Single Sign-On mit Microsoft Entra ID

Verbinden Sie Microsoft Entra ID (Azure AD) per SAML mit Cargo Marshal, verifizieren Sie Ihre E-Mail-Domain und lassen Sie Ihr Team mit seinen Microsoft-Geschäftskonten anmelden.

Mit Single Sign-On (SSO) melden sich Personen mit einer E-Mail-Adresse Ihrer Unternehmensdomain über Microsoft Entra ID bei Cargo Marshal an. Bei der ersten Anmeldung werden sie Mitglied Ihrer Organisation, sofern ein Platz frei ist.

Entra ID verbinden

Cargo-Marshal-Werte kopieren

Öffnen Sie in Cargo Marshal Einstellungen → Single Sign-On und lassen Sie SAML ausgewählt. Kopieren Sie die ACS-URL und die Entity ID.

Unternehmensanwendung anlegen

Gehen Sie im Microsoft Entra Admin Center zu Unternehmensanwendungen → Neue Anwendung → Eigene Anwendung erstellen, nennen Sie sie „Cargo Marshal“ und wählen Sie die Option für Anwendungen außerhalb des Katalogs. Öffnen Sie Einmaliges Anmelden und wählen Sie SAML.

Cargo-Marshal-Werte eintragen

Bearbeiten Sie die SAML-Basiskonfiguration:

Bezeichner (Entitäts-ID): die Entity ID aus Cargo Marshal.
Antwort-URL (Assertionsverbraucherdienst-URL): die ACS-URL aus Cargo Marshal.

Setzen Sie unter Attribute und Ansprüche den Eindeutigen Benutzerbezeichner (Namens-ID) auf user.mail mit dem Format E-Mail-Adresse, damit Cargo Marshal die geschäftliche E-Mail-Adresse erhält. Lassen Sie in den Signaturoptionen SAML-Assertion signieren aktiv; Cargo Marshal lehnt unsignierte Assertions ab.

Entra-Werte kopieren

Laden Sie unter SAML-Zertifikate das Zertifikat (Base64) herunter. Kopieren Sie im Abschnitt Cargo Marshal einrichten die Anmelde-URL und den Microsoft Entra-Bezeichner.

In Cargo Marshal verbinden

Geben Sie unter Einstellungen → Single Sign-On Ihre E-Mail-Domain ein (zum Beispiel acme.com). Fügen Sie die Anmelde-URL in Single-Sign-On-URL des IdP, den Microsoft Entra-Bezeichner in Entity ID des IdP (Issuer) und den Inhalt der Zertifikatsdatei in Signaturzertifikat des IdP ein. Klicken Sie auf Verbinden.

Domain verifizieren

Cargo Marshal zeigt einen TXT-Eintrag. Legen Sie ihn bei Ihrem DNS-Anbieter an und klicken Sie dann auf Domain verifizieren. DNS-Änderungen können eine Weile dauern. Die Anmeldung per SSO funktioniert, sobald die Domain verifiziert ist.

Personen zuweisen und anmelden

Weisen Sie unter Benutzer und Gruppen die Personen oder Gruppen zu, die Cargo Marshal nutzen. Sie melden sich auf der Anmeldeseite von Cargo Marshal mit Mit SSO anmelden und ihrer geschäftlichen E-Mail-Adresse an.

Entra ID unterstützt auch OpenID Connect. Wählen Sie dafür in Cargo Marshal OpenID Connect, registrieren Sie unter App-Registrierungen eine Web-App mit der Redirect-URI, erstellen Sie ein Client-Secret und tragen Sie https://login.microsoftonline.com/<tenant-id>/v2.0 als Issuer sowie Client-ID und Secret der App ein.

SSO verlangen

Sobald die Domain verifiziert ist und Sie sich selbst einmal per SSO angemeldet haben, können Sie SSO verlangen einschalten. Alle Personen der Domain außer Ihnen werden abgemeldet und können sich danach nur noch über Entra ID anmelden. Falls Entra ID einmal nicht erreichbar ist, lesen Sie Notfallzugang bei SSO.

Benutzer per SCIM bereitstellen

Mit SCIM fügt Entra ID Personen Ihrer Cargo-Marshal-Organisation hinzu, sobald Sie ihnen die Unternehmensanwendung zuweisen, und entzieht ihnen den Zugang, wenn Sie die Zuweisung aufheben, sie sperren oder löschen. Dafür muss die Domain verifiziert sein.

