Single Sign-on

Lassen Sie Personen sich mit dem eigenen Identitätsanbieter Ihrer Organisation bei mTime anmelden, und beschränken Sie einen Arbeitsbereich so, dass dies der einzige Zugang ist.

Überblick

mTime kann Personen über Google, Microsoft oder Visma Connect anmelden, und ein Arbeitsbereich kann auf genau einen davon beschränkt werden.

mTime ist ein Client Ihres Identitätsanbieters, kein eigener Identitätsanbieter. Wenn sich jemand mit Microsoft anmeldet, findet die gesamte Anmeldung – Benutzername, Passwort, Multi-Faktor und alle Regeln für bedingten Zugriff, die Sie anwenden – in Ihrem eigenen Mandanten statt, und die Anmeldung wird in Ihren eigenen Protokollen aufgezeichnet. Es gibt keine Föderation zwischen Ihrem Mandanten und unserem, und auf unserer Seite werden keine Benutzerkonten angelegt.

So funktioniert es

Die Person wählt Mit Microsoft anmelden – oder Google oder Visma Connect.
mTime leitet sie an den Anbieter weiter, wo sie sich nach Ihren eigenen Regeln authentifiziert.
Der Anbieter leitet sie zurück, und mTime liest vier Angaben: eine dauerhafte Benutzer-ID, eine E-Mail-Adresse, einen vollständigen Namen und einen Vornamen. Sonst nichts – keine E-Mails, kein Kalender, keine Dateien, kein Verzeichniszugriff.
mTime sucht die Person. Existiert sie in mTime noch nicht, wird die Anmeldung abgelehnt.
mTime stellt eine eigene Sitzung aus.

Eine Anmeldung gewährt keinen Zugriff

Eine gültige Anmeldung bei Ihrem Identitätsanbieter gewährt für sich genommen keinerlei Zugriff. Die Person muss bereits als Benutzer in mTime existieren, und Benutzer werden nur auf drei Wegen angelegt: über die SCIM-Bereitstellung durch Ihren Identitätsanbieter, automatisch aus Anstellungsdaten oder durch eine Einladung der Administration. Eine Selbstregistrierung gibt es nicht.

Für die erste Anmeldung ist außerdem die an die bereitgestellte Adresse gesendete Einladung nötig – ein einmal verwendbarer Link, der abläuft. mTime verknüpft nie ein Anbieterkonto allein aufgrund einer E-Mail-Adresse mit einem bestehenden Benutzer.

Es gibt also zwei Ebenen, und sie bleiben getrennt. Ihr Identitätsanbieter entscheidet, wer jemand ist. Der Benutzerdatensatz in mTime entscheidet, was die Person darf: Er enthält Rollen und Anstellung, nie Zugangsdaten.

Konfiguration

Ein Inhaber oder die Arbeitsbereich-Administration beschränkt einen Arbeitsbereich unter Administration › Arbeitsbereich mit zwei Einstellungen zusammen:

Single-Sign-on-Anbieter – der eine Anbieter, den dieser Arbeitsbereich akzeptiert
Zulässige E-Mail-Domains – die Domains, die Ihrer Organisation gehören, etwa ku.dk

Beide sind erforderlich. Ein Anbieter allein ist keine Beschränkung, daher speichert mTime keinen ohne mindestens eine Domain.

Sobald die Beschränkung aktiv ist, gilt für diesen Arbeitsbereich:

Alle melden sich mit diesem einen Anbieter an, und die Adresse ihres mTime-Kontos muss zu einer der aufgeführten Domains gehören.
Jeder andere Zugang wird abgelehnt: Passwörter, Passkeys, die anderen Anbieter und jede Sitzung, die vor der Beschränkung entstanden ist. Das gilt auch für Mitarbeitende des mTime-Supports, die Sie als Benutzer hinzugefügt haben.
Einladungen teilen mit, mit welchem Anbieter sich die Person anmelden soll. Sie können nur Adressen der aufgeführten Domains einladen.

Bevor Sie sie aktivieren

Sie – die Administration, die die Änderung vornimmt – müssen sich bereits mit dem gewählten Anbieter angemeldet haben, und Ihre eigene mTime-Adresse muss zu einer der aufgeführten Domains gehören. Andernfalls lehnt mTime die Änderung ab und sagt Ihnen, welche Hälfte fehlt.

Dies wird von Ihnen statt von irgendeiner Person aus der Administration verlangt, weil das Speichern der Änderung auch Sie abmeldet. So kann sich die Person, die die Beschränkung aktiviert, immer wieder anmelden und sie wieder deaktivieren.

Was beim Aktivieren passiert

Alle im Arbeitsbereich werden abgemeldet, Sie eingeschlossen, und melden sich mit dem gewählten Anbieter wieder an.

