--- title: Single Sign-On mit Microsoft Entra ID description: Verbinden Sie Microsoft Entra ID (Azure AD) per SAML mit Cargo Marshal, verifizieren Sie Ihre E-Mail-Domain und lassen Sie Ihr Team mit seinen Microsoft-Geschäftskonten anmelden. --- Mit Single Sign-On (SSO) melden sich Personen mit einer E-Mail-Adresse Ihrer Unternehmensdomain über Microsoft Entra ID bei Cargo Marshal an. Bei der ersten Anmeldung werden sie Mitglied Ihrer Organisation, sofern ein Platz frei ist. > **Bevor Sie beginnen** > > Sie brauchen den Enterprise-Plan, die Rolle Owner oder Admin in Ihrer > Cargo-Marshal-Organisation, eine Entra-Rolle, die Unternehmensanwendungen > anlegen darf (zum Beispiel Anwendungsadministrator), und Zugriff auf die > DNS-Einstellungen Ihrer Domain. ## Entra ID verbinden 1. ### Cargo-Marshal-Werte kopieren Öffnen Sie in Cargo Marshal **Einstellungen → Single Sign-On** und lassen Sie **SAML** ausgewählt. Kopieren Sie die **ACS-URL** und die **Entity ID**. 2. ### Unternehmensanwendung anlegen Gehen Sie im Microsoft Entra Admin Center zu **Unternehmensanwendungen → Neue Anwendung → Eigene Anwendung erstellen**, nennen Sie sie „Cargo Marshal“ und wählen Sie die Option für Anwendungen außerhalb des Katalogs. Öffnen Sie **Einmaliges Anmelden** und wählen Sie **SAML**. 3. ### Cargo-Marshal-Werte eintragen Bearbeiten Sie die **SAML-Basiskonfiguration**: - **Bezeichner (Entitäts-ID)**: die Entity ID aus Cargo Marshal. - **Antwort-URL (Assertionsverbraucherdienst-URL)**: die ACS-URL aus Cargo Marshal. Setzen Sie unter **Attribute und Ansprüche** den **Eindeutigen Benutzerbezeichner (Namens-ID)** auf `user.mail` mit dem Format **E-Mail-Adresse**, damit Cargo Marshal die geschäftliche E-Mail-Adresse erhält. Lassen Sie in den Signaturoptionen **SAML-Assertion signieren** aktiv; Cargo Marshal lehnt unsignierte Assertions ab. 4. ### Entra-Werte kopieren Laden Sie unter **SAML-Zertifikate** das **Zertifikat (Base64)** herunter. Kopieren Sie im Abschnitt **Cargo Marshal einrichten** die **Anmelde-URL** und den **Microsoft Entra-Bezeichner**. 5. ### In Cargo Marshal verbinden Geben Sie unter **Einstellungen → Single Sign-On** Ihre E-Mail-Domain ein (zum Beispiel `acme.com`). Fügen Sie die **Anmelde-URL** in **Single-Sign-On-URL des IdP**, den **Microsoft Entra-Bezeichner** in **Entity ID des IdP (Issuer)** und den Inhalt der Zertifikatsdatei in **Signaturzertifikat des IdP** ein. Klicken Sie auf **Verbinden**. 6. ### Domain verifizieren Cargo Marshal zeigt einen TXT-Eintrag. Legen Sie ihn bei Ihrem DNS-Anbieter an und klicken Sie dann auf **Domain verifizieren**. DNS-Änderungen können eine Weile dauern. Die Anmeldung per SSO funktioniert, sobald die Domain verifiziert ist. 7. ### Personen zuweisen und anmelden Weisen Sie unter **Benutzer und Gruppen** die Personen oder Gruppen zu, die Cargo Marshal nutzen. Sie melden sich auf der Anmeldeseite von Cargo Marshal mit **Mit SSO anmelden** und ihrer geschäftlichen E-Mail-Adresse an. Entra ID unterstützt auch OpenID Connect. Wählen Sie dafür in Cargo Marshal **OpenID Connect**, registrieren Sie unter **App-Registrierungen** eine Web-App mit der **Redirect-URI**, erstellen Sie ein Client-Secret und tragen Sie `https://login.microsoftonline.com//v2.0` als Issuer sowie Client-ID und Secret der App ein. ## SSO verlangen Sobald die Domain verifiziert ist und Sie sich selbst einmal per SSO angemeldet haben, können Sie **SSO verlangen** einschalten. Alle Personen der Domain außer Ihnen werden abgemeldet und können sich danach nur noch über Entra ID anmelden. Falls Entra ID einmal nicht erreichbar ist, lesen Sie [Notfallzugang bei SSO](/de/guides/sso-break-glass). ## Benutzer per SCIM bereitstellen Mit SCIM