SSO-Anleitung

Nach der Verknüpfung steuert SSO das gesamte Geschäftskonto einschließlich privater Inhalte. Privat bedeutet nicht mit Kollegen geteilt, aber nicht unabhängig vom Unternehmen. Für ein unabhängiges Privatkonto eine andere E-Mail verwenden.

Die Anmeldung führt von Pomlet zum SAML-2.0-/OIDC-Anbieter und automatisch zurück. Eine bestehende Firmensitzung kann Eingaben vermeiden. Andernfalls kann das Unternehmen Passwort oder MFA verlangen.

Die Abmeldung bei Pomlet beendet nicht unbedingt die Firmensitzung. Eine neue Anmeldung kann daher dasselbe Konto ohne Passwort verwenden. Zum Testen eines anderen Kontos auf demselben Computer ein privates Browserfenster verwenden oder auch die Firmensitzung beenden.

Eigentümer und IT öffnen Team und Zugriff → Organisationseinstellungen → Single Sign-on. Nur der Eigentümer vergibt die IT-Rolle; sie braucht keine Pro-Lizenz. Normale Admins verwalten kein SSO.

Zusätzlich sind Rechte zum Erstellen und Zuweisen einer Verzeichnisanwendung nötig. Eine Firmen-E-Mail allein genügt nicht. Die erste Aktivierung erfordert ein aktives Jahresabo der Organisation.

Unter E-Mail-Domains die Domain eingeben und TXT-Name und Wert in deren DNS-Einstellungen kopieren. Bestätigen wählen. Der Code gilt 7 Tage; danach die Domain erneut hinzufügen. Firmen-DNS-Rechte sind erforderlich, kein Zugriff auf Pomlets AWS. Lass den Eintrag danach bestehen: Pomlet prüft ihn jede Woche und informiert Inhaber und IT-Verantwortliche, wenn er fehlt. Die Domain wird nie automatisch entfernt.

Die Bestätigung findet SSO anhand der E-Mail und erlaubt Konten ohne Pomlet-Passwort. Sie erteilt keinen Zugang: Verzeichnisfreigabe und Einladung sind nötig, außer bei JIT. Jede verwendete Domain bestätigen.

Nur Adressen einer von der Organisation bestätigten Domain können zu Geschäftskonten werden, die ihr SSO verwaltet. Eine Person mit einer Adresse einer anderen Domain, etwa ein externer Dienstleister, bleibt Mitglied mit einem normalen Pomlet-Konto, das das Unternehmen nicht verwaltet. Eine Domain wandelt nie ein bestehendes Konto ohne dessen Bestätigung um.

Mit der IT SAML oder OIDC wählen und die Verbindung frei benennen. Schreibgeschützte Adressen kommen von Pomlet und identifizieren den Dienst, nicht die Firma.

Ein Okta-Admin erstellt etwa eine Integration und weist zulässige Nutzer/Gruppen zu. Das erlaubt die Anmeldung, erstellt aber keine Pomlet-Konten, Einladungen oder Lizenzen.

ACS unter ACS / Single sign-on URL und die Entitätskennung unter Audience URI / SP Entity ID eintragen. Stabile Identität (persistente NameID, die sich bei einer neuen E-Mail-Adresse nicht ändert) und passende E-Mail senden. Metadaten-URL oder vollständiges XML in Pomlet einfügen, nur eine Option.

Metadaten enthalten Adressen und Signaturzertifikat. Erweiterte Felder bestimmen E-Mail-/Namensattribute. Leere Werte nutzen Microsoft-Standard-URIs: IT muss das Mapping prüfen. Kein OIDC-Geheimnis nötig.

Die Anmeldung startet in Pomlet. Für ein Firmenportal ein Lesezeichen zum SSO-Link verwenden; unaufgefordertes, vom Anbieter gestartetes SAML wird nicht unterstützt.