Dasselbe passiert, wann immer Sie die Beschränkung so ändern, dass weniger Personen hineinkommen: Wechsel zu einem anderen Anbieter oder Entfernen einer Domain. Das Hinzufügen einer Domain meldet niemanden ab.

Deaktivieren

Leeren Sie den Single-Sign-on-Anbieter . Die Beschränkung wird sofort aufgehoben, und niemand wird abgemeldet. Sie können die Domainliste stehen lassen, sodass ein späteres erneutes Aktivieren eine einzige Einstellung ist.

Sie gilt auch für uns

Es gibt keine Umgehung innerhalb von mTime: Auch der mTime-Support kann einen beschränkten Arbeitsbereich nicht erreichen. Wenn Sie unsere Hilfe im Arbeitsbereich wünschen, deaktiviert die Administration die Beschränkung und aktiviert sie danach wieder.

Fällt Ihr Identitätsanbieter aus, kann sich niemand beim Arbeitsbereich anmelden – auch nicht die Administration, die die Beschränkung deaktivieren könnte. Können Sie den Anbieter nicht rechtzeitig wiederherstellen, kann eine berechtigte Kontaktperson Ihrer Organisation den mTime-Support schriftlich bitten, die Beschränkung aufzuheben. Dies ist ein manuelles, dokumentiertes Verfahren. Danach aktiviert Ihre Administration die Beschränkung wieder, sobald der Anbieter funktioniert.

Fehlerbehebung

Problem	Lösung
Die Anmeldung mit Passwort funktioniert nicht mehr	Das ist zu erwarten, sobald der Arbeitsbereich beschränkt ist. Verwenden Sie den auf der Anmeldeseite angezeigten Anbieter.
Die Beschränkung lässt sich nicht speichern	Sie haben sich noch nicht mit diesem Anbieter angemeldet, oder Ihre eigene mTime-Adresse gehört nicht zu den aufgeführten Domains. Die Meldung sagt, was zutrifft.
Eine Person wird abgelehnt, obwohl sie sich beim Anbieter angemeldet hat	Die Adresse ihres mTime-Kontos gehört nicht zu einer der aufgeführten Domains – entscheidend ist diese Adresse, nicht die, die der Anbieter anzeigt. Ändern Sie ihre Adresse in mTime oder fügen Sie die Domain hinzu.
Alle werden abgelehnt, und Ihr Anbieter ist ausgefallen	Stellen Sie den Anbieter wieder her. Wenn das nicht möglich ist, wenden Sie sich an den mTime-Support – siehe die Warnung oben.
Unser Dienstleister kann uns im Arbeitsbereich nicht helfen	Deaktivieren Sie die Beschränkung und aktivieren Sie sie wieder, wenn er fertig ist.
Jemand kann Microsoft nicht zu einem bestehenden Konto hinzufügen	Melden Sie sich zuerst an und fügen Sie den Anbieter dann in den Kontoeinstellungen unter Sicherheit hinzu.

Für Ihr IT- und Sicherheitsteam

Frage	Antwort
Welches Modell ist das?	Eine mandantenfähige Anwendungsregistrierung. Die Zustimmung legt in Ihrem eigenen Mandanten eine Unternehmensanwendung an, die Ihnen gehört, die Sie mit bedingtem Zugriff steuern und jederzeit entfernen können. Nirgendwo werden Gastkonten angelegt.
Ist das eine Föderation?	Nein. Es gibt einen Identitätsanbieter – Ihren – und eine Anwendung, die ihn nutzt. Zwischen Ihrem Mandanten und unserem besteht keine Vertrauensstellung.
Wird SAML unterstützt?	Nein. Die Authentifizierung erfolgt ausschließlich über OpenID Connect / OAuth 2.0.
Was wird über einen Benutzer gelesen?	`sub`, `email`, `name` und `given_name`. Es werden keine Anwendungsberechtigungen angefordert.
Wie wird die Domain geprüft?	Durch einen exakten Vergleich ohne Berücksichtigung der Groß-/Kleinschreibung mit dem Domainteil der Adresse des mTime-Kontos der Person. Keine Platzhalter und keine Subdomains. Sie grenzt den Arbeitsbereich ein; sie ist kein Nachweis des Domainbesitzes.
Was hält jemanden aus einem anderen Mandanten ab?	Die Bereitstellungspflicht und die Einladung. mTime verknüpft ein Anbieterkonto nicht allein über die E-Mail-Adresse mit einem Benutzer, sodass eine ähnlich aussehende Adresse nichts bringt.
Können Rollen aus Gruppen kommen?	Ja, aber eine Gruppe kommt ganz ohne Berechtigungen an; die Administration vergibt sie. Die Rolle Inhaber kann nie über die Bereitstellung zugewiesen werden.
Wie lange halten Sitzungen?	30 Tage ab der letzten Aktivität. Wird ein Benutzer über SCIM deaktiviert, enden seine Sitzungen sofort.

Kontosicherheit