Workiva Support Center

Sicherheitsadministrator der Organisation kann die folgenden Schritte ausführen, um SAML Single Sign-On-Einstellungen für die Organisation zu konfigurieren. SAML-basiertes Single Sign-On (SSO) ermöglicht Mitgliedern den Zugriff auf Workiva über einen Identitätsanbieter (IdP). Bevor Sie die Einstellungen konfigurieren, vergewissern Sie sich, dass Sie Was ist SAML Single Sign-On? gelesen haben.

Hinweis: Sicherheitsadministrator der Organisation müssen zu einem Arbeitsbereich hinzugefügt werden, um auf den Organisationsadministrator zugreifen zu können.

Schritt 1: Navigieren Sie zu den SAML SSO-Einstellungen

1. Gehen Sie zu Organisationsadministrator.
2. Klicken Sie im linken Menü auf Identitäts- und Zugriffsmanagement.
3. Stellen Sie sicher, dass Sie sich auf der Registerkarte Authentifizierung befinden.
4. Klicken Sie auf die Seite SSO-Konfiguration.
   

Wenn Sie eine bestehende SSO-Konfiguration haben, sieht die Seite wie folgt aus:

Schritt 2: Erstellen Sie Ihre SAML-SSO-Konfiguration und wählen Sie Ihren Identitätsanbieter aus

1. Klicken Sie auf SSO-Konfiguration erstellen.
   
2. Geben Sie einen Konfigurationsnamen ein und wählen Sie den Identitätsanbieter (IdP) aus dem Dropdown-Menü.
3. Klicken Sie auf Konfiguration erstellen, um fortzufahren.

Schritt 3: Senden Sie die Workiva-Metadaten an Ihren Identitätsanbieter-Administrator

1. Unter dem Abschnitt Workiva-Metadaten sehen Sie die Kennung (Entitäts-ID) und die Antwort-URL.
2. Klicken Sie auf Erweiterte Optionen, um die Anmelde-URL und Abmelde-URL anzuzeigen.
   Diese URLs sind für jede Organisation eindeutig, können nicht geändert werden und enthalten eine der folgenden Regionsmarkierungen: app.wdesk.com, apac.wdesk.com, ca.wdesk.com oder eu.wdesk.com.
3. Senden Sie diese Workiva-Metadaten-URLs an den Administrator Ihres Identitätsanbieters.
   Alternativ können Sie auf Workiva-Metadaten-XML herunterladen klicken, um die XML-Datei herunterzuladen und an den Administrator Ihres Identitätsanbieters zu senden.

4. Sie können Ihre zulässige Zeitabweichung (Clock Skew Allowance) anpassen. Die zulässige Zeitabweichung ist die maximal erlaubte Zeitdifferenz zwischen Ihrem SAML-Identitätsanbieter und Workiva. Der Standardwert beträgt 300 Sekunden (5 Minuten).

   Tipp: Ein höherer Wert erweitert das Toleranzfenster für Zeitabweichungen. Dies verbessert zwar die Zuverlässigkeit, da weniger Anfragen abgelehnt werden, birgt jedoch auch Sicherheits- und Leistungsrisiken. Umgekehrt erhöht ein kleinerer Wert die Wahrscheinlichkeit von Authentifizierungsfehlern durch Timeouts.

5. Wenn Sie Microsoft Azure als Identitätsanbieter verwenden, kann der Administrator Ihres Identitätsanbieters Schritt 2 auf der Azure-Registerkarte im Abschnitt SAML-SSO mit Ihrem Identitätsanbieter konfigurieren nachlesen.
6. Wenn Sie Okta als Identitätsanbieter verwenden, kann der Administrator Ihres Identitätsanbieters Schritt 3 auf der Okta-Registerkarte im Abschnitt SAML-SSO mit Ihrem Identitätsanbieter konfigurieren nachlesen.
7. Wenn Sie einen anderen Identitätsanbieter nutzen, wenden Sie sich bei Bedarf an dessen Kundensupport.

Schritt 4: Geben Sie die Metadaten Ihres Identitätsanbieters in Workiva ein

Voraussetzung: Sie müssen die erforderlichen Metadaten von Ihrem Identitätsanbieter-Administrator anfordern, bevor Sie fortfahren können.