Token in Cargo Marshal erzeugen

Öffnen Sie Einstellungen → Single Sign-On und gehen Sie zu SCIM-Bereitstellung. Kopieren Sie die SCIM-Basis-URL und klicken Sie auf Token erzeugen. Kopieren Sie das Token sofort. Cargo Marshal zeigt es nur einmal an.

Bereitstellung in Entra ID verbinden

Öffnen Sie in der Cargo-Marshal-Unternehmensanwendung Bereitstellung, setzen Sie den Bereitstellungsmodus auf Automatisch und tragen Sie unter Administratoranmeldeinformationen ein:

Mandanten-URL: die SCIM-Basis-URL aus Cargo Marshal.
Geheimes Token: das Token.

Klicken Sie auf Verbindung testen und speichern Sie.

Attributzuordnungen prüfen

Unter Zuordnungen → Microsoft Entra ID-Benutzer bereitstellen muss userName die E-Mail-Adresse der Person auf Ihrer verifizierten Domain sein. Entra ordnet ihn standardmäßig aus userPrincipalName zu. Wenn Ihre Benutzerprinzipalnamen von den E-Mail-Adressen abweichen, ordnen Sie userName stattdessen aus mail zu. Setzen Sie dann den Bereitstellungsstatus auf Ein.

Was jede Entra-ID-Aktion in Cargo Marshal bewirkt:

Anwendung zuweisen: Entra legt die Person als Mitglied Ihrer Organisation an. Dafür braucht es einen freien Platz. Wer schon per SSO beigetreten ist, wird verknüpft und nicht doppelt angelegt.
Zuweisung aufheben, Anmeldung sperren oder Person vorläufig löschen: Cargo Marshal deaktiviert die Person. Sie wird überall abgemeldet, kann sich nicht mehr anmelden, und ihr Platz wird wieder frei. Sie bleibt in der Mitgliederliste.
Erneut zuweisen oder wiederherstellen: Die Person kann sich wieder anmelden, wenn ein Platz frei ist.
Person endgültig löschen: Cargo Marshal entfernt sie aus Ihrer Organisation und beendet ihre Sitzungen darin.
Inhaber der Organisation: Cargo Marshal lehnt es ab, sie zu deaktivieren oder zu entfernen, und der IdP meldet einen Fehler. Übertragen Sie zuerst die Inhaberschaft in Cargo Marshal.

Entra stellt in Zyklen von etwa 40 Minuten bereit, Änderungen erscheinen also nicht sofort. Solange SCIM aktiv ist, treten per SSO nur von Entra bereitgestellte und von Ihnen eingeladene Personen bei. Um die Bereitstellung zu beenden, klicken Sie auf SCIM ausschalten. Mitglieder behalten ihren Zugang. Ein verlorenes Token ersetzen Sie mit Token erneuern und tragen das neue in Entra ein. Das alte Token funktioniert sofort nicht mehr.

Fehlerbehebung

„Für diese E-Mail-Domain ist kein Single Sign-On eingerichtet“: Die Domain ist noch nicht verifiziert oder die E-Mail-Adresse gehört zu einer anderen Domain.
„Ihre Organisation hat keinen freien Platz“: Das Mitgliederlimit des Plans ist erreicht. Geben Sie einen Platz frei oder laden Sie die Person ein und melden Sie sich erneut an. Eine eingeladene Person kann immer beitreten.
„…E-Mail außerhalb der verifizierten Domain“: Entra hat eine andere E-Mail-Adresse gesendet als die Ihrer Domain, oft den Benutzerprinzipalnamen. Setzen Sie die Namens-ID auf user.mail.
„…wurden noch nicht hinzugefügt“: SCIM ist aktiv, und Entra hat diese Person nicht bereitgestellt. Weisen Sie ihr die Anwendung zu und warten Sie auf den nächsten Bereitstellungszyklus, oder nutzen Sie Bedarfsgesteuert bereitstellen.
Die Bereitstellungsprotokolle zeigen einen Fehler: Das Mitgliederlimit des Plans ist erreicht, oder userName ist keine E-Mail-Adresse auf Ihrer verifizierten Domain.