Single Sign-On mit Okta

Verbinden Sie Okta per SAML mit Cargo Marshal, verifizieren Sie Ihre E-Mail-Domain und lassen Sie Ihr Team mit seinen Okta-Konten anmelden.

Mit Single Sign-On (SSO) melden sich Personen mit einer E-Mail-Adresse Ihrer Unternehmensdomain über Okta bei Cargo Marshal an. Bei der ersten Anmeldung werden sie Mitglied Ihrer Organisation, sofern ein Platz frei ist.

Okta verbinden

Cargo-Marshal-Werte kopieren

Öffnen Sie in Cargo Marshal Einstellungen → Single Sign-On und lassen Sie SAML ausgewählt. Kopieren Sie die ACS-URL und die Entity ID.

App in Okta anlegen

Gehen Sie in der Okta Admin Console zu Applications → Applications → Create App Integration, wählen Sie SAML 2.0 und nennen Sie die App „Cargo Marshal“. Unter Configure SAML:

Single sign-on URL: die ACS-URL aus Cargo Marshal.
Audience URI (SP Entity ID): die Entity ID aus Cargo Marshal.
Name ID format: EmailAddress.
Application username: Email.

Okta signiert die Assertion standardmäßig; lassen Sie das so. Cargo Marshal lehnt unsignierte Assertions ab.

Okta-Werte kopieren

Öffnen Sie den Tab Sign On der App und die SAML-Einrichtungsanleitung. Kopieren Sie die Identity Provider Single Sign-On URL, den Identity Provider Issuer und das X.509 Certificate.

In Cargo Marshal verbinden

Geben Sie unter Einstellungen → Single Sign-On Ihre E-Mail-Domain ein (zum Beispiel acme.com), fügen Sie die drei Okta-Werte in Single-Sign-On-URL des IdP, Entity ID des IdP (Issuer) und Signaturzertifikat des IdP ein und klicken Sie auf Verbinden.

Domain verifizieren

Cargo Marshal zeigt einen TXT-Eintrag. Legen Sie ihn bei Ihrem DNS-Anbieter an und klicken Sie dann auf Domain verifizieren. DNS-Änderungen können eine Weile dauern. Die Anmeldung per SSO funktioniert, sobald die Domain verifiziert ist.

Personen zuweisen und anmelden

Weisen Sie die App in Okta den Personen oder Gruppen zu, die Cargo Marshal nutzen. Sie melden sich auf der Anmeldeseite von Cargo Marshal mit Mit SSO anmelden und ihrer geschäftlichen E-Mail-Adresse an.

Okta unterstützt auch OpenID Connect. Wählen Sie dafür in Cargo Marshal OpenID Connect, legen Sie in Okta eine OIDC-Web-App mit der Redirect-URI als Sign-in Redirect URI an und tragen Sie Ihre Okta-URL als Issuer sowie Client-ID und Client-Secret der App ein.

SSO verlangen

Sobald die Domain verifiziert ist und Sie sich selbst einmal per SSO angemeldet haben, können Sie SSO verlangen einschalten. Alle Personen der Domain außer Ihnen werden abgemeldet und können sich danach nur noch über Okta anmelden. Falls Okta einmal nicht erreichbar ist, lesen Sie Notfallzugang bei SSO.

Benutzer per SCIM bereitstellen

Mit SCIM fügt Okta Personen Ihrer Cargo-Marshal-Organisation hinzu, sobald Sie ihnen die App zuweisen, und entzieht ihnen den Zugang, wenn Sie die Zuweisung aufheben oder sie deaktivieren. Dafür muss die Domain verifiziert sein.

Token in Cargo Marshal erzeugen

Öffnen Sie Einstellungen → Single Sign-On und gehen Sie zu SCIM-Bereitstellung. Kopieren Sie die SCIM-Basis-URL und klicken Sie auf Token erzeugen. Kopieren Sie das Token sofort. Cargo Marshal zeigt es nur einmal an.

Bereitstellung in Okta einschalten

Öffnen Sie in Okta die Cargo-Marshal-App, klicken Sie im Tab General unter App Settings auf Edit, wählen Sie SCIM als Bereitstellungsmethode und speichern Sie. Tragen Sie im neuen Tab Provisioning unter Integration ein:

SCIM connector base URL: die SCIM-Basis-URL aus Cargo Marshal.
Unique identifier field for users: userName.
Supported provisioning actions: Push New Users und Push Profile Updates.
Authentication Mode: HTTP Header, mit dem Token als Bearer-Token.

Klicken Sie auf Test Connector Configuration und speichern Sie.

Festlegen, was Okta tut

Aktivieren Sie unter Provisioning → To App die Optionen Create Users, Update User Attributes und Deactivate Users. Der Okta-Benutzername muss die E-Mail-Adresse der Person auf Ihrer verifizierten Domain sein.

Was jede Okta-Aktion in Cargo Marshal bewirkt:

App zuweisen: Okta legt die Person als Mitglied Ihrer Organisation an. Dafür braucht es einen freien Platz. Wer schon per SSO beigetreten ist, wird verknüpft und nicht doppelt angelegt.
Zuweisung aufheben oder Person deaktivieren: Cargo Marshal deaktiviert die Person. Sie wird überall abgemeldet, kann sich nicht mehr anmelden, und ihr Platz wird wieder frei. Sie bleibt in der Mitgliederliste.
Erneut zuweisen oder reaktivieren: Die Person kann sich wieder anmelden, wenn ein Platz frei ist.
Inhaber der Organisation: Cargo Marshal lehnt es ab, sie zu deaktivieren oder zu entfernen, und der IdP meldet einen Fehler. Übertragen Sie zuerst die Inhaberschaft in Cargo Marshal.

Solange SCIM aktiv ist, treten per SSO nur von Okta bereitgestellte und von Ihnen eingeladene Personen bei. Um die Bereitstellung zu beenden, klicken Sie auf SCIM ausschalten. Mitglieder behalten ihren Zugang. Ein verlorenes Token ersetzen Sie mit Token erneuern und tragen das neue in Okta ein. Das alte Token funktioniert sofort nicht mehr.

Fehlerbehebung

„Für diese E-Mail-Domain ist kein Single Sign-On eingerichtet“: Die Domain ist noch nicht verifiziert oder die E-Mail-Adresse gehört zu einer anderen Domain.
„Ihre Organisation hat keinen freien Platz“: Das Mitgliederlimit des Plans ist erreicht. Geben Sie einen Platz frei oder laden Sie die Person ein und melden Sie sich erneut an. Eine eingeladene Person kann immer beitreten.
„…E-Mail außerhalb der verifizierten Domain“: Okta hat eine andere E-Mail-Adresse gesendet als die Ihrer Domain. Prüfen Sie Application username und das Name-ID-Format.
„…wurden noch nicht hinzugefügt“: SCIM ist aktiv, und Okta hat diese Person nicht bereitgestellt. Weisen Sie ihr die App in Okta zu.
Okta meldet einen Fehler beim Übertragen einer Person: Das Mitgliederlimit des Plans ist erreicht, oder der Benutzername ist keine E-Mail-Adresse auf Ihrer verifizierten Domain.