Die Standardkonfiguration sieht einen Identity Provider pro Unternehmen vor. Die Cyber Guru Plattform unterstützt jedoch auch komplexere Szenarien. Wenn du dich in einem dieser Fälle wiedererkennst, informiere Cyber Guru vor Beginn der Konfiguration: Die Reihenfolge der Schritte ändert sich.
1. Zwei Entra ID-Tenants (oder zwei Authentifizierungsdomänen) für dasselbe Unternehmen
Wann ist das relevant: Die Organisation hat zwei getrennte Microsoft Entra ID-Tenants – typischerweise nach einer Fusion oder bei einer Tochtergesellschaft – möchte aber nur ein Cyber Guru-Unternehmen mit einheitlichem Reporting und Gamification.
Wie funktioniert das: Das Unternehmen bleibt einheitlich; es werden zwei SSO-Verbindungen eingerichtet und auf der Login-Seite erscheinen zwei Anmeldebuttons, jeweils einer pro Tenant. Jeder Nutzer verwendet den Button seiner Organisation.
Was wir von dir brauchen:
- Die IdP-Metadaten von beiden Tenants (jeweils eine SAML-Anwendung, konfiguriert wie in der Standardanleitung);
- Die Angabe, welche Nutzer zu welchem Tenant gehören.
Wichtig: Die Nutzer müssen im IdP mit der korrekten Domain erfasst sein. Ein Nutzer, der im falschen Tenant oder mit einer nicht passenden E-Mail-Domain angelegt ist, kann sich nicht anmelden.
2. Zweiter Identity Provider im selben Unternehmen
Wann ist das relevant: Vorübergehendes Nebeneinander von zwei Identitätssystemen (z. B. während einer Migration von ADFS zu Entra ID) oder Nutzergruppen, die von unterschiedlichen IdPs verwaltet werden.
Wie funktioniert das: Cyber Guru richtet eine zweite SAML-Verbindung im selben Unternehmen ein. Du erhältst eine zweite, eigene SP-Metadaten-URL, die du für die Konfiguration der Anwendung beim zweiten IdP verwendest.
| ⚠️ | Verwende für jeden IdP genau die SP-Metadaten-URL, die dir für diese Verbindung mitgeteilt wird. Die Wiederverwendung der ersten URL ist der typische Fehler in diesem Szenario und führt zu schwer nachvollziehbaren Authentifizierungsproblemen. |
Hinweis zu Migrationen: Wenn ein Nutzer vom einen zum anderen IdP wechseln soll, muss die Verknüpfung mit der alten Identität in Cyber Guru entfernt werden. Plane die Migration im Voraus: Siehe SSO-Wartung.
3. IdP-initiierter Zugriff (vom Portal des Identity Providers)
Wann ist das relevant: Du möchtest, dass Nutzer Cyber Guru über ein Icon im App-Portal des IdP (z. B. das App-Panel von Google Workspace, My Apps von Microsoft) erreichen, ohne die Plattform-URL zu verwenden.
Wie funktioniert das: Dies ist technisch ein anderes Szenario als der von der Plattform gestartete Login (SP-initiated) und benötigt einen eigenen ACS-Endpunkt, der sich von dem in der Standardkonfiguration unterscheidet. Cyber Guru stellt dir diesen auf Anfrage zur Verfügung.
Was zu tun ist: Eröffne ein Support-Ticket.
4. Mehrere Cyber Guru-Unternehmen auf demselben IdP-Tenant
Wann ist das relevant: Die Organisation hat mehrere eigenständige Cyber Guru-Unternehmen (z. B. eines für den Standardkurs und eines für einen NIS2-Kurs oder für verschiedene Gruppengesellschaften), aber nur einen IdP-Tenant.
Wie funktioniert das: Jedes Unternehmen hat seine eigene SP-Metadaten-URL. Im IdP werden in der Regel separate SAML-Anwendungen benötigt, jeweils eine pro Unternehmen, jede mit ihrer eigenen Nutzergruppe.
Wichtig: Ein Nutzer, der auf zwei Unternehmen zugreifen soll, muss beiden Anwendungen zugewiesen sein. Prüfe sorgfältig die Zuordnung zwischen Gruppen und Unternehmen – es ist leicht, Nutzer der falschen Anwendung zuzuweisen.
5. Mehrere organisatorische Klassifizierungen
Du kannst alle benötigten Klassifizierungen als Organisationen im Format org_{NAME_ORG} übermitteln: Standort, Abteilung, Organisationseinheit, Division usw. In der Plattform werden diese zu Filtern für Dashboards und Berichte, und eine davon kann für die Gamification als Team festgelegt werden. Siehe Identity Provider SSO-Attribute.
6. Sehr spezifische Attribute oder automatische Provisionierung
Wenn du Attribute in die Plattform bringen möchtest, die nicht in das Organisationsmodell passen (z. B. Personalnummer, Steuernummer, Fortbildungspunkte) oder den Lebenszyklus der Nutzer automatisch synchronisieren willst – also Erstellung, Aktualisierung, Deaktivierung – ist SSO nicht das geeignete Werkzeug: SAML überträgt Informationen nur beim Login und teilt der Plattform nicht mit, wenn ein Nutzer deaktiviert wurde.
In solchen Fällen empfiehlt sich Provisionierung über SCIM 2.0 oder die Nutzung der API, kombiniert mit SSO für die Authentifizierung. Ohne SCIM müssen die Deprovisionierungsprozesse mit Cyber Guru abgestimmt werden. Die Entscheidung sollte vor dem Go-Live getroffen werden, da sie die Art der Nutzeranlage beeinflusst.
7. Single Logout (SLO)
Einige Identity Provider führen das Logout auf eine Weise durch, die von der Standardkonfiguration nicht abgedeckt ist. Wenn nach dem Logout von der Plattform Fehler auftreten oder Sitzungen offen bleiben, melde dies: Die Anpassung erfolgt auf Seiten von Cyber Guru, nicht an deinem IdP.