Mit Okta melden sich Ihre Mitarbeiter mit ihrem Okta-Konto bei Schulungstool an. Sie legen Schulungstool einmalig als App Integration in Ihrer Okta Admin Console an und übertragen drei Angaben in Schulungstool – die Verbindung steht in etwa zehn Minuten. Wie Single Sign-on grundsätzlich funktioniert und was die einzelnen Felder bedeuten, erklärt der Artikel Single Sign-on einrichten.

Vorbereitung in Schulungstool

Öffnen Sie im Administrationsbereich Einstellungen > Erweiterte Einstellungen > Single Sign-on und kopieren Sie die Redirect-URI mit dem Button Kopieren. Sie hat die Form https://ihre-firma.schulungstool.de/accounts/sso/callback/ und wird gleich in Okta benötigt.

Schulungstool in Okta registrieren

Dafür benötigen Sie in Okta die Rolle Super Administrator oder Application Administrator – die Rolle Org Administrator darf keine App Integrations anlegen. Die Okta Admin Console erreichen Sie unter https://ihre-firma-admin.okta.com/ – ihre-firma steht hier und im Folgenden beispielhaft für die Okta-Domain Ihres Unternehmens; je nach Region endet sie auch auf okta-emea.com oder oktapreview.com. Die Admin Console bietet Okta nicht auf Deutsch an, deshalb nennen wir die Menüpunkte im englischen Wortlaut.

  1. Wählen Sie in der Admin Console Applications and Resources > Applications, klicken Sie auf Create App Integration und wählen Sie Classic experience.
  2. Wählen Sie als Sign-in method die Option OIDC - OpenID Connect und als Application type die Option Web Application. Klicken Sie auf Next.
  3. Tragen Sie unter General Settings als App integration name „Schulungstool“ ein. Bei Grant type bleibt Authorization Code ausgewählt – das ist die Voreinstellung.
  4. Fügen Sie bei Sign-in redirect URIs die Redirect-URI aus Schulungstool ein; den vorausgefüllten Beispielwert ersetzen Sie dabei. Das Feld Sign-out redirect URIs ist optional – einen vorausgefüllten Wert wie http://localhost:8080 können Sie entfernen.
  5. Legen Sie unter Assignments bei Controlled access fest, wer die App nutzen darf – zum Beispiel Allow everyone in your organization to access oder Limit access to selected groups. Ist bei Enable immediate access with Federation Broker Mode ein Häkchen gesetzt, entfernen Sie es – sonst können Sie keine Benutzer zuweisen und Schulungstool nicht im Okta End-User Dashboard anzeigen. Klicken Sie auf Save.
  6. Okta zeigt die neue App Integration auf dem Tab General. Kopieren Sie unter Client Credentials die Client ID und unter Client Secrets das Client secret – das sind Client-ID und Client-Secret für Schulungstool. Das Secret bleibt in Okta einsehbar, Sie können es später jederzeit erneut kopieren.

Tipp: Okta erlaubt zwei Secrets gleichzeitig. Zum Erneuern erzeugen Sie unter Client Secrets mit Generate new secret ein neues, tragen es in Schulungstool ein und setzen das alte danach auf Inactive.

Die Discovery-URL ergibt sich aus Ihrer Okta-Domain mit dem Zusatz /.well-known/openid-configuration, zum Beispiel https://ihre-firma.okta.com/.well-known/openid-configuration. Es genügt auch https://ihre-firma.okta.com – Schulungstool ergänzt den Rest. Ihre Okta-Domain sehen Sie in der Admin Console im Menü hinter Ihrem Benutzernamen oben rechts. Hat Ihr Unternehmen in Okta eine eigene Domain eingerichtet (zum Beispiel login.ihre-firma.de), verwenden Sie diese Domain auch für die Discovery-URL: Okta setzt den Issuer neuer App Integrations dann standardmäßig auf diese Domain (Tab Sign On > OpenID Connect ID Token > Issuer). Ein eigener Authorization Server ist nicht nötig: Der eingebaute Org Authorization Server liefert alles, was Schulungstool braucht.

