Tutorial: Integration des einmaligen Anmeldens (SSO) von Microsoft Entra in Workplace by Meta

In diesem Tutorial erfahren Sie, wie Sie Workplace by Meta in Microsoft Entra ID integrieren. Die Integration von Workplace by Meta in Microsoft Entra ID ermöglicht Folgendes:

• Sie können in Microsoft Entra ID steuern, wer Zugriff auf Workplace by Meta hat.
• Ermöglichen Sie es Ihren Benutzern, sich mit ihren Microsoft Entra-Konten automatisch bei Workplace by Meta anzumelden.
• Verwalten Sie Ihre Konten an einem zentralen Ort.

Voraussetzungen

Für die ersten Schritte benötigen Sie Folgendes:

• Ein Microsoft Entra-Abonnement. Falls Sie über kein Abonnement verfügen, können Sie ein kostenloses Azure-Konto verwenden.
• Ein Workplace by Meta-Abonnement, für das einmaliges Anmelden (Single Sign-On, SSO) aktiviert ist.

Hinweis

Bei Meta gibt es zwei Produkte: Workplace Standard (kostenlos) und Workplace Premium (kostenpflichtig). Alle Workplace Premium-Mandanten können SCIM- und SSO-Integration ohne weitere Auswirkungen auf die Kosten oder die erforderlichen Lizenzen konfigurieren. SSO und SCIM sind in Workplace Standard-Instanzen nicht verfügbar.

Beschreibung des Szenarios

In diesem Tutorial konfigurieren und testen Sie das einmalige Anmelden von Microsoft Entra in einer Testumgebung.

• Workplace by Meta unterstützt SP-initiiertes einmaliges Anmelden.
• Workplace by Meta unterstützt Just-in-Time-Bereitstellung.
• Workplace by Meta unterstützt automatische Benutzerbereitstellung.
• Die Workplace by Meta Mobile-Anwendung kann nun mit Microsoft Entra ID konfiguriert werden, um SSO zu ermöglichen. In diesem Tutorial konfigurieren und testen Sie das einmalige Anmelden von Microsoft Entra in einer Testumgebung.

Hinzufügen von Workplace by Meta aus dem Katalog

Zum Konfigurieren der Integration von Workplace by Meta in Microsoft Entra ID müssen Sie Workplace by Meta aus dem Katalog der Liste mit den verwalteten SaaS-Apps hinzufügen.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.
2. Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen>Neue Anwendung.
3. Geben Sie im Abschnitt Aus Katalog hinzufügen den Suchbegriff Workplace by Meta in das Suchfeld ein.
4. Wählen Sie im Ergebnisbereich Workplace by Meta aus, und fügen Sie dann die App hinzu. Warten Sie einige Sekunden, während die App Ihrem Mandanten hinzugefügt wird.

Alternativ können Sie auch den Enterprise App Configuration Wizard verwenden. Mit diesem Assistenten können Sie Ihrem Mandanten eine Anwendung hinzufügen, der App Benutzer/Gruppen hinzufügen, Rollen zuweisen sowie die SSO-Konfiguration durchlaufen. Erfahren Sie mehr über Microsoft 365-Assistenten.

Konfigurieren und Testen des einmaligen Anmeldens von Microsoft Entra für Workplace by Meta

Konfigurieren und testen Sie das einmalige Anmelden von Microsoft Entra mit Workplace by Meta mithilfe eines Testbenutzers mit dem Namen B. Simon. Damit SSO funktioniert, muss eine Linkbeziehung zwischen einem Microsoft Entra-Benutzer und dem entsprechenden Benutzer in Workplace by Meta eingerichtet werden.

