Admin-SSO für die Anmeldung konfigurieren

Ermöglichen Sie Administratoren die Anmeldung bei Access Gate mit Single Sign-On, Google Workspace oder Microsoft Entra ID.

Single Sign-On ermöglicht es Ihren Administratoren, sich mit ihrem bestehenden Identity Provider bei Access Gate anzumelden, anstatt ein lokales Passwort zu verwenden. Sie ordnen jeden Access Gate-Benutzer seiner IdP-Identität zu, registrieren Access Gate als Anwendung in Ihrem IdP und verweisen Access Gate darauf. Diese Anleitung behandelt sowohl Google Workspace als auch Microsoft Entra ID (früher Azure AD).

Voraussetzungen

Administratorzugang zu Access Gate.
WAN-Zugang zu Access Gate, Sie können hier den Overlay-Port verwenden.
Administratorzugang zu Ihrem Identity Provider: der Google Cloud Console oder dem Microsoft Entra Admin Center.
Der DNS-Name, über den Ihre Operatoren die Access Gate-Administratoroberfläche erreichen, Sie benötigen ihn für den Redirect-URI / Authorized Origin.

Schritt 1, Externe ID für den Benutzer festlegen

In Access Gate ist die externe ID das Bindeglied zwischen einem lokalen Benutzer und seiner IdP-Identität. Legen Sie sie für den Benutzer fest, der sich per SSO anmelden soll.

Navigieren Sie zu Access Gate admin → Settings → Accounts.
Geben Sie eine externe ID für Ihren ersten Benutzer ein und speichern Sie. Dies ist die Identität, die Ihr IdP für diesen Benutzer bestätigt (seine Google Workspace- oder Entra-E-Mail-Adresse).

Eingabe einer externen ID für einen Access Gate-Benutzer

Sobald eine externe ID gesetzt ist, verschwindet die Option zur Vergabe eines lokalen Passworts, dieser Benutzer authentifiziert sich fortan über SSO und nicht mehr mit einem Passwort.

Die Option für das lokale Passwort wird entfernt, sobald eine externe ID gesetzt ist

Schritt 2, Access Gate beim Identity Provider registrieren

Registrieren Sie Access Gate als Anwendung, damit Ihr IdP Anmeldungen dafür ausstellt. Folgen Sie dem Abschnitt für Ihren Provider.

Schritt 2, Google Workspace

Öffnen Sie die Google Cloud Console (console.cloud.google.com) → APIs & Services → Credentials → Create Credentials → OAuth client ID.
Füllen Sie Ihre Anwendungsinformationen aus.
Setzen Sie den Authorized JavaScript origin auf die Adresse, über die Operatoren Access Gate erreichen, was auch immer Sie in Ihrem Host oder lokalen DNS konfiguriert haben.

Beispielkonfiguration des Google OAuth-Clients für Access Gate

Speichern Sie den Client. Google stellt Ihnen eine Client-ID und ein Client-Secret aus, halten Sie diese für den nächsten Schritt bereit.

Schritt 2, Microsoft Entra ID (früher Azure AD)

App registrieren. Im Entra Admin Center (entra.microsoft.com) → App registrations → New registration. Legen Sie einen Name und den Redirect URI (die Access Gate-URL Ihrer Operatoren) fest.

Registrierung von Access Gate im Entra Admin Center

Client-Secret erstellen. In der App → Certificates & secrets → New client secret. Legen Sie eine Ablaufzeit fest (max. 24 Monate) und kopieren Sie den Value sofort, er wird nur einmal angezeigt. Verwenden Sie den Value, nicht die Secret-ID.
API-Berechtigungen prüfen. Dies wird in der Regel automatisch konfiguriert. Bestätigen Sie in der App unter API permissions, dass User.Read gewährt ist, und erteilen Sie die Admin-Zustimmung, falls Ihr Mandant dies erfordert.
Bezeichner kopieren. Kopieren Sie aus der App-Übersicht die Application (client) ID und die Directory (tenant) ID.

Benutzer und Gruppen zuweisen, die sich bei Access Gate anmelden dürfen.

Zuweisung von Benutzern und Gruppen zur Entra-App

Schritt 3, SSO-Konfiguration in Access Gate eingeben

Wechseln Sie zurück zu Access Gate und geben Sie die Details der soeben registrierten Anwendung ein, die Client-ID und das Secret für Google bzw. die Application (client) ID, die Directory (tenant) ID und den Value des Secrets für Entra ID.

Eingabe der SSO-Konfiguration in Access Gate

Speichern Sie die Konfiguration.

Schritt 4, Überprüfung

Rufen Sie Ihre Access Gate-URL auf. Sie sollten zum SSO-Ablauf Ihres Identity Providers weitergeleitet werden und nach der Authentifizierung als zugeordneter Benutzer in Access Gate landen.

Falls keine Weiterleitung erfolgt oder der IdP die Anmeldung ablehnt, überprüfen Sie den Redirect-URI / Authorized Origin erneut und stellen Sie sicher, dass die externe ID des Benutzers exakt mit seiner IdP-E-Mail-Adresse übereinstimmt.

Zusammenfassung

Wir haben für jeden Benutzer die externe ID festgelegt, Access Gate als Anwendung in Google Workspace oder Microsoft Entra ID registriert und die Client-Anmeldedaten in Access Gate eingetragen. Greifen Sie darauf zurück, damit sich Administratoren mit ihrer vorhandenen IdP-Identität anmelden können statt mit einem lokalen Access Gate-Passwort.