ob die folgenden Claims konfiguriert sind:
user.mail,user.givennameunduser.surname.Navigieren Sie zu Benutzer und Gruppen (Users and groups) und fügen Sie alle Mitarbeitenden hinzu, die SAML-SSO-Zugriff benötigen.
Kehren Sie zur Seite Single sign-on zurück und suchen Sie den Bereich SAML-Signaturzertifikat (SAML Signing Certificate).
Laden Sie die Datei Federation Metadata XML herunter.
Senden Sie die Datei Federation Metadata XML an Ihre zuständige Kundenbetreuer:in oder Kontomanager:in bei Spendesk, um die Einrichtung abzuschließen.
Erwartetes Ergebnis
Sobald Ihre zuständige Kundenbetreuer:in bei Spendesk bestätigt, dass die Einrichtung abgeschlossen ist, können sich Ihre Mitarbeitenden über die SAML-SSO-Option auf der Spendesk-Anmeldeseite oder direkt über ihr Azure-AD-Anwendungsdashboard anmelden.
Fehlerbehebung
Symptom: Neue Mitarbeitende können keine Spendesk-Konten erstellen oder SAML übermittelt den falschen Bezeichner, zum Beispiel userPrincipalName statt einer E-Mail-Adresse.
Ursache: Der eindeutige Benutzerbezeichner unter Benutzerattribute und Ansprüche (User Attributes & Claims) ist nicht auf user.mail gesetzt.
Lösung: Navigieren Sie in Azure AD zu Single sign-on > Benutzerattribute und Ansprüche (User Attributes & Claims) und setzen Sie den eindeutigen Benutzerbezeichner auf user.mail. Vergewissern Sie sich außerdem, dass die Claims user.givenname und user.surname vorhanden sind.
Symptom: Eine mitarbeitende Person klickt auf den Spendesk-Einladungslink und landet auf einer Fehlerseite, oder die SAML-SSO-Anmeldung schlägt fehl.
Ursache: Die Person wurde in Azure AD nicht zur Spendesk-Anwendung hinzugefügt.
Lösung: Navigieren Sie zu Unternehmensanwendungen (Enterprise applications) > Spendesk > Benutzer und Gruppen (Users and groups) und weisen Sie die betroffene Person oder deren Gruppe der Anwendung zu.
Symptom: Eine mitarbeitende Person kann sich überhaupt nicht per SAML-SSO anmelden.
Ursache: Im Azure-AD-Profil der Person fehlen eine E-Mail-Adresse, ein Vorname oder ein Nachname.
Lösung: Bitten Sie Ihre:n Azure-Administrator:in, die fehlenden Angaben im Azure-AD-Profil zu ergänzen. Lassen Sie die Person anschließend erneut versuchen, sich anzumelden.
💡 Tipp: Erstellen Sie einen Spendesk-Registrierungslink für neue Mitarbeitende. So können sie sich registrieren, ohne auf eine individuelle Einladung warten zu müssen. Der Registrierungslink funktioniert zusätzlich zu Ihrer SAML-SSO-Einrichtung.
🔒 Zugriff: SAML-SSO ist standardmäßig nicht aktiviert. Wenden Sie sich an Ihre zuständige Kundenbetreuer:in, um SAML-SSO für Ihr Konto aktivieren zu lassen, bevor Sie Azure AD konfigurieren.
⚠️ Warnung: Spendesk unterstützt keine automatische Bereitstellung oder automatische Aufhebung der Bereitstellung (SCIM). Laden Sie daher jede mitarbeitende Person zusätzlich zur Aufnahme in die Azure-Anwendung direkt zu Spendesk ein.