Führen Sie zum Konfigurieren und Testen des einmaligen Anmeldens von Microsoft Entra mit Workplace by Meta die folgenden Schritte aus:

1. Konfigurieren des einmaligen Anmeldens von Microsoft Entra, um Ihren Benutzer*innen die Verwendung dieses Features zu ermöglichen.
   1. Erstellen Sie einen Microsoft Entra-Testbenutzer, um Microsoft Entra-SSO mit dem Testbenutzer B. Simon zu testen.
   2. Zuweisen der Microsoft Entra-Testbenutzerin, um B.Simon die Verwendung des einmaligen Anmeldens von Microsoft Entra zu ermöglichen.
2. Konfigurieren des einmaligen Anmeldens für Workplace by Meta, um die Einstellungen für einmaliges Anmelden auf der Anwendungsseite zu konfigurieren.
   1. Erstellen eines Workplace by Meta-Testbenutzers, um eine Entsprechung von B. Simon in Workplace by Meta zu erhalten, die mit ihrer Darstellung in Microsoft Entra verknüpft ist.
3. Testen des einmaligen Anmeldens , um zu überprüfen, ob die Konfiguration funktioniert

Konfigurieren des einmaligen Anmeldens (SSO) von Microsoft Entra

Gehen Sie wie folgt vor, um das einmalige Anmelden von Microsoft Entra zu aktivieren.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.

2. Navigieren Sie zur Anwendungsintegrationsseite unter Identität>Anwendungen>Unternehmensanwendungen>Workplace by Meta und dann zum Abschnitt Verwalten, und wählen Sie Einmaliges Anmelden aus.

3. Wählen Sie auf der Seite SSO-Methode auswählen die Methode SAML aus.

4. Klicken Sie auf der Seite Einmaliges Anmelden (SSO) mit SAML einrichten auf das Stiftsymbol für Grundlegende SAML-Konfiguration, um die Einstellungen zu bearbeiten.

   

5. Geben Sie im Abschnitt Grundlegende SAML-Konfiguration die Werte für die folgenden Felder ein:

   a. Geben Sie im Textfeld Anmelde-URL („Recipient URL“ (Empfänger-URL) in Workplace) eine URL im folgenden Format ein: https://.workplace.com/work/saml.php.

   b. Geben Sie im Textfeld Bezeichner (Entitäts-ID) („Audience URL“ (Zielgruppen-URL) in Workplace) eine URL im folgenden Format ein: https://www.workplace.com/company/.

   c. Geben Sie im Textfeld Antwort-URL („Assertion Consumer Service“ (Assertionsverbraucherdienst) in Workplace) eine URL in folgendem Format ein: https://.workplace.com/work/saml.php.

   Hinweis

   Hierbei handelt es sich um Beispielwerte. Ersetzen Sie diese Werte durch die tatsächliche Anmelde-URL, den tatsächlichen Bezeichner und die tatsächliche Antwort-URL. Die richtigen Werte für die Workplace-Community finden Sie auf der Authentifizierungsseite des Workplace-Unternehmensdashboards. Dies wird weiter unten im Tutorial erläutert.

6. Suchen Sie auf der Seite Einmaliges Anmelden (SSO) mit SAML einrichten im Abschnitt SAML-Signaturzertifikat den Eintrag Zertifikat (Base64) . Klicken Sie auf Herunterladen, um das Zertifikat herunterzuladen, und speichern Sie es auf Ihrem Computer.

   

7. Kopieren Sie im Abschnitt Workplace by Meta einrichten die entsprechenden URLs gemäß Ihren Anforderungen.

   

Erstellen einer Microsoft Entra-Testbenutzerin

In diesem Abschnitt erstellen Sie einen Testbenutzer mit dem Namen B. Simon.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Benutzeradministrator an.
2. Browsen Sie zu Identität>Benutzer>Alle Benutzer.
3. Wählen Sie oben auf dem Bildschirm Neuer Benutzer>Neuen Benutzer erstellen aus.
4. Führen Sie unter den Eigenschaften für Benutzer die folgenden Schritte aus:
   1. Geben Sie im Feld Anzeigename den Namen B.Simon ein.
   2. Geben Sie im Feld Benutzerprinzipalname ein username@companydomain.extension. Beispiel: B.Simon@contoso.com.
   3. Aktivieren Sie das Kontrollkästchen Kennwort anzeigen, und notieren Sie sich den Wert aus dem Feld Kennwort.
   4. Klicken Sie auf Überprüfen + erstellen.
5. Klicken Sie auf Erstellen.

