--- title: Single Sign-On mit Okta description: Verbinden Sie Okta per SAML mit Cargo Marshal, verifizieren Sie Ihre E-Mail-Domain und lassen Sie Ihr Team mit seinen Okta-Konten anmelden. --- Mit Single Sign-On (SSO) melden sich Personen mit einer E-Mail-Adresse Ihrer Unternehmensdomain über Okta bei Cargo Marshal an. Bei der ersten Anmeldung werden sie Mitglied Ihrer Organisation, sofern ein Platz frei ist. > **Bevor Sie beginnen** > > Sie brauchen den Enterprise-Plan, die Rolle Owner oder Admin in Ihrer > Cargo-Marshal-Organisation, ein Okta-Administratorkonto und Zugriff auf die > DNS-Einstellungen Ihrer Domain. ## Okta verbinden 1. ### Cargo-Marshal-Werte kopieren Öffnen Sie in Cargo Marshal **Einstellungen → Single Sign-On** und lassen Sie **SAML** ausgewählt. Kopieren Sie die **ACS-URL** und die **Entity ID**. 2. ### App in Okta anlegen Gehen Sie in der Okta Admin Console zu **Applications → Applications → Create App Integration**, wählen Sie **SAML 2.0** und nennen Sie die App „Cargo Marshal“. Unter **Configure SAML**: - **Single sign-on URL**: die ACS-URL aus Cargo Marshal. - **Audience URI (SP Entity ID)**: die Entity ID aus Cargo Marshal. - **Name ID format**: EmailAddress. - **Application username**: Email. Okta signiert die Assertion standardmäßig; lassen Sie das so. Cargo Marshal lehnt unsignierte Assertions ab. 3. ### Okta-Werte kopieren Öffnen Sie den Tab **Sign On** der App und die SAML-Einrichtungsanleitung. Kopieren Sie die **Identity Provider Single Sign-On URL**, den **Identity Provider Issuer** und das **X.509 Certificate**. 4. ### In Cargo Marshal verbinden Geben Sie unter **Einstellungen → Single Sign-On** Ihre E-Mail-Domain ein (zum Beispiel `acme.com`), fügen Sie die drei Okta-Werte in **Single-Sign-On-URL des IdP**, **Entity ID des IdP (Issuer)** und **Signaturzertifikat des IdP** ein und klicken Sie auf **Verbinden**. 5. ### Domain verifizieren Cargo Marshal zeigt einen TXT-Eintrag. Legen Sie ihn bei Ihrem DNS-Anbieter an und klicken Sie dann auf **Domain verifizieren**. DNS-Änderungen können eine Weile dauern. Die Anmeldung per SSO funktioniert, sobald die Domain verifiziert ist. 6. ### Personen zuweisen und anmelden Weisen Sie die App in Okta den Personen oder Gruppen zu, die Cargo Marshal nutzen. Sie melden sich auf der Anmeldeseite von Cargo Marshal mit **Mit SSO anmelden** und ihrer geschäftlichen E-Mail-Adresse an. Okta unterstützt auch OpenID Connect. Wählen Sie dafür in Cargo Marshal **OpenID Connect**, legen Sie in Okta eine OIDC-Web-App mit der **Redirect-URI** als Sign-in Redirect URI an und tragen Sie Ihre Okta-URL als Issuer sowie Client-ID und Client-Secret der App ein. ## SSO verlangen Sobald die Domain verifiziert ist und Sie sich selbst einmal per SSO angemeldet haben, können Sie **SSO verlangen** einschalten. Alle Personen der Domain außer Ihnen werden abgemeldet und können sich danach nur noch über Okta anmelden. Falls Okta einmal nicht erreichbar ist, lesen Sie [Notfallzugang bei SSO](/de/guides/sso-break-glass). ## Benutzer per SCIM bereitstellen Mit SCIM fügt Okta Personen Ihrer Cargo-Marshal-Organisation hinzu, sobald Sie ihnen die App zuweisen, und entzieht ihnen den Zugang, wenn Sie die Zuweisung aufheben oder sie