Vertrauliche OIDC-Webanwendung mit Authorization Code erstellen. Die genaue OIDC-Rückrufadresse aus Pomlet registrieren. Der Anbieter muss client_secret_post unterstützen sowie stabile Identität und E-Mail liefern. Fehlt email_verified oder ist es falsch, muss die E-Mail-Domain per DNS in Pomlet bestätigt sein. Bestehende Konten müssen die Verknüpfung bestätigen.

Issuer URL, Client ID und Client Secret aus dem Verzeichnis übernehmen. Issuer ist weder Website noch E-Mail-Domain. Übliche Scopes: openid email profile. Das Geheimnis wird verschlüsselt und nicht erneut angezeigt.

Bei Okta stammen die Angaben aus Integration und gewähltem Autorisierungsserver. Keine Domain erraten.

Speichern erstellt einen Entwurf, ohne die aktive Verbindung zu ändern. Der Test führt zur Firmenanmeldung und zurück.

Für die erste Verknüpfung vorher im bestätigten Pomlet-Konto mit gleicher E-Mail anmelden. Während des Tests nicht das Konto wechseln. Erfolg erscheint grün. Bei Fehlern Zuweisungen, Rückrufadressen, Protokoll und Attribute prüfen.

Diese Option ist empfohlen und bei Aktivierung vorausgewählt. Nur für einen Übergang für noch nicht verknüpfte Konten deaktivieren. SSO-Pflicht schützt Organisationsinhalte, während bestehende Mitglieder ihre Konten verknüpfen. Bereits verknüpfte Konten benötigen immer SSO für das ganze Konto, auch bei deaktivierter Option. Keine stillschweigende Kontoumwandlung.

JIT erstellt ein Konto und nimmt vom Anbieter zugelassene Identitäten bei erster Anmeldung als Ersteller ohne Lizenz auf, ohne Einladung. Bestehende Konten müssen ihre Verknüpfung bestätigen. Mitglieder anderer Organisationen werden nicht verschoben.

Regeln werden nicht automatisch gespeichert. Innerhalb der angezeigten Stunde nach dem Test in derselben Sitzung speichern und aktivieren. Später Regeln speichern verwenden. Die Sitzung dauert 1–24 Stunden; danach erneut über den Anbieter anmelden.

Jeder Anmeldevorgang über den Anbieter muss innerhalb von 10 Minuten abgeschlossen sein. Nach Ablauf erneut anmelden; Konfiguration und Konten bleiben erhalten.

Inhaber oder Admins laden unter Team und Zugriff die E-Mail ein und wählen die Rolle; die IT-Rolle vergibt nur der Inhaber. Die IT muss die Pomlet-Anwendung zusätzlich der Person oder Gruppe im Verzeichnis zuweisen. Einladung und Verzeichnis regeln unterschiedliche Berechtigungen.

Das Mitglied öffnet die Einladung, wählt SSO und akzeptiert das Geschäftskonto. Nach Firmenanmeldung erstellt Pomlet das Konto, akzeptiert die Einladung und öffnet das Dashboard ohne Pomlet-Passwort. Die Rolle folgt der Einladung; keine automatische kostenpflichtige Lizenz.

SSO-Aktivierung wandelt bestehende Konten nicht still um. Nur ein Konto, dessen Adresse zu einer von der Organisation bestätigten Domain gehört, kann verknüpft werden. Zuerst einmal im bisherigen Pomlet-Konto anmelden, Verknüpfung bestätigen und über das Unternehmen authentifizieren. Inhalte, Rechte und Lizenzen bleiben erhalten.

Danach umgehen Pomlet-Passwort, Google und Passwortzurücksetzung SSO nicht mehr. Alte Sitzungen werden ungültig. Private Inhalte werden nicht automatisch geteilt.