Zuweisen der Microsoft Entra-Testbenutzerin

In diesem Abschnitt ermöglichen Sie B. Simon die Verwendung des einmaligen Anmeldens, indem Sie ihr Zugriff auf Workplace by Meta gewähren.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.
2. Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen>Workplace by Meta.
3. Wählen Sie auf der Übersichtsseite der App Benutzer und Gruppen aus.
4. Wählen Sie Benutzer/Gruppe hinzufügen und anschließend im Dialogfeld Zuweisung hinzufügen die Option Benutzer und Gruppen aus.
   1. Wählen Sie im Dialogfeld Benutzer und Gruppen in der Liste „Benutzer“ den Eintrag B. Simon aus, und klicken Sie dann unten auf dem Bildschirm auf die Schaltfläche Auswählen.
   2. Wenn den Benutzern eine Rolle zugewiesen werden soll, können Sie sie im Dropdownmenü Rolle auswählen auswählen. Wurde für diese App keine Rolle eingerichtet, ist die Rolle „Standardzugriff“ ausgewählt.
   3. Klicken Sie im Dialogfeld Zuweisung hinzufügen auf die Schaltfläche Zuweisen.

Konfigurieren des einmaligen Anmeldens für Workplace by Meta

1. Melden Sie sich in einem anderen Webbrowserfenster bei der Workplace by Meta-Unternehmenswebsite als Administrator an.

   Hinweis

   Im Rahmen des SAML-Authentifizierungsprozesses werden von Workplace ggf. Abfragezeichenfolgen mit einer Größe von bis zu 2,5 KB genutzt, um Parameter an Microsoft Entra ID zu übergeben.

2. Navigieren Sie zu Admin Panel>Security>Registerkarte Authentication.

   

   a. Aktivieren Sie die Option Single-sign on (SSO) (Einmaliges Anmelden (SSO)).

   b. Wählen Sie SSO als Standard für neue Benutzer aus.

   c. Klicken Sie auf +Add new SSO Provider (+Neuen SSO-Anbieter hinzufügen).

   Hinweis

   Aktivieren Sie außerdem das Kontrollkästchen für das Kennwort. Administratoren benötigen diese Anmeldeoption möglicherweise während der Ausführung des Zertifikatrollovers, um zu verhindern, dass sie ausgesperrt werden.

3. Führen Sie im Popupfenster Single Sign-On (SSO) Setup die folgenden Schritte aus:

   

   a. Geben Sie unter Name of the SSO Provider (Name des SSO-Anbieters) den Namen der SSO-Instanz ein, etwa „Azureadsso“.

   b. Fügen Sie in das Textfeld SAML URL den Wert der Anmelde-URL ein.

   c. Fügen Sie in das Textfeld SAML Issuer URL (SAML-Aussteller-URL) den Wert des Microsoft Entra-Bezeichners ein.

   d. Öffnen Sie das heruntergeladene Zertifikat (Base64) im Editor, kopieren Sie den Inhalt in die Zwischenablage, und fügen Sie ihn anschließend in das Textfeld SAML Certificate ein.

   e. Kopieren Sie den Wert für Audience URL für Ihre Instanz, und fügen Sie sie im Abschnitt Grundlegende SAML-Konfiguration in das Textfeld Bezeichner (Entitäts-ID) ein.

   f. Kopieren Sie den Wert für Recipient URL für Ihre Instanz, und fügen Sie sie im Abschnitt Grundlegende SAML-Konfiguration in das Textfeld Anmelde-URL ein.

   g. Kopieren Sie den Wert unter ACS (Assertion Consumer Service) URL für Ihre Instanz, und fügen Sie ihn im Abschnitt Grundlegende SAML-Konfiguration ins Textfeld Antwort-URL ein.

   h. Scrollen Sie im Abschnitt nach unten, und klicken Sie auf die Schaltfläche Test SSO (SSO testen). Ein Popupfenster mit der Microsoft Entra-Anmeldeseite wird angezeigt. Geben Sie Ihre Anmeldeinformationen ein, wie Sie es von der Authentifizierung kennen.

