SSO (Enterprise)

Kopiere einen Setup-Prompt mit den Installationsschritten und dem vollständigen Markdown-Guide für dieses Plugin.

Was ist SSO?

Single Sign-On (SSO) ermöglicht es deinem Team, sich über deinen Unternehmens-Identity-Provider (IdP) bei Capgo anzumelden. Capgo nutzt SAML 2.0 via Supabase Auth. Wenn die E-Mail-Domain eines Nutzers mit einem aktiven SSO-Provider übereinstimmt, kann die Authentifizierung über deinen IdP erfolgen und der Nutzer wird während des SSO-Callbacks in der Organisation bereitgestellt.

SSO ändert nichts an den Berechtigungen der Nutzer. Diese werden über Organisationsrollen. SSO ändert lediglich die Art der Authentifizierung.

Voraussetzungen

Vor dem Start:

Enterprise-Abo für die Capgo Organisation aktiv.
Ein Identity Provider, der SAML 2.0 unterstützt und eine IdP- Metadata-URL (HTTPS).
Möglichkeit, einen DNS TXT-Record für die E-Mail-Domain zu erstellen (z. B. company.com für User, die sich anmelden als user@company.com).
Ein Capgo Organisationsmitglied mit Berechtigung zum Ändern der Organisationseinstellungen.
Ein IdP-Admin IT- oder Security-Team kontaktieren.

So findest du die SSO-Einstellungen

Öffne https://console.capgo.app/
Klicken Einstellungen in der linken Seitenleiste
Wähle die Organisation Tab
Wähle die Sicherheit Tab
Scrollen zu SSO-Konfiguration. Das Formular ist nur verfügbar, wenn die Organisation den Enterprise-Plan nutzt.

Schritt 1 – IdP konfigurieren

Erstellen Sie in Ihrem Identity Provider eine neue SAML 2.0 Anwendung. Sie benötigen Folgendes: Service Provider Werte, die im Capgo SSO-Konfigurationspanel angezeigt werden:

Feld	Einsatzbereiche
ACS-URL	Assertion Consumer Service URL in deiner IdP SAML-App
Entity-ID	Service Provider Entity-Identifier
SP-Metadata-URL	Optional: Import, falls dein IdP den SP-Metadata-Import via URL unterstützt
NameID-Format	Erwartetes Format für den SAML Name Identifier

Dein IdP muss die E-Mail-Adresse des Nutzers E-Mail-Adresse in der Assertion bereitstellen. Capgo nutzt die E-Mail-Domain, um den aktiven SSO-Provider zu ermitteln und bestehende Accounts abzugleichen.

Schritt 2 - SSO-Provider in Capgo hinzufügen

Klicke im SSO-Konfigurationspanel, um einen neuen Provider hinzuzufügen
Gib die E-Mail-Domain (z. B. company.com). Sie muss mit dem Domain-Teil der Login-E-Mails deiner Nutzer übereinstimmen
Gib deine IdP- Metadata-URL ein (HTTPS)
Absenden

Der Provider wurde mit dem Status erstellt Verifizierung ausstehend.

Schritt 3 – DNS-Domain-Verifizierung

Capgo verifiziert die Domain-Inhaberschaft, bevor SSO aktiviert werden kann.

Füge einen TXT- Eintrag bei deinem DNS-Provider hinzu:

Feld	Wert
Typ	`TXT`
Name / Host	`_capgo-sso.<your-domain>` (z. B. `_capgo-sso.company.com`)
Wert	Der im Dashboard angezeigte Verifizierungstoken

Sobald der Eintrag veröffentlicht wurde (die DNS-TTL-Propagierung dauert meist einige Minuten bis zu einer Stunde), klicken Sie auf DNS verifizieren im Dashboard. Bei Erfolg wechselt der Provider auf Verifiziert.

Schritt 4 – Provider aktivieren

Nach der DNS-Verifizierung klicken Sie auf Aktivieren. Der Provider-Status lautet nun Aktiv. Nur Aktiv Provider werden während des SSO-Login-Flows verwendet.

Du kannst wählen Deaktivieren jederzeit im Dashboard wählen. Dadurch wird der Provider auf Deaktiviertverschoben, was SSO für diese Domain pausiert, ohne die Konfiguration zu löschen.

Schritt 5 – Testen und Rollen zuweisen

Wenn sich ein Nutzer zum ersten Mal via SSO anmeldet und noch keine Mitgliedschaft in dieser Organisation hat, stellt Capgo ihm die Lese- Rolle.

Nach dem Login der Pilotnutzer:

Gehe zu Einstellungen → Organisation → Mitglieder
Suchen Sie die per SSO angelegten Nutzer
Passen Sie deren Rolle auf die passende Ebene an (Upload, Write, Admin, etc.)

Siehe die vollständige Berechtigungsübersicht was die jeweilige Rolle tun kann.

Optional – SSO erzwingen

Bei einem Aktiv Provider kannst du SSO erzwingenaktivieren. Wenn dies aktiviert ist, markiert Capgo bestehende Auth-User für diese E-Mail-Domain als „nur SSO“. Der Login-Flow erfordert für diese Domain dann eine IdP-Authentifizierung. Wenn du den Provider auf Deaktiviert (Deaktivieren) oder das Deaktivieren der Erzwingung entfernt das SSO-only-Flag für die Domain.

Referenz zum Provider-Status

Status	Bedeutung
Verifizierung ausstehend	DNS TXT-Record noch nicht verifiziert
Verifiziert	Domain-Besitz bestätigt; bereit zur Aktivierung
Aktiv	SSO ist für diese Domain aktiv
Deaktiviert	Festgelegt von Deaktivieren im Dashboard; SSO wird für diese Domain nicht genutzt; verwende Reaktivieren um zurückzukehren zu Aktiv

Rollout-Checkliste

Enterprise-Plan bestätigt
SAML-App im IdP mit ACS-URL und Entity ID von Capgo erstellt
IdP für die Bereitstellung eines stabilen Email-Claims konfiguriert
DNS-TXT-Record veröffentlicht und DNS verifizieren erfolgreich
Provider aktiviert
Pilot-User erfolgreich angemeldet
Rollen über Standard hinaus angehoben Lesen nach Bedarf
Enforcement-Entscheidung getroffen (und bei Aktivierung kommuniziert)

Weiterführende Infos zu SSO (Enterprise)

Wenn du es nutzt SSO (Enterprise) um Authentifizierungs- und Account-Flows zu planen, verbinde es mit @capgo/capacitor-social-login für die Implementierungsdetails in @capgo/capacitor-social-login, @capgo/capacitor-passkey für die Implementierungsdetails in @capgo/capacitor-passkey, @capgo/capacitor-native-biometric für die Implementierungsdetails in @capgo/capacitor-native-biometric, Zwei-Faktor-Authentifizierung für die Implementierungsdetails bei der Zwei-Faktor-Authentifizierung, und 5 Schritte zur OAuth2-Implementierung in Capacitor Apps für den praktischen Kontext in 5 Schritte zur OAuth2-Implementierung in Capacitor Apps.