Einrichtung und Konfiguration - Unternehmens-SSO

Was diese Integration macht

Unternehmens-SSO erlaubt die Anmeldung bei DockRay über den firmeneigenen OpenID-Connect-Identitätsanbieter - eine Anmeldung statt eines separaten Panel-Passworts. Für ein Abonnentenkonto ist das eine kostenpflichtige Plankomponente (custom_sso); für Dock-Mitarbeitende gibt es eine separate, ausschließlich vom Superadmin eingerichtete Plattformkonfiguration, die nichts kostet, da Dock seine eigene Plankomponente nicht bei sich selbst kauft. Die Integration legt nie Konten an - sie meldet ausschließlich einen bestehenden Nutzer aus dem richtigen Geltungsbereich an.

Was du beim Identity Provider vorbereitest

• eine OpenID-Connect-Anwendung mit Authorization-Code-Flow und PKCE,
• die Scopes openid, profile und email,
• eine öffentliche Discovery-Adresse über HTTPS - Discovery und alle Endpunkte müssen öffentlich erreichbar sein, private und reservierte Adressen werden abgelehnt,
• einen Anbieter, der eine bestätigte E-Mail-Adresse zurückgibt (email_verified) - ohne sie schlägt die Anmeldung fehl, unabhängig davon, wie korrekt der Rest konfiguriert ist.

Konfiguration in DockRay

Trage in Einstellungen → Unternehmens-SSO einen Verbindungsnamen, eine Organisationskennung (global eindeutig, geht direkt in die Anmeldeadresse ein), die Issuer-Adresse sowie Client-ID und Client-Secret ein. Ein Superadmin konfiguriert hier die Plattformverbindung für Dock-Mitarbeitende; Eigentümer oder Administrator eines Abonnentenkontos konfigurieren eine Verbindung ausschließlich für ihr eigenes Konto - zwei getrennte Geltungsbereiche, nie ein gemeinsamer Bildschirm mit Schalter.

Die Rückkehradresse beim Anbieter

Trage beim Identity Provider exakt diese Redirect URI ein:

https://dockray.io/sso/{identifikator}/callback

wobei {identifikator} die in DockRay eingetragene Organisationskennung ist. Der allgemeine Anmeldebildschirm /sso fragt genau nach dieser Kennung - die Domain der E-Mail-Adresse wählt die Verbindung nicht aus, da ein Konto mehrere Mail-Domains gleichzeitig nutzen kann.

Der erste Test

Speichere die Konfiguration und melde dich mit einem Firmenkonto an, das ein Gegenstück in DockRay hat (dieselbe, bestätigte E-Mail-Adresse). Bei der ersten Anmeldung findet DockRay den Nutzer über die E-Mail-Adresse und bindet ihn dauerhaft an das Paar aus Konfiguration und vom Anbieter zurückgegebenem sub; jede spätere Anmeldung stützt sich auf diese Kennung, nicht auf die E-Mail-Adresse. Hat das Konto den zweiten Faktor aktiviert, fragt das Panel genauso danach wie nach einer Passwortanmeldung.