Mit Google Workspace melden sich Ihre Mitarbeiter per Single Sign-on mit ihrem Google-Konto bei Schulungstool an. Sie registrieren Schulungstool dafür einmalig als Anwendung in der Google Cloud Console und übertragen Client-ID und Clientschlüssel in Schulungstool – die Discovery-URL ist bei Google für alle Kunden gleich. Die Einrichtung dauert etwa zehn Minuten. Wie Single Sign-on grundsätzlich funktioniert und was die einzelnen Felder bedeuten, erklärt der Artikel Single Sign-on einrichten.

Vorbereitung in Schulungstool

Öffnen Sie im Administrationsbereich Einstellungen > Erweiterte Einstellungen > Single Sign-on und kopieren Sie die Redirect-URI mit dem Button Kopieren. Sie hat die Form https://ihre-firma.schulungstool.de/accounts/sso/callback/ und wird gleich in der Google Cloud Console benötigt.

Schulungstool in der Google Cloud Console registrieren

Melden Sie sich in der Google Cloud Console mit einem Google-Konto Ihrer Workspace-Organisation an. Standardmäßig darf jedes Konto der Organisation dort Projekte anlegen; hat Ihr Google-Administrator das eingeschränkt, bitten Sie ihn um ein Projekt mit der Rolle Inhaber.

  1. Wählen Sie oben in der Projektauswahl ein bestehendes Projekt oder legen Sie mit Neues Projekt eines an – als Projektname genügt „Schulungstool“. Achten Sie darauf, dass das Projekt Ihrer Workspace-Organisation zugeordnet ist – nur dann steht später die Zielgruppe Intern zur Verfügung. Klicken Sie auf Erstellen.
  2. Öffnen Sie im Navigationsmenü Google Auth Platform. Ist sie in diesem Projekt noch nicht eingerichtet, klicken Sie auf der Seite Übersicht auf Jetzt starten: Tragen Sie unter Anwendungsinformationen als Anwendungsname „Schulungstool“ ein und wählen Sie unter E-Mail-Adresse für Nutzersupport Ihre eigene Adresse oder eine von Ihnen verwaltete Google-Gruppe aus. Klicken Sie auf Weiter.
  3. Wählen Sie als Zielgruppe die Option Intern. Damit können sich nur Konten Ihrer Workspace-Organisation anmelden, und Google verlangt keine Überprüfung der App. Klicken Sie auf Weiter. Geben Sie unter Kontaktdaten Ihre E-Mail-Adresse an und klicken Sie auf Weiter. Bestätigen Sie unter Abschließen die Richtlinie zu Nutzerdaten, klicken Sie auf Weiter und dann auf Erstellen. War die Plattform bereits eingerichtet, prüfen Sie die Einstellung auf der Seite Zielgruppe.
  4. Öffnen Sie Branding, fügen Sie unter Autorisierte Domains die Domain schulungstool.de hinzu und klicken Sie auf Speichern. Google verlangt, dass jede Domain, die Sie in einem Client verwenden, vorher dort eingetragen ist – Subdomains wie ihre-firma.schulungstool.de sind damit abgedeckt.
  5. Wechseln Sie zu Clients und klicken Sie auf Client erstellen. Wählen Sie als Anwendungstyp die Option Webanwendung und geben Sie unter Name „Schulungstool“ ein – der Name erscheint nur in der Google Cloud Console.
  6. Klicken Sie unter Autorisierte Weiterleitungs-URIs auf URI hinzufügen und fügen Sie die Redirect-URI aus Schulungstool ein – exakt wie kopiert, inklusive https:// und des abschließenden Schrägstrichs. Autorisierte JavaScript-Quellen bleiben leer. Klicken Sie auf Erstellen.
  7. Der Dialog OAuth-Client erstellt zeigt die Client-ID (sie endet auf .apps.googleusercontent.com) und den Clientschlüssel – das sind Client-ID und Client-Secret für Schulungstool. Kopieren Sie beide jetzt oder sichern Sie sie mit JSON herunterladen: Nach dem Schließen des Dialogs zeigt Google den Clientschlüssel nicht mehr vollständig an.

Tipp: Haben Sie den Clientschlüssel verpasst, brauchen Sie keinen neuen Client: Öffnen Sie den Client unter Clients und fügen Sie einen weiteren Clientschlüssel hinzu – er wird wieder nur einmal angezeigt. Tragen Sie ihn in Schulungstool ein und deaktivieren und löschen Sie danach den alten Schlüssel; ein Client kann höchstens zwei Clientschlüssel haben. OAuth-Clients, die sechs Monate lang weder für eine Anmeldung genutzt noch bearbeitet wurden, löscht Google automatisch. Google kündigt die Löschung 30 Tage vorher per E-Mail an, danach lässt sich der Client noch 30 Tage lang in der Google Cloud Console wiederherstellen. Solange sich Ihre Mitarbeiter regelmäßig per Single Sign-on anmelden, gilt der Client als aktiv.

