Anmeldung und Single Sign-on

Alle Anmeldeeinstellungen finden Sie in der App unter Admin → Authentifizierung (Staff mit der Rolle Owner oder Admin). Keine davon erfordert einen Neustart.

Anmeldemethoden im Überblick

Methode	Wo sie eingerichtet wird	Hinweise
Benutzername & Passwort	Admin → Authentifizierung → Anmeldemethoden	Passwörter werden als langsame, gesalzene Hashes (argon2id) gespeichert.
Single Sign-on (OIDC)	Admin → Authentifizierung → OIDC-Provider	Google, Microsoft Entra ID, Apple, GitLab, Okta, Auth0, Keycloak, Authentik oder jeder OpenID-Connect-Provider.
Passkeys	Jede Person in ihren Sicherheitseinstellungen	Immer zusätzlich zu einem Passwort oder Single Sign-on.
Zwei-Faktor-Authentifizierung	Jede Person in ihren Sicherheitseinstellungen	Codes aus einer Authenticator-App für Konten mit Passwort.

Mindestens eine Anmeldemethode bleibt immer aktiviert.

Single Sign-on (OIDC)

So fügen Sie einen Identity-Provider hinzu:

1. Öffnen Sie Admin → Authentifizierung und wählen Sie Provider hinzufügen.
2. Wählen Sie eine Vorlage (sie füllt den Issuer und die üblichen Claims aus) oder Custom OIDC. Der Dialog zeigt einen Hinweis, wo Sie den Client in der Konsole des Providers anlegen.
3. Kopieren Sie die im Dialog angezeigte Redirect-URI und registrieren Sie sie in Ihrem Identity-Provider als erlaubte Weiterleitung (Callback). Sie sieht so aus: https://flow.example.com/api/auth/oidc/<name>/callback.
4. Geben Sie Anzeigename, Issuer-URL, Client-ID und Client-Secret des Providers ein. Ersetzen Sie Platzhalter wie {tenant-id} oder {realm} im Issuer.
5. Wählen Sie Verbindung testen. Damit wird geprüft, ob sich das Discovery-Dokument des Issuers lesen lässt.
6. Prüfen Sie die Claim-Zuordnung (Claims für Benutzername, E-Mail und Gruppen) und die Optionen darunter, und wählen Sie dann Speichern.

Die Anmeldeseite zeigt danach für jeden aktivierten Provider „Weiter mit …“. Client-Secrets werden verschlüsselt gespeichert.

Optionen

• Benutzer bei erster Anmeldung anlegen: Unbekannte Personen erhalten automatisch ein Konto. Aus: Personen, die die Instanz noch nicht kennt, können sich mit diesem Provider nicht anmelden.
• Neue Benutzer hinzufügen zu: ein Workspace (mit Rolle), dem neue Konten beitreten, oder keiner.
• Admin-Gruppe und Support-Gruppe: Mitglieder dieser Provider-Gruppen erhalten bei der Anmeldung die Staff-Rolle Admin bzw. Support; verlassen sie die Gruppe, wird die Rolle wieder entzogen. Owner werden nie geändert. Siehe Staff-Rollen.
• Gruppenzuordnung: Personen in einer Provider-Gruppe werden bei jeder Anmeldung mit einer Rolle zu einem Workspace hinzugefügt und entfernt, sobald sie nicht mehr in der Gruppe sind. Eine Zuordnung zu Kein Workspace-Zugriff entfernt ihre Mitglieder aus jedem Workspace und Board und hat Vorrang vor anderen Zuordnungen.

Der Gruppen-Claim muss im ID-Token oder in den User-Info-Daten enthalten sein. Manche Provider brauchen dafür einen „groups“-Mapper oder -Scope (Keycloak: einen Groups-Mapper; Okta: den Scope groups).

E-Mail-Adressen vom Provider

Sendet der Provider email_verified: true, gilt die Adresse als bestätigt. Tut er das nicht (Microsoft Entra ID zum Beispiel sendet keinen solchen Claim) und ist E-Mail-Bestätigung verlangen eingeschaltet, erhält ein neues Konto zuerst eine Bestätigungs-E-Mail; nach der Bestätigung meldet sich die Person erneut über den Provider an, und erst dann werden Gruppen und der Standard-Workspace angewendet. Ist die Einstellung ausgeschaltet, gelten Adressen vom Provider als bestätigt. Siehe E-Mail-Bestätigung.

