Einrichten von Single Sign-On für interne Benutzer

• Sie verbringen weniger Zeit mit der Verwaltung von Kennwörtern.
• Ihre Mitarbeiter sparen Zeit, wenn sie sich nicht manuell bei Salesforce anmelden müssen. Wussten Sie, dass Benutzer zwischen 5 und 20 Sekunden brauchen, um sich bei einer Online-Anwendung anzumelden? Diese Sekunden summieren sich.
• Mehr Benutzer verwenden Salesforce. Benutzer können Links zu Salesforce-Datensätzen und Berichten verschicken, und die Empfänger können diese mit einem einzigen Klick öffnen.
• Sie können den Zugriff auf sensible Informationen von einem zentralen Ort aus steuern.

In dieser Lektion zeigen wir Ihnen, wie Sie die eingehende SSO einrichten, das heißt, Benutzer melden sich woanders an, z. B. bei einer lokalen Anwendung, und greifen dann ohne Anmeldung auf Salesforce zu. Sie können auch die ausgehende SSO konfigurieren, bei der sich Benutzer bei Salesforce anmelden und dann ohne erneute Anmeldung auf andere Services zugreifen. Dieses Thema wird in einem anderem Modul behandelt.

Multi-Faktor-Authentifizierung (MFA) nicht vergessen

Erinnern Sie sich noch an die MFA-Anforderung aus der ersten Lektion? Und ja: Sie gilt auch für SSO-Benutzer. Selbst wenn Ihre Mitarbeiter über eine lokale Anwendung oder einen SSO-Identitätsanbieter auf Salesforce zugreifen, müssen sie zunächst die MFA durchführen.

Wir gehen hier zwar nicht näher darauf ein, wie man MFA auf SSO-Benutzer anwendet, doch keine Sorge, es ist ganz einfach. Um den in Salesforce enthaltenen MFA-Service für Ihre SSO-Einrichtung zu verwenden, lesen Sie bitte den Artikel Verwenden von Salesforce MFA für SSO in der Salesforce-Hilfe. Wenn Ihr SSO-Anbieter einen MFA-Service anbietet, können Sie die MFA auch vorschreiben, wenn sich Ihre Benutzer bei Ihrem Anbieter anmelden (und nicht beim Zugriff auf Salesforce).

Und nein: Verbund-ID hat hier nichts mit einem Sternenverbund zu tun, der im Universum sein Unwesen treibt. "Verbund-ID" ist eigentlich nur ein Begriff, den Identitätsanbieter als Bezeichnung für eine eindeutige Benutzer-ID verwenden.

In der Regel wird eine Verbund-ID beim Einrichten eines Benutzeraccounts zugewiesen. Wenn Sie SSO in Ihrer Produktionsumgebung einrichten, können Sie die Verbund-ID mit Tools wie dem Salesforce Data Loader vielen Benutzern gleichzeitig zuweisen. Richten wir zunächst einen Account für Sia Thripio, die neue Mitarbeiterin von Jedeye Tech ein.

1. Geben Sie in Setup im Feld Schnellsuche den Text Users (Benutzer) ein und wählen Sie dann Benutzer aus.
2. Klicken Sie neben Sias Namen auf Bearbeiten.
3. Geben Sie unter "Single Sign On-Informationen" die Verbund-ID ein: sia@jedeye-tech.com. Tipp: Eine Verbund-ID muss eindeutig für jeden Benutzer innerhalb einer Organisation sein. Aus diesem Grund ist der Benutzername so praktisch. Wenn der Benutzer aber zu mehreren Organisationen gehört, sollten Sie in jeder Organisation dieselbe Verbund-ID für den Benutzer verwenden. 
4. Klicken Sie auf Speichern.

Auf Salesforce-Seite konfigurieren wir SAML-Einstellungen. SAML ist das Protokoll, das Salesforce Identity verwendet, um SSO zu implementieren.

Tipp: Sie werden sowohl in Ihrer Salesforce Dev-Organisation als auch in der Axiom-Anwendung arbeiten. Öffnen Sie die beiden Produkte in separaten Browserfenstern, damit Sie Angaben durch Kopieren und Einfügen zwischen diesen beiden Anwendungen übertragen können.