In Schulungstool eintragen

  1. Klicken Sie unter Einstellungen > Erweiterte Einstellungen > Single Sign-on auf Single Sign-on einrichten.
  2. Tragen Sie als Beschriftung des Buttons zum Beispiel „Google“ ein – Ihre Login-Seite zeigt dann Mit Google anmelden.
  3. Tragen Sie als Discovery-URL die Adresse https://accounts.google.com/.well-known/openid-configuration ein – Googles OpenID-Connect-Konfiguration, die für alle Kunden gleich ist.
  4. Fügen Sie die Client-ID in das Feld Client-ID (Anwendungs-ID) und den Clientschlüssel in das Feld Client-Secret (Geheimer Clientschlüssel) ein.
  5. Wählen Sie unter Standardgruppen für automatisch angelegte Benutzer die gewünschten Gruppen, setzen Sie das Häkchen bei Single Sign-on aktivieren und klicken Sie auf Änderungen speichern.

Anmeldung testen

Öffnen Sie Ihre Login-Seite in einem privaten Browserfenster und klicken Sie auf Mit Google anmelden. Google fragt nach dem Konto, zeigt beim ersten Mal unter Umständen noch einen Bestätigungsschritt an und leitet dann in den Lernbereich. Schlägt der Test direkt nach dem Anlegen des Clients fehl, warten Sie etwas und versuchen Sie es erneut: Laut Google kann es fünf Minuten bis einige Stunden dauern, bis Änderungen an einem OAuth-Client wirksam werden.

Muss ich meine App bei Google verifizieren?

Nein. Mit der Zielgruppe Intern ist die App auf Konten Ihrer eigenen Workspace-Organisation beschränkt, und Google verlangt dafür keine Überprüfung. Schulungstool fragt bei der Anmeldung nur die Basisdaten des Google-Kontos ab (Name, E-Mail-Adresse, Profilbild) – der Prüfprozess, den Google für Apps mit Zugriff auf Daten wie Drive oder Gmail vorsieht, betrifft Sie also nicht. Angaben unter Branding wie Logo, Startseite oder Datenschutzerklärung sind optional.

Kann ich auch private Gmail-Konten zulassen?

Ja: Stellen Sie auf der Seite Zielgruppe den Nutzertyp auf Extern um – dann kann sich jedes Google-Konto bei Schulungstool anmelden, etwa freie Mitarbeiter ohne Workspace-Konto. Weil Schulungstool nur die Basisdaten des Google-Kontos (Name, E-Mail-Adresse, Profilbild) abfragt, verlangt Google dafür weder eine Überprüfung der App noch eine Liste von Testnutzern. Prüfen Sie in diesem Fall aber die Option Unbekannte Benutzer automatisch anlegen: Ist sie aktiv, legt Schulungstool für jedes Google-Konto, das sich auf Ihrer Login-Seite anmeldet, einen Benutzer an – und jeder zählt zum Benutzerlimit Ihres Tarifs. Sicherer ist es, die Option auszuschalten und die gewünschten Benutzer vorab mit ihrer Gmail-Adresse manuell zu erstellen oder per E-Mail einzuladen; beim ersten Login werden sie dann über die E-Mail-Adresse verknüpft.

Ein Benutzer kann sich nicht anmelden – was prüfen?

Meldet Google den Fehler org_internal, gehört das verwendete Google-Konto nicht zu Ihrer Workspace-Organisation – der Benutzer muss sein Firmenkonto wählen. Bei redirect_uri_mismatch stimmt die Weiterleitungs-URI im OAuth-Client nicht exakt mit der Redirect-URI aus Schulungstool überein; vergleichen Sie beide Zeichen für Zeichen. Bei invalid_client ist der Clientschlüssel falsch oder deaktiviert, zum Beispiel nach einer Rotation. Bei admin_policy_enforced sperrt Ihr Workspace-Administrator den Zugriff von Drittanbieter-Apps – die App muss dann in der Google Admin-Konsole freigegeben werden. Zeigt stattdessen Schulungstool eine Meldung, sind die häufigsten Ursachen: Die Option Unbekannte Benutzer automatisch anlegen ist ausgeschaltet und der Benutzer existiert noch nicht in Schulungstool, oder das Benutzerlimit Ihres Tarifs ist erreicht. Die Meldung auf der Login-Seite nennt den Grund.

Sie möchten die Einrichtung lieber gemeinsam mit uns durchgehen? Unser Support hilft kostenfrei: Schreiben Sie an support@schulungstool.de oder nutzen Sie Einstellungen > Erweiterte Einstellungen > Nachricht an Support senden.