   Problembehandlung: Stellen Sie sicher, das die E-Mail-Adresse, die von Microsoft Entra ID zurückgegeben wird, mit dem Workplace-Konto übereinstimmt, mit dem Sie angemeldet sind.

   i. Nachdem der Test erfolgreich abgeschlossen wurde, können Sie an das Ende der Seite scrollen und auf die Schaltfläche Speichern klicken.

   j. Allen Benutzern von Workplace wird jetzt die Microsoft Entra-Anmeldeseite für die Authentifizierung angezeigt.

4. SAML Logout Redirect (optional) - (SAML-Abmeldeumleitung (optional))

   Optional können Sie angeben, dass Sie eine SAML-Abmelde-URL konfigurieren möchten, mit der auf die Microsoft Entra ID-Abmeldeseite verwiesen werden kann. Wenn diese Einstellung aktiviert und konfiguriert wird, werden Benutzer nicht mehr auf die Workplace-Abmeldeseite verwiesen. Stattdessen werden Benutzer an die URL umgeleitet, die unter der Einstellung für die SAML-Abmeldeumleitung hinzugefügt wurde.

Konfigurieren der Häufigkeit der erneuten Authentifizierung

Sie können Workplace so konfigurieren, dass die Aufforderung für die SAML-Überprüfung jeden Tag, alle drei Tage, einmal pro Woche, einmal alle zwei Wochen, einmal im Monat oder nie angezeigt wird.

Hinweis

Die Mindesteinstellung für die SAML-Überprüfung von mobilen Anwendungen ist auf einmal pro Woche festgelegt.

Sie können auch für alle Benutzer eine SAML-Zurücksetzung erzwingen, indem Sie die Schaltfläche „Require SAML authentication for all users now“ (Jetzt SAML-Authentifizierung für alle Benutzer erzwingen) verwenden.

Erstellen eines Workplace by Meta-Testbenutzers

In diesem Abschnitt wird in Workplace by Meta ein Benutzer mit dem Namen B. Simon erstellt. Workplace by Meta unterstützt die Just-in-Time-Bereitstellung, die standardmäßig aktiviert ist.

Für Sie steht in diesem Abschnitt keine Aktion an. Falls ein Benutzer in Workplace by Meta nicht vorhanden ist, wird ein neuer Benutzer erstellt, wenn Sie versuchen, auf Workplace by Meta zuzugreifen.

Hinweis

Wenden Sie sich an das Supportteam für den Workplace by Meta-Client, wenn Sie einen Benutzer manuell erstellen müssen.

Testen des einmaligen Anmeldens

In diesem Abschnitt testen Sie die Microsoft Entra-Konfiguration für einmaliges Anmelden mit den folgenden Optionen.

• Klicken Sie auf Diese Anwendung testen. Dadurch werden Sie zur Anmelde-URL vonWorkplace by Meta weitergeleitet, wo Sie den Anmeldeflow initiieren können.

• Rufen Sie direkt die Workplace by Meta-Anmelde-URL auf, und initiieren Sie den Anmeldeflow.

• Sie können „Meine Apps“ von Microsoft verwenden. Wenn Sie in „Meine Apps“ auf die Kachel „Workplace by Meta“ klicken, werden Sie zur Anmelde-URL für Workplace by Meta weitergeleitet. Weitere Informationen zu „Meine Apps“ finden Sie in dieser Einführung.

Testen des einmaligen Anmeldens für Workplace by Meta (mobil)

1. Öffnen Sie die mobile Workplace by Meta-Anwendung. Klicken Sie auf der Anmeldeseite auf LOG IN (ANMELDEN).

   

2. Geben Sie Ihre geschäftliche E-Mail-Adresse ein, und klicken Sie auf CONTINUE (WEITER).

   

3. Klicken Sie auf JUST ONCE (NUR EINMAL).

   

4. Klicken Sie auf Zulassen.

   

5. Nach erfolgreicher Anmeldung wird die Startseite der Anwendung angezeigt:

   

Nächste Schritte

Nach dem Konfigurieren von Workplace by Meta können Sie die Sitzungssteuerung erzwingen, die in Echtzeit vor der Exfiltration und Infiltration vertraulicher Unternehmensdaten schützt. Die Sitzungssteuerung basiert auf bedingtem Zugriff. Erfahren Sie, wie Sie die Sitzungssteuerung mit Microsoft Defender for Cloud Apps erzwingen.