Single Sign-on und SCIM

Single Sign-on beweist, wer jemand ist. Es entschlüsselt aber nichts. Ihr Tresor bleibt Ende-zu-Ende-verschlüsselt:

• Normalerweise ist Single Sign-on ein zusätzlicher Schritt. Mitglieder melden sich beim Identitätsanbieter an und geben danach ihr Master-Passwort ein, auf einem neuen Gerät auch den Geheimschlüssel.
• Auf vertrauten Geräten kann die Anmeldung beim Identitätsanbieter den Tresor öffnen, ganz ohne Master-Passwort. Das müssen Sie für die Organisation ausdrücklich erlauben (siehe unten).

Passbox unterstützt OpenID Connect. SAML wird nicht unterstützt. Die meisten Anbieter beherrschen beides.

Sie brauchen die Rolle Eigentümer oder Administrator.

1. Öffnen Sie Familie & Team, Ihre Organisation, dann Einstellungen → Single Sign-on → Einrichten.
2. Wählen Sie den Anbieter und geben Sie einen Namen für die Anmeldeschaltfläche ein.
3. Kopieren Sie die Weiterleitungs-URI und tragen Sie sie bei Ihrem Identitätsanbieter ein (Anleitungen unten).
4. Tragen Sie Aussteller-URL (Issuer), Client-ID und Client-Secret ein. Das Secret speichert Passbox verschlüsselt und zeigt es nie wieder an.
5. Tragen Sie die E-Mail-Domains Ihrer Firma ein, eine pro Zeile.
6. Wählen Sie Verbindung prüfen. Passbox liest die Einstellungen des Anbieters.
7. Schalten Sie Single Sign-on ist an ein und speichern Sie.
8. Anmeldung testen öffnet den Anbieter in einem Fenster und zeigt, was er an Passbox sendet und ob eine echte Anmeldung klappen würde. Dabei wird niemand angemeldet.

Jede E-Mail-Domain kann auf einem Server nur zu einer Organisation gehören.

• Single Sign-on verlangen: Mitglieder müssen sich über den Anbieter anmelden. Eigentümer und Administratoren können immer auch das Master-Passwort nutzen. So sperrt ein gestörter Anbieter niemanden aus. Wie lange ein Gerät nach einer Anmeldung gemerkt wird, stellen Sie unter Erweitert: Claims und Token-Anfrage ein (Standard: 12 Stunden).
• Entsperren mit Single Sign-on erlauben: Mitglieder können Geräten vertrauen und dann ohne Master-Passwort entsperren. Lesen Sie vorher den Abschnitt „Vertraute Geräte“.
• Bestätigte E-Mail-Adresse verlangen (unter Erweitert: Claims und Token-Anfrage, standardmäßig an): Passbox akzeptiert nur Adressen, die der Anbieter als bestätigt meldet.

Nach einer Anmeldung über Single Sign-on fragt Passbox nicht zusätzlich nach seiner eigenen Zwei-Faktor-Anmeldung. Verlangen Sie die mehrstufige Anmeldung deshalb bei Ihrem Identitätsanbieter.

Microsoft Entra ID

1. Entra Admin Center → App-Registrierungen → Neue Registrierung: Name „Passbox“, ein Mandant, Umleitungs-URI vom Typ Web mit der Weiterleitungs-URI aus Passbox.
2. Zertifikate & Geheimnisse → Neuer geheimer Clientschlüssel. Kopieren Sie den Wert, nicht die ID.
3. Tokenkonfiguration → Optionalen Anspruch hinzufügen → ID-Token → email.
4. In Passbox: Aussteller https://login.microsoftonline.com/<Mandanten-ID>/v2.0, Client-ID ist die Anwendungs-ID. Schalten Sie unter Erweitert: Claims und Token-Anfrage „Bestätigte E-Mail-Adresse verlangen“ aus, denn Entra ID sendet diese Angabe nicht.

Google Workspace

1. Google Cloud Console → APIs & Dienste → OAuth-Zustimmungsbildschirm: Intern. Dann Anmeldedaten → OAuth-Client-ID → Webanwendung, mit der Weiterleitungs-URI aus Passbox.
2. In Passbox: Aussteller https://accounts.google.com, dazu Client-ID und Secret.

Okta

1. Applications → Create App Integration → OIDC, Web Application. Sign-in redirect URI ist die Weiterleitungs-URI aus Passbox. Weisen Sie Personen oder Gruppen zu.
2. In Passbox: Aussteller https://<ihre-org>.okta.com oder https://<ihre-org>.okta.com/oauth2/default, dazu Client-ID und Secret.