fügt Entra ID Personen Ihrer Cargo-Marshal-Organisation hinzu, sobald Sie ihnen die Unternehmensanwendung zuweisen, und entzieht ihnen den Zugang, wenn Sie die Zuweisung aufheben, sie sperren oder löschen. Dafür muss die Domain verifiziert sein. 1. ### Token in Cargo Marshal erzeugen Öffnen Sie **Einstellungen → Single Sign-On** und gehen Sie zu **SCIM-Bereitstellung**. Kopieren Sie die **SCIM-Basis-URL** und klicken Sie auf **Token erzeugen**. Kopieren Sie das Token sofort. Cargo Marshal zeigt es nur einmal an. 2. ### Bereitstellung in Entra ID verbinden Öffnen Sie in der Cargo-Marshal-Unternehmensanwendung **Bereitstellung**, setzen Sie den **Bereitstellungsmodus** auf **Automatisch** und tragen Sie unter **Administratoranmeldeinformationen** ein: - **Mandanten-URL**: die SCIM-Basis-URL aus Cargo Marshal. - **Geheimes Token**: das Token. Klicken Sie auf **Verbindung testen** und speichern Sie. 3. ### Attributzuordnungen prüfen Unter **Zuordnungen → Microsoft Entra ID-Benutzer bereitstellen** muss `userName` die E-Mail-Adresse der Person auf Ihrer verifizierten Domain sein. Entra ordnet ihn standardmäßig aus `userPrincipalName` zu. Wenn Ihre Benutzerprinzipalnamen von den E-Mail-Adressen abweichen, ordnen Sie `userName` stattdessen aus `mail` zu. Setzen Sie dann den **Bereitstellungsstatus** auf **Ein**. Was jede Entra-ID-Aktion in Cargo Marshal bewirkt: - **Anwendung zuweisen**: Entra legt die Person als Mitglied Ihrer Organisation an. Dafür braucht es einen freien Platz. Wer schon per SSO beigetreten ist, wird verknüpft und nicht doppelt angelegt. - **Zuweisung aufheben, Anmeldung sperren oder Person vorläufig löschen**: Cargo Marshal deaktiviert die Person. Sie wird überall abgemeldet, kann sich nicht mehr anmelden, und ihr Platz wird wieder frei. Sie bleibt in der Mitgliederliste. - **Erneut zuweisen oder wiederherstellen**: Die Person kann sich wieder anmelden, wenn ein Platz frei ist. - **Person endgültig löschen**: Cargo Marshal entfernt sie aus Ihrer Organisation und beendet ihre Sitzungen darin. - **Inhaber der Organisation**: Cargo Marshal lehnt es ab, sie zu deaktivieren oder zu entfernen, und der IdP meldet einen Fehler. Übertragen Sie zuerst die Inhaberschaft in Cargo Marshal. Entra stellt in Zyklen von etwa 40 Minuten bereit, Änderungen erscheinen also nicht sofort. Solange SCIM aktiv ist, treten per SSO nur von Entra bereitgestellte und von Ihnen eingeladene Personen bei. Um die Bereitstellung zu beenden, klicken Sie auf **SCIM ausschalten**. Mitglieder behalten ihren Zugang. Ein verlorenes Token ersetzen Sie mit **Token erneuern** und tragen das neue in Entra ein. Das alte Token funktioniert sofort nicht mehr. ## Fehlerbehebung - **„Für diese E-Mail-Domain ist kein Single Sign-On eingerichtet“**: Die Domain ist noch nicht verifiziert oder die E-Mail-Adresse gehört zu einer anderen Domain. - **„Ihre Organisation hat keinen freien Platz“**: Das Mitgliederlimit des Plans ist erreicht. Geben Sie einen Platz frei oder laden Sie die Person ein und melden Sie sich erneut an. Eine eingeladene Person kann immer beitreten. - **„…E-Mail außerhalb der verifizierten Domain“**: Entra hat eine andere E-Mail-Adresse gesendet als die Ihrer Domain, oft den Benutzerprinzipalnamen. Setzen Sie die Namens-ID auf `user.mail`. - **„…wurden noch nicht hinzugefügt“**: SCIM ist aktiv, und Entra hat diese Person nicht bereitgestellt. Weisen Sie ihr die Anwendung zu und warten Sie auf den nächsten Bereitstellungszyklus, oder nutzen Sie **Bedarfsgesteuert bereitstellen**. - **Die Bereitstellungsprotokolle zeigen einen Fehler**: Das Mitgliederlimit des Plans ist erreicht, oder `userName` ist keine E-Mail-Adresse auf Ihrer verifizierten Domain.