SSO ändert nur die Art der Anmeldung: Ein persönliches Pro-Abo, im Web oder auf dem iPhone abgeschlossen, verhindert die Verknüpfung nicht und läuft normal weiter. Unter „Teams und Zugriff“ erscheint die Person mit „Persönliches Pro aktiv bis …“ und braucht keine Lizenz. Kündigt sie es, behält sie Pro bis zum Ende des bezahlten Zeitraums; danach kann ein Administrator ihr eine Lizenz zuweisen. Verlässt die Person die Organisation, wird sie entfernt oder vom Verzeichnis (SCIM) gelöscht, endet ihr im Web abgeschlossenes persönliches Abo zum Ende des bezahlten Zeitraums, ohne Erstattung; eine E-Mail nennt ihr dieses Datum. Kehrt sie vor diesem Datum in die Organisation zurück, wird die Kündigung aufgehoben und ihr Abo läuft weiter. Unter /billing/recovery lässt es sich einsehen, ohne Zugriff auf Inhalte. Ein auf dem iPhone abgeschlossenes Abo wird in den iPhone-Einstellungen gekündigt.

Auf der Login-Seite Mit SSO anmelden wählen und die geschäftliche E-Mail eingeben. Pomlet findet die Organisation über die Domain der Adresse, wenn die Organisation sie bestätigt hat. Auf einem schon benutzten Gerät öffnet derselbe Button die gemerkte Organisation direkt, ohne Adresseingabe. Kein Link muss eingefügt werden.

Der gemeinsame Link bleibt im Intranet oder als Portal-Lesezeichen nützlich. Eine erfolgreiche SSO-Anmeldung öffnet das Dashboard automatisch, ebenso eine noch gültige Pomlet-Sitzung.

Auf einem neuen Gerät kann Pomlet die Firma nicht erraten, wenn die Domain der Adresse nicht bestätigt ist: die Einladungs-E-Mail oder den gemeinsamen Link der Organisation öffnen. Eine bestätigte Domain dient nur dazu, das SSO zu finden; sie vergibt keine Rechte und verknüpft ihre Adressen nicht automatisch.

Die Verbindung bündelt vier Aktionen: Einstellungen zum Speichern der Zugriffsregeln, Vorbereiten eines Ersatzes oder Deaktivieren von SSO; Teilen zum Kopieren des gemeinsamen Links; Mitglieder für Pomlet-Sperren; und Verlauf für SSO-Ereignisse der Organisation. Im Einladungsmodus ersetzt der Anmeldelink keine Einladung.

Verzeichniszugang entziehen UND Mitglied in Pomlet entfernen oder sperren. Bei verknüpften Konten wird das ganze Konto einschließlich privater Inhalte und MCP gesperrt. Ein Austritt entsperrt kein Pomlet-Passwort. Das Konto bleibt gesperrt, seine Inhalte bleiben erhalten. Solange die Person Mitglied der Organisation bleibt (SSO-Zugang gesperrt, durch das Verzeichnis deaktiviert oder gelöscht), wird das Konto nie wegen Inaktivität gelöscht. Wurde sie aus der Organisation entfernt, wird es ohne erneute Anmeldung, wenn es kostenlos ist, nach der Regel für inaktive Konten gelöscht (nach 24 Monaten, mit einem an seine Adresse zugestellten Hinweis); seine persönlichen Inhalte bleiben dann 30 Tage gespeichert, bevor sie gelöscht werden. In der Organisation erstellte Inhalte bleiben bei der Organisation. Für eine frühere Löschung können die Person oder die Organisation dem Support schreiben.

SSO-Deaktivierung, Wiederherstellung durch den Support oder Auflösung der Organisation beendet alte Sitzungen verknüpfter Konten und widerruft deren KI-Assistentenberechtigungen. Berechtigte Personen müssen sich erneut anmelden; alte Sitzungen werden nie reaktiviert.

Manuelle Sperre und SCIM-Sperre sind unabhängig. Die Pomlet-Sperre lässt sich aufheben, während das Verzeichniskonto gesperrt bleibt. Eine neue SSO-Anmeldung ist erst möglich, wenn beide Systeme den Zugriff erlauben.

Ohne SCIM beendet eine Sperre nur im Verzeichnis bestehende Pomlet-Sitzungen nicht sofort. Mit SCIM sperrt Pomlet den Zugriff nach Empfang der Deaktivierung. Die Übertragungsdauer hängt vom Verzeichnis ab. Bei dringenden Abgängen auch in Pomlet sperren.