Keycloak

1. Realm → Clients → Create client: OpenID Connect, Client-ID „passbox“, Client authentication an, Standard flow an, gültige Redirect-URI aus Passbox. Unter Advanced PKCE auf S256 stellen.
2. In Passbox: Aussteller https://<host>/realms/<realm>, Secret aus dem Reiter Credentials.

authentik

1. Providers → Create → OAuth2/OpenID Provider, vertraulicher Client, Redirect-URI aus Passbox, Signatur mit Ihrem Zertifikat. Dann eine Application mit dem Slug „passbox“.
2. In Passbox: Aussteller https://<host>/application/o/passbox/ mit dem Schrägstrich am Ende.

ZITADEL

1. Projekt → New application → Web, Methode Code, Redirect-URI aus Passbox.
2. In Passbox: Aussteller https://<instanz>.zitadel.cloud oder Ihre eigene Domain, Client-ID und Secret.

Auf der Anmeldeseite wählen Mitglieder Single Sign-on (SSO) verwenden oder tippen ihre Firmen-E-Mail-Adresse ein. Dann erscheint die Option von selbst. Nach der Anmeldung beim Anbieter geben sie wie gewohnt ihr Master-Passwort ein.

Single Sign-on funktioniert in der Web-App im Browser. In der Desktop-App, der Browser-Erweiterung, den Handy-Apps und der Kommandozeile melden sich Mitglieder mit Master-Passwort an.

Wer noch kein Passbox-Konto hat, erstellt zuerst eines. Passbox legt Konten nicht automatisch bei der ersten Anmeldung an, weil Master-Passwort und Geheimschlüssel auf dem Gerät der Person entstehen müssen.

Ist Entsperren mit Single Sign-on erlauben an, können Mitglieder in Einstellungen → Vertraute Geräte mit Diesem Browser vertrauen ein Gerät freischalten. Danach öffnet die Anmeldung beim Anbieter den Tresor auf diesem Gerät ohne Master-Passwort.

Ein weiteres Gerät gibt ein schon vertrautes Gerät frei: Beide zeigen einen Code, das Mitglied vergleicht ihn und wählt Freigeben.

Ein Gerät entfernen Sie unter Vertraute Geräte → Entfernen. Danach braucht es wieder das Master-Passwort.

Mit SCIM 2.0 überträgt Ihr Verzeichnis Personen und Gruppen an Passbox.

1. Öffnen Sie in den Einstellungen für Single Sign-on Bereitstellung (SCIM). Dort steht die SCIM-Basis-URL.
2. Wählen Sie Token erstellen, geben Sie einen Namen ein und eine Gültigkeit von 1 bis 730 Tagen. Das Token wird nur einmal angezeigt.
3. Tragen Sie Basis-URL und Token bei Ihrem Anbieter ein, etwa in Entra ID unter Unternehmensanwendungen → Bereitstellung → Automatisch, oder in Okta unter Provisioning. Keycloak, authentik, ZITADEL, JumpCloud und OneLogin funktionieren über ihren SCIM-2.0-Connector.

Was dann passiert:

• Neue Personen bekommen eine Einladung per E-Mail oder treten bei ihrer ersten Anmeldung über Single Sign-on bei. Danach warten sie auf Bestätigung. Bestätigen Sie sie unter Bereitgestellte Personen. Das kann nur ein Administrator, denn nur sein Gerät kann ihnen die Schlüssel der Organisation geben.
• Deaktivierte Personen verlieren sofort den Zugriff. Passbox meldet sie auf allen Geräten ab und entfernt ihre vertrauten Geräte. Eine Reaktivierung stellt den Zugriff wieder her.
• Verzeichnisgruppen werden angezeigt. Personen in Passbox-Gruppen aufnehmen müssen Sie selbst, weil Gruppen eigene Schlüssel haben.

Erstellen Sie vor Ablauf eines Tokens ein neues und widerrufen Sie das alte. Passbox markiert Tokens, die in den nächsten 14 Tagen ablaufen.

• SAML wird nicht unterstützt.
• Single Sign-on gibt es in der Web-App im Browser, noch nicht in Desktop-App, Erweiterung, Handy-Apps und Kommandozeile.
• Passbox prüft nicht, ob einer Organisation eine E-Mail-Domain wirklich gehört. Auf einem gemeinsamen Server gehört eine Domain der Organisation, die sie zuerst einträgt. Die Domain entscheidet aber nur, welche Anmeldung angeboten wird. Sie meldet niemanden an, der nicht Mitglied ist.
• Konten entstehen nicht automatisch bei der ersten Anmeldung, und Verzeichnisgruppen werden nicht automatisch zu Passbox-Gruppen.

Betreiben Sie Passbox selbst, setzen Sie vorher die Adresse Ihres Servers, siehe Server konfigurieren.