Anmeldung mit ADFS oder einem generischen OIDC-Provider

MobilityManager kann Active Directory Federation Services (ADFS) oder jeden standardkonformen OpenID-Connect-Anbieter (OIDC) für Single Sign-on verwenden. Dieser Artikel behandelt beide, sowohl für Benutzer als auch für den Administrator, der sie konfiguriert.

Anmelden

Öffnen Sie die Anmeldeseite und wählen Sie Ihr Unternehmen (Mandant) aus.
Wählen Sie die Single-Sign-on-Schaltfläche. Die Standardbeschriftung ist Login with ADFS für ADFS oder Login with SSO für einen generischen OIDC-Anbieter. Ihr Administrator kann eine benutzerdefinierte Beschriftung festlegen.
Sie werden zur Authentifizierung an Ihren Anbieter weitergeleitet und anschließend an MobilityManager zurückgeführt, das die Antwort validiert und Ihre Sitzung startet.

Hinweis: Bei Ihrer ersten SSO-Anmeldung wird automatisch ein Konto mit der Rolle Driver erstellt. Siehe „Wie Single-Sign-on-Benutzer bereitgestellt werden“.

Anbieter-Endpunkte

MobilityManager erstellt die Autorisierungsanfrage anhand des Endpunktmusters für den ausgewählten Anbieter:

Anbieter	Autorisierungs-Endpunkt	Standard-Schaltflächentext
`ADFS`	`{authority}/oauth2/authorize`	Login with ADFS
Generisches OIDC	`{authority}/authorize`	Login with SSO

In beiden Fällen verwendet die Anfrage den Authorization-Code-Flow mit einem State-Wert zum CSRF-Schutz.

Anforderungen an einen generischen OIDC-Anbieter

Um als generischer OIDC-Anbieter zu funktionieren, muss Ihr Identitätsanbieter das standardmäßige OpenID-Connect-Discovery unterstützen. MobilityManager liest das /.well-known/openid-configuration-Dokument des Anbieters von der konfigurierten Authority, um den Issuer und die Signaturschlüssel zu ermitteln, und validiert anschließend Signatur, Issuer, Audience und Gültigkeitsdauer des zurückgegebenen Identitätstokens.

Was Ihr Administrator konfiguriert

Ein SystemAdmin gibt diese Werte pro Unternehmen ein:

Einstellung	Hinweise
Provider	`ADFS` für ADFS oder die generische OIDC-Option für andere Anbieter
Authority	Die Basis-URL des Anbieters, der das OIDC-Discovery-Dokument bereitstellt
Client ID	Die beim Anbieter registrierte Anwendungs- oder Relying-Party-Kennung
Client secret	Sicher gespeichert und niemals in der App zurückgezeigt
Redirect URI	Die beim Anbieter registrierte Callback-URL von MobilityManager
Scopes	Standardmäßig `openid profile email`
Button text	Optionale benutzerdefinierte Beschriftung für die Anmeldeschaltfläche

Tipp: Damit der zurückgegebene Token validiert werden kann, muss der Anbieter die E-Mail-Adresse und einen stabilen Subject-Claim ausstellen, und seine Audience muss der konfigurierten Client ID entsprechen. Anbieter, die ein standardmäßiges Discovery-Dokument und einen JWKS-Endpunkt bereitstellen, funktionieren ohne anbieterspezifische Anpassungen.

Fehlerbehebung

Symptom	Wahrscheinliche Ursache
„Identity provider token validation failed“	Discovery-Dokument nicht erreichbar, falscher Issuer oder falsche Audience oder abgelaufener Token.
„OIDC configuration is incomplete for this tenant“	Authority oder Client ID fehlt.
Anmeldung funktioniert, aber es wird keine E-Mail-Adresse erfasst	Der Anbieter hat keinen E-Mail-Claim in den Identitätstoken aufgenommen.