Bewusstes Deaktivieren des gesamten SSO ermöglicht normale Anmeldung nur für aktuelle, nicht gesperrte Mitglieder. Reine SSO-Konten können dann ein Passwort zurücksetzen. Ehemalige und gesperrte Mitglieder bleiben gesperrt. Bei Anbieterausfall bietet der Support kontrollierte Wiederherstellung.

MCP für Geschäftskonten benötigt eine gültige SSO-Sitzung. Gemeinsame Inhalte benötigen zusätzlich MCP-Freigabe und normale Rechte. Nach Ablauf oder Verknüpfung per SSO anmelden und Assistent neu verbinden.

Ersatz einrichten, testen und aktivieren, bevor die alte Verbindung gelöscht wird. Bis dahin bleibt die aktuelle aktiv. Mitglieder melden sich erneut an und müssen eventuell neue Identitäten verknüpfen. Inhaber und Admins erhalten bei jeder Aktivierung, Ersetzung oder Deaktivierung des SSO eine E-Mail.

Rotation vor Ablauf mit IT planen. Metadaten-URLs können Änderungen veröffentlichen; eingefügtes XML benötigt eventuell manuelle Aktualisierung. Inaktive Verbindungen per Papierkorb mit Bestätigung löschen. Aktive vorher ersetzen/deaktivieren.

Verlässt die Organisation das Jahresabo (Wechsel zu monatlich oder Abo-Ende), wird das bestehende SSO nicht deaktiviert: Bereits verknüpfte Mitglieder melden sich weiter an, neue Mitglieder können aber erst nach Rückkehr zum Jahresabo per SSO beitreten. Pomlet weist den Inhaber darauf hin. Neue Konfigurationen können ohne aktives Jahresabo ebenfalls gesperrt sein.

Lizenzen folgen der Abrechnung. SSO vergibt keine bezahlte Lizenz automatisch.

Nach SSO-Aktivierung und Domänenprüfung öffnest du Verbindungseinstellungen → Verzeichnissynchronisierung (SCIM). Aktiviere sie und kopiere Basis-URL und einmal angezeigtes Bearer-Token in die Bereitstellungseinstellungen. Dies ist kein AWS-Schlüssel. Nach einem Ersatz bleibt das alte Token höchstens 7 Tage gültig oder bis du es entfernst.

In Okta: Pomlet-Anwendung → Provisioning → Integration, SCIM base URL, userName als eindeutige Kennung und HTTP Header / Bearer-Authentifizierung eintragen. Unter To App Create Users, Update User Attributes und Deactivate Users aktivieren; Sync Password ausgeschaltet lassen und weder Push Groups noch Import Groups verwenden. In Microsoft Entra: Unternehmensanwendung → Bereitstellung → Automatisch; Mandanten-URL und Geheimes Token eingeben, Verbindung testen. Gruppenbereitstellung deaktivieren und nur zugewiesene Benutzer synchronisieren. Das Flag aadOptscim062020 ist nicht nötig.

Nur Benutzer synchronisieren. Die Pomlet-Anmeldeadresse ist die geschäftliche E-Mail aus dem Verzeichnis (emails[type eq "work"].value) oder userName, wenn keine gesendet wird: Sie muss der E-Mail im SSO-Token entsprechen und zu einer verifizierten Domain gehören. userName darf abweichen (zum Beispiel der UPN in Entra). externalId einer stabilen Kennung zuordnen (in Entra objectId statt mailNickname) und active dem Zugriffsstatus. Auch displayName, name.givenName und name.familyName werden unterstützt. Andere Attribute (Position, Telefonnummern, Adressen, Enterprise-Erweiterung) ignoriert Pomlet; sie können entfernt werden. Rollen und Lizenzen bleiben in Pomlet.

SCIM erstellt Konten vor der ersten Anmeldung als Ersteller ohne Lizenz und ohne Einladungs-E-Mail, bis zu 10 aktive Konten pro bezahlter Lizenz. Die erste Anmeldung erfordert Verzeichnisfreigabe und Zustimmung zum Arbeitskonto. JIT kann aktiv bleiben: Damit kein doppeltes Konto entsteht, muss die E-Mail im SSO-Token der bereitgestellten Anmeldeadresse entsprechen. Bestehende persönliche Konten müssen vorher ausdrücklich verknüpft werden.

