Single Sign-on (OIDC)

Nur im Enterprise-Tarif: ein OIDC-Provider pro Organisation. Einrichtung durch den Owner unter Organisationseinstellungen → SSO (Issuer, optional Discovery-Endpoint, Client-ID, Client-Secret, E-Mail-Domain, optional Scopes). Redirect-URI:

https://<konsolen-host>/api/auth/sso/callback/<organisations-slug>

• Öffentliche Mail-Domains (gmail.com, outlook.com …) und bereits vergebene Domains werden abgelehnt.
• Der Organisations-Slug wird zur Provider-ID; ein Slug, der mit einer Anmeldemethode kollidiert (google, github, credential, email, sso, admin …), wird abgelehnt (SSO_PROVIDER_ID_RESERVED). Ändern Sie zuerst den Slug.
• Die Anmeldung über den Provider bleibt aus, bis die Domain per DNS verifiziert ist (siehe unten).
• Anmeldung über Mit SSO fortfahren mit Arbeits-E-Mail oder Domain.
• Über SSO angemeldete Nutzer werden member — nie admin oder owner.

Domain verifizierenCopy Anchor Link

Ein einzelnes Postfach unter der Domain genügt nicht: Einem verifizierten Provider wird vertraut, bestehende Nutzer mit passender E-Mail anzumelden. Deshalb ist ein DNS-Nachweis nötig:

1. Auf der SSO-Seite die Domain-Verifizierung starten. Die Konsole zeigt einen TXT-Eintrag, 7 Tage gültig:

   Copy Text

   _aacsearch-challenge.<your-domain>  TXT  "aacsearch-domain-verification=<token>"

2. Den Eintrag beim DNS-Anbieter veröffentlichen.

3. Verify drücken. Ist der Eintrag sichtbar (dig +short TXT _aacsearch-challenge.<your-domain>), wird die Domain als verifiziert markiert und SSO ist aktiv. Ist DNS noch nicht propagiert, kommt SSO_DOMAIN_VERIFICATION_FAILED — warten und erneut versuchen. Ein abgelaufener Eintrag wird durch eine neue Verifizierungsanfrage ersetzt.

Wird die Domain des Providers geändert, wird die Verifizierung zurückgesetzt — die Schritte für die neue Domain wiederholen. Nur der Owner kann verifizieren.

Bekannte GrenzenCopy Anchor Link

• Kein SAML, nur OIDC.
• Das Client-Secret ist im Ruhezustand verschlüsselt (AES-256-GCM) und wird nur im Speicher für den Token-Austausch entschlüsselt. Bei Verdacht auf ein Leck am IdP rotieren.
• Ein Tarif-Downgrade schaltet die SSO-Anmeldung sofort ab (SSO_NOT_AVAILABLE). Der Provider bleibt erhalten; nach einem Upgrade zurück auf Enterprise funktioniert er ohne neue Einrichtung.
• Bei der Anmeldung ruft das Auth-Plugin Token-, Userinfo- und JWKS-Endpoint des IdP selbst auf. Sie werden beim Speichern des Providers gegen interne Adressen geprüft, bei der Anmeldung nicht erneut.