deaktivieren. Dafür muss die Domain verifiziert sein. 1. ### Token in Cargo Marshal erzeugen Öffnen Sie **Einstellungen → Single Sign-On** und gehen Sie zu **SCIM-Bereitstellung**. Kopieren Sie die **SCIM-Basis-URL** und klicken Sie auf **Token erzeugen**. Kopieren Sie das Token sofort. Cargo Marshal zeigt es nur einmal an. 2. ### Bereitstellung in Okta einschalten Öffnen Sie in Okta die Cargo-Marshal-App, klicken Sie im Tab **General** unter **App Settings** auf **Edit**, wählen Sie **SCIM** als Bereitstellungsmethode und speichern Sie. Tragen Sie im neuen Tab **Provisioning** unter **Integration** ein: - **SCIM connector base URL**: die SCIM-Basis-URL aus Cargo Marshal. - **Unique identifier field for users**: `userName`. - **Supported provisioning actions**: **Push New Users** und **Push Profile Updates**. - **Authentication Mode**: **HTTP Header**, mit dem Token als Bearer-Token. Klicken Sie auf **Test Connector Configuration** und speichern Sie. 3. ### Festlegen, was Okta tut Aktivieren Sie unter **Provisioning → To App** die Optionen **Create Users**, **Update User Attributes** und **Deactivate Users**. Der Okta-Benutzername muss die E-Mail-Adresse der Person auf Ihrer verifizierten Domain sein. Was jede Okta-Aktion in Cargo Marshal bewirkt: - **App zuweisen**: Okta legt die Person als Mitglied Ihrer Organisation an. Dafür braucht es einen freien Platz. Wer schon per SSO beigetreten ist, wird verknüpft und nicht doppelt angelegt. - **Zuweisung aufheben oder Person deaktivieren**: Cargo Marshal deaktiviert die Person. Sie wird überall abgemeldet, kann sich nicht mehr anmelden, und ihr Platz wird wieder frei. Sie bleibt in der Mitgliederliste. - **Erneut zuweisen oder reaktivieren**: Die Person kann sich wieder anmelden, wenn ein Platz frei ist. - **Inhaber der Organisation**: Cargo Marshal lehnt es ab, sie zu deaktivieren oder zu entfernen, und der IdP meldet einen Fehler. Übertragen Sie zuerst die Inhaberschaft in Cargo Marshal. Solange SCIM aktiv ist, treten per SSO nur von Okta bereitgestellte und von Ihnen eingeladene Personen bei. Um die Bereitstellung zu beenden, klicken Sie auf **SCIM ausschalten**. Mitglieder behalten ihren Zugang. Ein verlorenes Token ersetzen Sie mit **Token erneuern** und tragen das neue in Okta ein. Das alte Token funktioniert sofort nicht mehr. ## Fehlerbehebung - **„Für diese E-Mail-Domain ist kein Single Sign-On eingerichtet“**: Die Domain ist noch nicht verifiziert oder die E-Mail-Adresse gehört zu einer anderen Domain. - **„Ihre Organisation hat keinen freien Platz“**: Das Mitgliederlimit des Plans ist erreicht. Geben Sie einen Platz frei oder laden Sie die Person ein und melden Sie sich erneut an. Eine eingeladene Person kann immer beitreten. - **„…E-Mail außerhalb der verifizierten Domain“**: Okta hat eine andere E-Mail-Adresse gesendet als die Ihrer Domain. Prüfen Sie **Application username** und das Name-ID-Format. - **„…wurden noch nicht hinzugefügt“**: SCIM ist aktiv, und Okta hat diese Person nicht bereitgestellt. Weisen Sie ihr die App in Okta zu. - **Okta meldet einen Fehler beim Übertragen einer Person**: Das Mitgliederlimit des Plans ist erreicht, oder der Benutzername ist keine E-Mail-Adresse auf Ihrer verifizierten Domain.