• Wenn Sie Microsoft Azure nutzen, findet Ihr Administrator die Anleitung in Schritt 4 auf der Azure-Registerkarte unter SAML-SSO mit Ihrem Identitätsanbieter konfigurieren.
• Wenn Sie Okta nutzen, findet Ihr Administrator die Anleitung in Schritt 2 auf der Okta-Registerkarte unter SAML-SSO mit Ihrem Identitätsanbieter konfigurieren.
• Bei einem anderen Identitätsanbieter als Azure oder Okta wenden Sie sich an den entsprechenden Kundensupport, um diese Informationen zu erhalten.

Geben Sie im Abschnitt zu den Metadaten (z. B. Microsoft Azure-Metadaten) die entsprechenden Metadaten ein.

1. Wählen Sie zunächst im Dropdown-Menü Bevorzugte Eingabemethode aus, wie Sie die Metadaten eingeben möchten. Sie können eine Federation-Metadaten-URL eingeben, eine Metadaten-XML-Datei hochladen oder die Manuelle Eingabe wählen.
   

2. Wählen Sie im Dateiauswahldialog die Datei mit den Metadateninformationen aus und klicken Sie dann auf Importieren.

   

   Alternativ können Sie die Werte manuell eingeben:
   

Schritt 5: Benutzerzuordnung festlegen

Klicken Sie im Bereich Benutzerzuordnung auf das Dropdown-Menü und wählen Sie eine der Optionen:

• Benutzer ihrem Workiva-Benutzernamen zuordnen (empfohlen)
• Benutzer manuell zuordnen

Hinweis: Wenn Sie die Metadaten manuell eingegeben haben, müssen Sie in diesem Bereich die Erweiterten Optionen aktivieren.

Benutzer ihrem Workiva-Benutzernamen zuordnen

Wenn Sie Benutzer ihrem Workiva-Benutzernamen zuordnen auswählen, erwartet Workiva, dass das eingehende Primary NameID-Attribut beim Anmelden des Benutzers (ohne Beachtung von Groß-/Kleinschreibung) mit dem Workiva-Benutzernamen übereinstimmt. So kann zum Beispiel Benutzername.Beispiel mit benutzername.beispiel abgeglichen werden.

Klicken Sie dann auf das Dropdown-Menü Zuordnung festlegen und wählen Sie Alle SSO-IDs auf Workiva-Benutzernamen setzen, um die Tabelle auszufüllen.

Klicken Sie auf Konfiguration erstellen, um fortzufahren.

Benutzer manuell zuordnen

Wenn Sie Benutzer manuell zuordnen wählen, überprüfen Sie zunächst die erweiterten Optionen. Unter NameIdentifier-Speicherort ist bei den meisten Konfigurationen die Option NameIdentifier befindet sich in der Subject-Anweisung ausgewählt. Das bedeutet, dass Workiva im Subject-Statement nach dem NameIdentifier-Element sucht.

Sie können jedoch NameIdentifier befindet sich in einem anderen Elementattribut auswählen und das NameIdentifier-Elementattribut angeben, damit die Anwendung im SAML-Response danach sucht.

Hinweis: Die meisten Org-Sicherheitsadministratoren behalten die Standardeinstellung für den NameIdentifier-Speicherort bei. Bevor Sie Änderungen vornehmen, wenden Sie sich bitte an den Workiva-Support.

Benutzer per Dateiimport zuordnen

Klicken Sie auf Zuordnung festlegen und wählen Sie SSO-IDs über Datei importieren, um Benutzer anhand einer .csv-Zuordnungsdatei den SSO-IDs zuzuordnen (siehe Anforderungen an .csv-Zuordnungsdateien für SAML-IDs).

• In der Zuordnungsdatei sind keine Überschriften erforderlich.
• Alle Zeilen werden verarbeitet; ungültige Zeilen werden übersprungen.
• Bei doppelten Benutzernamen wird nur die erste Zeile mit diesem Benutzernamen verwendet.
• Hat ein bereitgestellter Benutzername bereits eine Zuordnung, wird diese mit den Werten der Zuordnungsdatei aktualisiert.
• Wenn Zeilen übersprungen werden, werden die Fehler im SAML-SSO-Aktivitätsprotokoll dokumentiert.

