SAML 2.0 Federation Anleitung

Zuletzt aktualisiert am 29. Juni 2026

Richten Sie eine SAML-Federation mit dem STACKIT IdP ein, indem Sie folgende Schritte ausführen. Der STACKIT IdP fungiert als Service Provider (SP) und das System Ihrer Organisation als Identitätsanbieter (IdP).

SAML-Flow-Typen und Support-Umfang

SAML-Federationen können auf zwei Arten gestartet werden.

Service-Provider-initiierter Flow (unterstützt)

Benutzer starten den Anmelde-Flow in STACKIT (dem Service Provider), welcher eine Authentifizierungsanfrage an Ihren IdP sendet.

IdP-initiierter Flow (nicht unterstützt)

Benutzer starten den Anmelde-Flow in Ihrem IdP-Portal, welches eine SAML-Antwort direkt an STACKIT sendet.

STACKIT-Support

STACKIT unterstützt ausschließlich Service-Provider-initiierte SAML-Flows. IdP-initiiertes SAML wird nicht unterstützt.

Verhalten bei der Erstellung von Benutzerkonten

SAML-Federationen in STACKIT können so konfiguriert werden, dass Benutzer beim ersten erfolgreichen Anmelden automatisch erstellt werden (auch bekannt als JIT-Benutzererstellung), abhängig von Ihren Onboarding-Anforderungen.

Automatische Erstellung aktiviert: Benutzer werden beim ersten erfolgreichen SAML-Login erstellt, sofern sie nicht bereits existieren.
Automatische Erstellung deaktiviert: Benutzer müssen bereits existieren (beispielsweise durch SCIM-Provisionierung oder manuelle Einrichtung), bevor sie sich anmelden können.

Legen Sie Ihren bevorzugten Modus während des Onboardings fest, damit die Federation entsprechend konfiguriert werden kann.

Schritt 1: Support-Ticket öffnen

Öffnen Sie ein Support-Ticket mit den folgenden Informationen:

Allgemeine Informationen

Federationstyp: SAML 2.0
Grund für die Integration: Kurze Erläuterung (zum Beispiel: „SSO für Unternehmensbenutzer aktivieren“)
Email-Domains: Alle Email-Domains, die Ihre Mitarbeiter für die Anmeldung verwenden (zum Beispiel: @example.org und @foobar.com)
Modus für die Erstellung von Benutzerkonten: Automatische Erstellung aktiviert oder Automatische Erstellung deaktiviert

SAML-spezifische Informationen

IdP-Metadaten-URL: Öffentlich zugängliche URL zur Metadaten-Datei Ihres IdP. Unser System verwendet diese URL, um Konfigurationsdetails (Endpunkte, Zertifikate etc.) automatisch abzurufen.

Schritt 2: Attributzuordnungen konfigurieren

Stellen Sie sicher, dass die folgenden Benutzerattribute in Ihren IdP-Metadaten vorhanden sind:

id: Eindeutiger Bezeichner für den Benutzer
preferredName: Bevorzugter Anzeigename des Benutzers
email: Email-Adresse des Benutzers

Wenn Ihre Metadaten diese Attribute nicht enthalten, geben Sie an, wie sie in Ihrem System benannt sind. Zum Beispiel: „Das id-Attribut in Ihrem System entspricht unserem uid-Attribut.“

Schritt 3: Ihren IdP konfigurieren

Nachdem Sie die erforderlichen Informationen bereitgestellt haben, konfiguriert unser Support-Team die Federation. Anschließend stellen wir Ihnen eine eindeutige SAML-Metadaten-URL für den STACKIT IdP bereit:

https://accounts.stackit.cloud/idps/FEDERATION_ID_HERE/saml/metadata

Fügen Sie diese URL zum IdP Ihrer Organisation hinzu, um die Vertrauensbeziehung herzustellen.

Schritt 4: Verifizierung

Bestätigen Sie, dass die Federation funktioniert, und melden Sie die Ergebnisse oder eventuelle Probleme, mit denen Sie konfrontiert sind.

Wechsel von OIDC zu SAML

Wenn Sie eine bestehende OIDC-Federation haben und zu SAML wechseln, ist der Übergang nahtlos. Solange die Email-Adressen gleich bleiben, verlieren Benutzer weder den Zugriff noch Daten. Benutzerkonten sind an Email-Adressen gebunden, nicht an Federationsmethoden.