Sendet Ihr Provider den Claim nicht, verwaltet Ihre Organisation die Adressen aber in ihrem Verzeichnis (typisch für Microsoft Entra ID), schalten Sie in den Einstellungen des Providers E-Mail-Adressen dieses Anbieters vertrauen ein (Admin → Authentifizierung, Provider auswählen). Standardmäßig ist das ausgeschaltet. Ist es eingeschaltet, gelten Adressen von diesem Provider auch ohne email_verified als bestätigt, sodass neue Konten keine Bestätigungs-E-Mail erhalten. Jede Änderung wird im Audit-Log erfasst. Schalten Sie es nur für einen Provider ein, bei dem Nutzer nicht selbst eine beliebige Adresse festlegen können.

Zwei-Faktor-Authentifizierung mit Single Sign-on

Wer sich über einen Identity-Provider anmeldet, durchläuft nicht den eigenen Zwei-Faktor-Schritt von sol2flow: Dafür ist der Provider zuständig. Erzwingen Sie MFA dort.

Passkeys

Personen fügen Passkeys selbst hinzu (Einstellungen → Sicherheit → Passkeys) und können sich dann ohne Passwort anmelden, auch über das Autofill des Browsers. Ein Passkey mit Biometrie oder Geräte-PIN zählt als zwei Faktoren, daher wird kein Code abgefragt.

Passkeys sind an den Hostnamen in APP_URL gebunden. Wenn Sie die Domain ändern, funktionieren vorhandene Passkeys nicht mehr und müssen neu hinzugefügt werden. Anmelden kann man sich weiterhin mit Passwort oder Single Sign-on. Siehe Konto und Sicherheit.

Zwei-Faktor-Authentifizierung

Wer ein Passwort hat, kann die Zwei-Faktor-Authentifizierung mit einer Authenticator-App einschalten und erhält zehn einmalig nutzbare Wiederherstellungscodes. Verliert jemand sowohl die Authenticator-App als auch die Codes, kann Staff sie mit einer Begründung zurücksetzen, die im Audit-Log festgehalten wird: Benutzer und Registrierung.

Sitzungen

• Angemeldet bleiben aus (Standard): Die Sitzung endet, wenn der Browser geschlossen wird, spätestens nach 12 Stunden.
• Angemeldet bleiben an: 30 Tage, verlängert, solange die Person sol2flow weiter nutzt.
• Unter Einstellungen → Sicherheit → Sitzungen sehen Personen ihre angemeldeten Geräte und können sie abmelden. Wird ein Konto deaktiviert, wird es sofort überall abgemeldet.

Selbstregistrierung

Unter Admin → Authentifizierung → Selbstregistrierung legen Sie fest, ob Personen eigene Konten anlegen dürfen:

• Erlaubte E-Mail-Domains: Nur Adressen dieser Domains dürfen sich registrieren (leer = alle).
• Neue Konten treten bei: ein Workspace (mit Rolle), zu dem jedes neue Konto hinzugefügt wird, oder keiner.
• Freigabe durch Admin: Neue Konten warten, bis ein Staff-Mitglied sie unter Admin → Benutzer freigibt.
• E-Mail-Bestätigung verlangen (standardmäßig eingeschaltet): Neue Konten bestätigen ihre Adresse über einen Link per E-Mail, bevor sie sich anmelden können, und eine geänderte Adresse gilt erst nach der Bestätigung. Das setzt funktionierenden E-Mail-Versand voraus; kann Ihre Instanz keine E-Mails senden, schalten Sie es aus.

Details: Benutzer und Registrierung.

Ratenbegrenzung

Anmeldung, Registrierung, Passwort-Reset, Zwei-Faktor-Codes und Passkeys sind pro IP-Adresse und pro Konto ratenbegrenzt. Achten Sie darauf, dass Ihr Proxy die Client-Adressen korrekt weitergibt (Client-IP-Adressen), sonst teilen sich alle ein gemeinsames Limit.