Einheitliche Anmeldung (OIDC)
OIDC ermöglicht die Anmeldung über den Identitätsanbieter Ihres Unternehmens. Es ändert den Portal-Login, nicht einen CRM-Datenkanal.
Vor der Einrichtung
Prüfen Sie unter CRM → Integrationen, ob Einheitliche Anmeldung (OIDC) verfügbar ist. In manchen Installationen richtet der Portal-Anbieter den Anschluss ein. Die Felder des Assistenten hängen von der Installation ab. Füllen Sie Werte nicht nach Gefühl aus und kopieren Sie OIDC-Einstellungen nicht ungeprüft zwischen Umgebungen.
Halten Sie Issuer, erlaubte Redirect-URIs, Clientnamen und benötigte Claims/Scopes bereit. Verwenden Sie einen eigenen Dienst-Client mit minimalen Rechten.
Connector einrichten
- Öffnen Sie CRM → Integrationen und fügen Sie Einheitliche Anmeldung (OIDC) hinzu, wenn es im Katalog erscheint.
- Füllen Sie die vom Assistenten gezeigten Felder aus, speichern Sie einen Entwurf und prüfen Sie die Verbindung.
- Ein Client-Secret kann nur einmal angezeigt werden. Sofort in einem Secret-Manager speichern; nach dem Schließen ist nur eine sichere Darstellung vorhanden. Bei Verlust neu ausstellen.
- Aktivieren Sie die Anmeldung erst nach der Prüfung von Redirect-URIs, Testkonto und Wiederherstellungsweg für Administratoren.
Keine echten Secrets, Firmenkennungen oder Nutzeradressen in Screenshots und Tickets verwenden.
Anmeldung und Fehler
Die Einwilligungsseite zeigt Anwendung und angeforderte Berechtigungen, etwa Kennung, Profil, E-Mail oder länger gültigen Zugriff. Prüfen Sie sie und wählen Sie Fortfahren/Zugriff erlauben oder Ablehnen. Der Link ist einmalig und läuft ab; leiten Sie ihn nicht weiter. Bei einer abgelaufenen Interaktion den Login neu starten. Fehlt der Connector, wenden Sie sich an Portalbesitzer oder Anbieter.
Temporärer Interaktionsbildschirm
Nach der Weiterleitung durch den Identitätsanbieter kann das Portal den temporären Pfad /oidc/interaction/:uid öffnen. Das ist die Einwilligungsprüfung für genau eine Anmeldung, keine Einstellungsseite: uid ist einmalig und läuft schnell ab. Den Pfad nicht als Lesezeichen, Ticket oder Screenshot speichern. Bei abgelaufener Interaktion den Unternehmens-Login neu starten.
Der Bildschirm zeigt den Clientnamen und, sofern sicher übermittelt, Links zu Website, Richtlinie und Bedingungen. Prüfen Sie angeforderte und noch fehlende Scopes (requestedScopes und missingScopes); fehlende Claims werden getrennt aufgelistet. openid bestätigt etwa die Identität, profile fordert das Profil, email die Adresse und offline_access einen länger gültigen Zugriff über ein Refresh-Token an. Unerwartete Berechtigungen nicht erlauben.
Unterscheiden Sie prompt=login von einer Einwilligung: Beim Login wird die aktuelle Mitarbeiteranmeldung fortgesetzt, bei der Einwilligung soll die Anwendung Zugriff erhalten. Wählen Sie Zugriff erlauben/Fortfahren erst nach der Prüfung von Client und Scopes; Ablehnen beendet diese Anfrage ohne neue Berechtigung. Eine leere oder bereits gewährte Scope-Liste bedeutet nur eine grundlegende Identitätsbestätigung.
Zuerst kann ein Ladezustand erscheinen. Fehlt uid, ist er unbekannt oder abgelaufen, erscheint ein Fehler mit Erneut versuchen; ein erneuter Versuch verlängert die Interaktion nicht. Starten Sie die Anmeldung über den ursprünglichen Unternehmens-Link neu.
Fehlerbehebung
- Connector fehlt: Wenden Sie sich an Portalbesitzer oder Anbieter; die Verfügbarkeit hängt von der Installation ab.
- Verbindungsprüfung fehlgeschlagen: Prüfen Sie Issuer, Redirect-URI, Serverzeit und die Claims des Anbieters.
- Secret verloren: Alten Client widerrufen und einen neuen ausstellen; niemals in einem Chat senden.
- Interaktion abgelaufen: Mit einem neuen Unternehmens-Login-Link erneut beginnen.
Verwandte Seiten