In Schulungstool eintragen

  1. Klicken Sie unter Einstellungen > Erweiterte Einstellungen > Single Sign-on auf Single Sign-on einrichten.
  2. Tragen Sie als Beschriftung des Buttons zum Beispiel „Okta“ ein – Ihre Login-Seite zeigt dann Mit Okta anmelden.
  3. Fügen Sie die Discovery-URL, die Client-ID (Anwendungs-ID) und das Client-Secret (Geheimer Clientschlüssel) ein.
  4. Wählen Sie unter Standardgruppen für automatisch angelegte Benutzer die gewünschten Gruppen, setzen Sie das Häkchen bei Single Sign-on aktivieren und klicken Sie auf Änderungen speichern.

Anmeldung testen

Öffnen Sie Ihre Login-Seite in einem privaten Browserfenster und klicken Sie auf Mit Okta anmelden. Melden Sie sich mit einem Benutzer an, der in Okta Zugriff auf die App Integration hat – nach der Anmeldung bei Okta landet er direkt im Lernbereich. Schulungstool übernimmt dabei die Primary email aus dem Okta-Profil: Gibt es in Schulungstool bereits einen Benutzer mit dieser E-Mail-Adresse, wird sein Konto verknüpft; sonst wird er automatisch angelegt, sofern Sie diese Option aktiviert haben.

Welche Benutzer dürfen sich anmelden?

Das entscheiden Sie an zwei Stellen. In Okta bestimmt die Zuweisung, wer die App Integration nutzen darf: Öffnen Sie dort den Tab Assignments und klicken Sie auf Assign > Assign to Groups oder Assign to People. Nicht zugewiesene Benutzer weist Okta beim Anmelden ab. In Schulungstool bestimmt die Option Unbekannte Benutzer automatisch anlegen, ob neue Benutzer beim ersten Login entstehen – im Rahmen des Benutzerlimits Ihres Tarifs. Ist die Option ausgeschaltet, können sich nur Benutzer anmelden, die es in Ihrem Konto bereits gibt.

Soll Schulungstool im Okta End-User Dashboard erscheinen?

Öffnen Sie die App Integration auf dem Tab General und klicken Sie bei General Settings auf Edit. Setzen Sie Login initiated by auf Either Okta or App, aktivieren Sie bei Application visibility die Option Display application icon to users und wählen Sie als Login flow die Option Redirect to app to initiate login (OIDC Compliant). Tragen Sie als Initiate login URI die Login-URL aus Schulungstool ein (https://ihre-firma.schulungstool.de/accounts/sso/login/) und speichern Sie. Wählen Sie nicht Send ID Token directly to app (Okta Simplified) – Schulungstool startet die Anmeldung immer selbst über die Login-URL. Ein Klick auf die Kachel im Dashboard startet dann direkt die Anmeldung.

Ein Benutzer kann sich nicht anmelden – was prüfen?

Die häufigsten Ursachen: Der Benutzer ist in Okta der App Integration nicht zugewiesen – die Login-Seite meldet dann nur, dass die Anmeldung über Okta fehlgeschlagen ist; Abhilfe auf dem Tab Assignments. Oder die Option Unbekannte Benutzer automatisch anlegen ist ausgeschaltet und der Benutzer existiert noch nicht in Schulungstool bzw. seine Primary email in Okta weicht von der E-Mail-Adresse in Schulungstool ab – die Meldung nennt dann die Adresse (ist die Option eingeschaltet, entsteht bei abweichender Adresse stattdessen ein zweites Konto). Oder das Benutzerlimit Ihres Tarifs ist erreicht.

Sie möchten die Einrichtung lieber gemeinsam mit uns durchgehen? Unser Support hilft kostenfrei: Schreiben Sie an support@schulungstool.de oder nutzen Sie Einstellungen > Erweiterte Einstellungen > Nachricht an Support senden.