1. Wechseln Sie in einem neuen Browserfenster zu https://axiomsso.herokuapp.com.
2. Klicken Sie auf SAML Identity Provider & Tester.
3. Klicken Sie auf Download the Identity Provider Certificate. Da Sie dieses Zertifikat später in Ihre Salesforce-Organisation laden werden, sollten Sie sich den Speicherort notieren.
4. Geben Sie in Ihrer Salesforce-Organisation unter Setup im Feld "Schnellsuche" den Text Single ein und wählen Sie dann Single Sign On-Einstellungen aus.
5. Klicken Sie auf Bearbeiten.
6. Wählen Sie SAML aktiviert aus.
7. Klicken Sie auf Speichern.
8. Führen Sie in den SAML Single-Sign-On-Einstellungen folgende Schritte durch:
   1. Klicken Sie auf Neu.
   2. Geben Sie die folgenden Werte ein.
      • Name: Axiom Test App
      • Aussteller: https://axiomsso.herokuapp.com
      • Zertifikat von einem Identitätsanbieter. Wählen Sie die in Schritt 3 heruntergeladene Datei aus.
      • Anforderungssignaturmethode: Wählen Sie RSA-SHA1 aus.
      • SAML-Identitätstyp: Wählen Sie die Option Die Behauptung enthält die Verbund-ID des Benutzerobjekts aus.
      • SAML-Identitäts-Standort: Wählen Sie Die Identität ist das Namenskennzeichner-Element der Betreffanweisung aus.
      • Vom Serviceanbieter initiierte Anforderungsbindung: Wählen Sie HTTP-Umleitung aus.
      • Einheiten-ID: Geben Sie Ihren URL für "Meine Domäne" ein, der auf der Seite "Setup" für "Meine Domäne" Ihrer Organisation angezeigt wird. Achten Sie darauf, dass die Einheiten-ID die Angabe "https" enthält und die Salesforce-Domäne referenziert. Die ID sollte etwa so aussehen: https://mydomain-dev-ed.develop.my.salesforce.com.
9. Klicken Sie auf Speichern und lassen Sie das Browserfenster geöffnet.

Dazu füllen Sie ein paar Felder im folgenden Axiom-Formular aus. Ganz einfach, oder? Da Sie SSO-Einstellungen aus Salesforce angeben, sollten Sie zwei Browserfenster geöffnet haben: eines für Salesforce und eines für Axiom.

1. Kehren Sie zur Axiom-Webanwendung zurück. Falls die Anwendung nicht mehr im Browser geöffnet ist, wechseln Sie zu https://axiomsso.herokuapp.com.
2. Klicken Sie auf SAML Identity Provider & Tester.
3. Klicken Sie auf generate a SAML response.
4. Geben Sie die folgenden Werte ein. Lassen Sie alle anderen Felder unverändert.
   • SAML Version 2.0
   • Username OR Federated ID: Die Verbund-ID von Sias Seite "Salesforce-Benutzer"
   • Aussteller: https://axiomsso.herokuapp.com
   • Recipient URL: Der URL aus der Salesforce-Seite mit SAML Single-Sign-On-Einstellungen. Sie finden ihn nicht? Er befindet sich unten auf der Seite (im Abschnitt Endpunkte) mit der Bezeichnung Anmelde-URL.
   • Einheiten-ID: Die Einheiten-ID von der Salesforce-Seite mit SAML Single-Sign-On-Einstellungen.

Wenn Sie fertig sind, sieht die Axiom-Einstellungsseite in etwa so aus:

1. Klicken Sie im Browserfenster mit Axiom-Einstellungen auf Request SAML Response. (Diese Schaltfläche befindet sich ganz unten.)
2. Axiom generiert die SAML-Behauptung in XML. Sieht dies für Sie wie eine Robotersprache für die Kommunikation mit Luftentfeuchtern in der Wüste aus? Riskieren Sie einen zweiten Blick. Dann sieht das alles gar nicht mehr so schlimm aus. Blättern Sie durch den XML-Code, um zu den interessanten Informationen zu gelangen. 
3. Klicken Sie auf Anmelden.

Wenn alles funktioniert, werden Sie als Sia angemeldet und landen auf Ihrer Salesforce-Startseite. Die Axiom-Anwendung meldet Sie bei Ihrer Salesforce-Organisation als der Benutzer mit der zugewiesenen Verbund-ID an.

Herzlichen Glückwunsch! Sie haben Salesforce SSO für Ihre Benutzer konfiguriert, die aus einer anderen Anwendung auf Salesforce zugreifen. Kommen Sie bitte auf die Bühne und nehmen Sie Ihren Badge in Empfang.

• Salesforce-Hilfe: SAML-SSO-Flows
• Salesforce-Hilfe: Konfigurieren von Salesforce als Serviceanbieter mit SAML Single Sign-on
• Salesforce-Video: Konfigurieren von SAML Single Sign-On mit Salesforce als Identitätsanbieter