Benutzer einzeln zuordnen

Wenn Sie SSO-IDs für einzelne Benutzer festlegen oder bearbeiten möchten, suchen Sie nach dem Benutzer und/oder verwenden Sie den Filter SSO-ID-Status, um ihn leichter zu finden. Doppelklicken Sie dann in der Tabelle auf das SSO-ID-Feld neben dem Benutzer und geben Sie die korrekte SSO-ID ein.

Klicken Sie nach dem Festlegen der Benutzerzuordnung auf Konfiguration erstellen, um fortzufahren.

Anforderungen an die SAML-ID-.csv-Zuordnungsdatei

Eine gültige Zeile in der SAML ID .csv-Zuordnungsdatei hat das folgende Format:

samlId,benutzername

Eine Zeile kann ungültig sein, wenn:

• Es befinden sich weniger als zwei Artikel in der Reihe
• Die SAML-ID und/oder der Benutzername wird nicht angegeben
• Der angegebene Nutzername existiert nicht
• Der Benutzer mit dem angegebenen Benutzernamen ist kein Mitglied der Organisation
• Die primäre Organisation des Benutzers mit dem angegebenen Benutzernamen ist nicht dieselbe wie die Organisation, die gerade geändert wird
• Die angegebene SAML-ID wurde bereits von einem anderen Benutzer verwendet

Eine gültige Mapping-Datei sieht zum Beispiel so aus:

exampleSamlId,exampleUsername exampleSamlId2,exampleUsername2 exampleSamlId3,exampleUsername3

Schritt 6: Aktivieren Sie Ihre SAML-SSO-Konfiguration

Nach der Erstellung müssen Sie Ihre SAML-SSO-Konfiguration explizit aktivieren, damit sie wirksam wird.

Klicken Sie in der Konfiguration auf Aktivieren. Ihre Konfiguration wird nun als Aktiv angezeigt.

Schritt 7: SAML-SSO-Authentifizierungsoptionen aktualisieren

Als Best Practice empfiehlt Workiva dringend, die Anmeldung über SSO für alle Benutzer zu erzwingen, um den Anmeldeprozess zu vereinfachen und das Benutzererlebnis zu verbessern. Nachdem Sie Ihre SAML-SSO-Konfiguration erstellt und aktiviert haben:

1. Auf der Registerkarte Single Sign-On bietet der Abschnitt SSO erzwingen und Ausnahmen zwei Authentifizierungsoptionen:

   • SSO-Anmeldung für Benutzer erzwingen (Empfohlen): Nicht-administrative Benutzer müssen SSO nutzen, während sich Org-Sicherheitsadministratoren weiterhin mit Benutzernamen und Passwort anmelden können. Diese Option ist ideal, wenn Ihr Unternehmen SSO erzwingen möchte, die Org-Sicherheitsadministratoren jedoch bei SSO-Problemen weiterhin Zugriff auf die Plattform haben sollen.

     Hinweis: Bevor Sie diese Option aktivieren, stellen Sie sicher, dass Sie umfassende Tests durchgeführt haben und sich der ordnungsgemäßen Funktion Ihrer SAML-SSO-Einrichtung vollkommen sicher sind.

   • SSO-Anmeldung für Org-Sicherheitsadministratoren erzwingen: Org-Sicherheitsadministratoren müssen SSO verwenden. Diese Option eignet sich am besten, wenn Unternehmensrichtlinien keine Ausnahmen von der SSO-Pflicht vorsehen. Um diese Option zu aktivieren, müssen Sie auch das Kontrollkästchen SSO-Anmeldung für Benutzer erzwingen aktivieren. Dies finden Sie auf der Seite SSO-Anforderungen unter der Registerkarte Authentifizierung.
     
2. Klicken Sie nach der Auswahl Ihrer Optionen auf Speichern.

Bei Bedarf können Sie bestimmten Benutzern die Anmeldung ohne SAML-SSO erlauben, indem Sie diese zur SSO-Ausnahmeliste hinzufügen.

Hinweis: Fügen Sie vor dem Erzwingen von SAML-SSO die entsprechenden Benutzer zur SSO-Ausnahmeliste hinzu, damit sie nicht aus ihren Konten ausgesperrt werden.