Artikel über: Arbeitsbereichskonfiguration
Dieser Artikel ist auch verfügbar in:

SAML SSO Microsoft Entra

🔑 SAML SSO Microsoft Entra

„Aktivieren Sie sicheres Single Sign-On mit Microsoft Entra und Brainframe GRC."
Folgen Sie diesen Schritten, um die SAML-Authentifizierung zwischen Ihrem Entra-Mandanten und Brainframe GRC zu konfigurieren.



1️⃣ Die Anwendung erstellen


  1. Gehen Sie zum Entra-Admin-Center → https://entra.microsoft.com/#home und klicken Sie auf New application.


  1. Wählen Sie Create your own application.


  1. Geben Sie einen Namen für Ihre Anwendung ein, wählen Sie Non-gallery application und klicken Sie auf Create.


📌 Tipp: Verwenden Sie einen aussagekräftigen Namen (z. B. Brainframe GRC SSO), damit die Anwendung leicht wiederzuerkennen ist.



2️⃣ Die Entra-Anwendung konfigurieren


  1. Gehen Sie zu Single sign-on und wählen Sie SAML.


  1. Klicken Sie auf Edit im Block Basic SAML configuration.


  1. Rufen Sie die erforderlichen Werte aus Brainframe Arbeitsbereichseinstellungen → Authentifizierung ab und tragen Sie sie in Entra ein. Lassen Sie die übrigen Felder leer. Klicken Sie auf Save.



  1. Bearbeiten Sie den Block Attributes & claims.


  1. Löschen Sie alle nicht erforderlichen Claims unter Additional claims, indem Sie auf die 3 Punkte → Delete klicken.


  1. Fügen Sie neue Claims manuell über Add new claim hinzu.


  1. Erstellen Sie die folgenden Claims mit Groß-/Kleinschreibung:
  • firstname
  • lastname
  • WorkspaceId



⚠️ Achtung: Die Claim-Namen müssen exakt übereinstimmen. Verwenden Sie WorkspaceId (nicht Workspaceid).


✅ Beispiel für die endgültige Konfiguration:



3️⃣ Brainframe-Konfiguration


Sobald Entra bereit ist, konfigurieren Sie die Brainframe-GRC-Seite unter Arbeitsbereichseinstellungen → Authentifizierung.



  1. Kopieren Sie die Login URL aus Entra (SSO-Seite) → fügen Sie sie in IdP Single Sign-On (SSO) Login URL in Brainframe ein.


  1. Laden Sie das SAML-Zertifikat (Base64) herunter → kopieren Sie den Text (entfernen Sie die Zeilen BEGIN/END CERTIFICATE) → fügen Sie ihn in IdP application certificate in Brainframe ein.



4️⃣ Die Integration testen


  1. Fügen Sie Benutzer zur Entra-Anwendung hinzu.


  1. Testen Sie den Anmeldeablauf der Anwendung.


  1. Zugewiesene Benutzer sehen die Anwendung nun in ihrem Entra-Portal verfügbar.



5️⃣ Benutzerprovisionierung (erster SSO-Login)


Kurz gesagt: Ein völlig neuer Benutzer, der sich über das SSO seines Unternehmens anmeldet, erhält ein Brainframe-Konto, das sofort aktiv ist. Die Passwortanmeldung ist für diesen Benutzer deaktiviert.


⚠️ SSO muss für den Arbeitsbereich aktiviert sein. Ist dies nicht der Fall, bricht der SAML-Callback ab, bevor ein Konto erstellt wird.


Wenn die von SAML übermittelte E-Mail-Adresse im System unbekannt ist, provisioniert Brainframe diesen Benutzer in diesem Arbeitsbereich:


  1. Es erstellt die Identität.
  2. Es fügt dem Arbeitsbereich einen Benutzer mit dieser Identität hinzu, unter Verwendung des SAML-Namens und der SAML-E-Mail-Adresse, mit dem Status aktiv.
  3. Es legt den Benutzer als Nicht-Administrator fest.
  4. Es markiert den Benutzer als vom Identitätsanbieter erstellt und deaktiviert die Passwortanmeldung, damit sich der Benutzer nicht außerhalb von SSO anmelden kann, nachdem er im IdP deaktiviert wurde.


Einen Benutzer deaktivieren


Ein Administrator kann das Konto später in Brainframe deaktivieren. Eine anschließende SSO-Anmeldung wird dann mit folgender Meldung abgelehnt:


„Your account has been disabled in this workspace."



6️⃣ Häufige Fehler und Lösungen


❌ Failed to read asymmetric key: Sie müssen das „IdP application certificate" in den Brainframe-GRC-Einstellungen mit dem BASE64-Zertifikat des IdP aktualisieren (ohne die Zeile BEGIN/END Certificate)



❌ Attributes mismatch → Bei allen Attributen wird zwischen Groß- und Kleinschreibung unterschieden (z. B. muss WorkspaceId exakt übereinstimmen).


❌ Beim ersten SSO-Login wird kein Konto erstellt → SSO ist für den Arbeitsbereich nicht aktiviert. Aktivieren Sie es unter Arbeitsbereichseinstellungen → Authentifizierung und speichern Sie.


❌ „Your account has been disabled in this workspace." → Ein Administrator hat diesen Benutzer in Brainframe deaktiviert. Aktivieren Sie das Konto erneut in den Benutzereinstellungen des Arbeitsbereichs.

Aktualisiert am: 15/10/2026

War dieser Beitrag hilfreich?

Teilen Sie Ihr Feedback mit

Stornieren

Danke!