Google Workspace an Q.wiki anbinden (SAML)

Geändert am Do, 2 Apr um 4:15 NACHMITTAGS

Diese Anleitung richtet sich an IT-Fachpersonal und unterstützt dich bei der selbstständigen Anbindung von Q.wiki an Google Workspace.

Wichtig: Wir empfehlen ausdrücklich die Nutzung von SCIM und OIDC für die Nutzerprovisionierung und Single Sign-On. SCIM provisioniert alle gewählten Nutzer „just in case" und ermöglicht es dir, Nutzern in Q.wiki Inhalte und Berechtigungen zuzuweisen, bevor sie sich das erste Mal anmelden. Das ist mit SAML und der „just in time" Provisionierung nicht möglich.

Voraussetzung: Du benötigst Key User Rechte, um die folgenden Schritte durchzuführen.

Limitierungen

Bei der Anbindung von Google Workspace werden bestehende Q.wiki Nutzer mit einer übereinstimmenden E-Mail-Adresse automatisch migriert. Die migrierten Nutzer werden mit den Daten aus Google Workspace aktualisiert und von diesem Zeitpunkt an über dieses System verwaltet.

Migrierte Nutzer müssen sich über den Button Unternehmenslogin verwenden anmelden. Die Anmeldung mit Nutzernamen und Passwort ist nicht mehr möglich.

Notfall-Konto einrichten

Sollte die Authentifizierung über Google nicht möglich sein, ist eine Anmeldung nur noch über manuell in Q.wiki angelegte Nutzer möglich. Aus diesem Grund empfehlen wir, ein manuell verwaltetes Konto der KeyUserGroup hinzuzufügen. Dieses Konto muss über eine gültige E-Mail-Adresse verfügen und darf nicht über Google provisioniert werden – eine unpersönliche E-Mail-Adresse wie „service@" oder „it-support@" bietet sich an.

SAML anbinden – Nutzer und Gruppen provisionieren und authentifizieren

Zur Einrichtung der SAML Provisionierung und Authentifizierung empfehlen wir die Anleitung von Google (extern).

Provisionierung konfigurieren

Mit eingerichteter SAML Authentifizierung ist die sogenannte „Just in Time Provisionierung" aktiv. Nutzerkonten werden automatisch in Q.wiki angelegt, wenn sie sich das erste Mal anmelden. Die automatische Provisionierung kannst du in der Nutzerverwaltung > 3-Punkt-Menü > Provisionierung deaktivieren:

Provisionierung im 3-Punkt-Menü der Nutzerverwaltung deaktivieren

SAML-Konfiguration einrichten

Gehe zu Nutzerverwaltung > 3-Punkt-Menü > Identity Provider (IdP) anbinden und rufe die SAML Konfiguration auf:

SAML-Konfiguration in der Nutzerverwaltung

Wichtige Felder

ACS URL (Assertion Consumer Service): Diese wird in der IdP Konfiguration benötigt.

Entity ID: Muss mit der IdP Konfiguration übereinstimmen. Ein bewährter Wert ist der öffentliche Endpunkt für die SAML Metadaten deines Systems: https://IHREURL.qwikinow.de/saml/sp/metadata

Namens-ID: Wird mit dem Attributnamen „email" erwartet (Standard). Je nach IdP kann ein angepasstes Mapping erforderlich sein. Das Namens-ID Format ist nicht vorgegeben.