Besteht bereits eine gültige Pomlet-Einladung, gilt deren Rolle bei der ersten Anmeldung mit Zustimmung. Spätere Anmeldungen ändern die Mitgliedsrolle nicht automatisch.

Deaktivierung oder SCIM-Löschung beendet Sitzungen und gibt die Lizenz frei, ohne die abgerechnete Menge zu ändern. Inhalte bleiben erhalten. Reaktivierung erfordert frisches SSO und weist keine Lizenz zu. Manuelle Pomlet-Sperren haben Vorrang. Vor einer Inhabersperre Eigentümerschaft übertragen. Eine vom Verzeichnis gelöschte Adresse erhält ihr Konto nur mit derselben externalId zurück; sonst kann ein berechtigter Verantwortlicher die Wiederverwendung unter Verzeichnissynchronisierung erlauben, nachdem er geprüft hat, dass es dieselbe Person ist. Eine manuelle Sperre erscheint im Verzeichnis als inaktiv.

Synchronisierung deaktivieren erhält Konten und Sperren. SSO-Deaktivierung oder eine Wiederherstellung durch den Support sperrt auch das SCIM-Token; danach ein neues erzeugen. Ein Verzeichnisausfall löscht keine Konten. Bei bewusster SSO-Deaktivierung erhalten aktuelle berechtigte Mitglieder die normale Anmeldung zurück; gesperrte bleiben gesperrt.

Mit zwei Testbenutzern prüfen: Bereitstellung, Erstanmeldung, Sperre bei offener Sitzung und Reaktivierung. Bereitstellungsprotokolle beim Anbieter prüfen. Die Verzögerung hängt vom Verzeichnis ab; Echtzeit ist nicht garantiert.

Organisation nicht gefunden: Eine eingegebene Adresse führt nur zum SSO, wenn die Organisation ihre Domain bestätigt hat. Sonst die Einladungs-E-Mail oder den gemeinsamen Link der Organisation öffnen; auf einem schon benutzten Gerät führt Mit SSO anmelden zur gemerkten Organisation. Neue Personen ohne Einladung benötigen eine bestätigte Domain und JIT oder ein per SCIM bereitgestelltes Konto. Der Organisationslink bestimmt das Ziel, gewährt aber keine zusätzlichen Rechte.

Ablehnung auf der Unternehmensseite: Die Person muss der Pomlet-Anwendung im Verzeichnis zugewiesen sein. Passwort und MFA folgen den Unternehmensregeln. Bei Weiterleitungsfehlern die genauen Pomlet-Adressen in die Verzeichnisanwendung kopieren und Protokoll sowie Attribute prüfen.

Test erfolgreich, Aktivierung abgelehnt: Dasselbe Pomlet-Konto und dieselbe Browsersitzung verwenden; nach Ablauf einer Stunde erneut testen. Abgebrochene oder abgelaufene Anmeldungen in Pomlet neu starten, keine alte Rückleitungsadresse wiederverwenden. Keine aktive Verbindung wegen eines fehlgeschlagenen Tests löschen.

Bei vorübergehender Nichtverfügbarkeit oder zu vielen Versuchen vor dem Wiederholen warten. Einstellungen bleiben erhalten. Kann sich kein berechtigter Verantwortlicher anmelden, den Support über den etablierten Unternehmenskontakt erreichen. Identität und Anfrage werden vor der Wiederherstellung geprüft.

401: Organisations-URL, Bearer-Token und aktives SSO prüfen. Nach Tokenwechsel oder erneuter SSO-Aktivierung das Geheimnis im Verzeichnis aktualisieren. Verlorene Token können nicht erneut gelesen werden; ein neues erzeugen.

400: Prüfen, ob das Verzeichnis eine gültige geschäftliche E-Mail sendet, und Gruppen, Rollen sowie Passwortabgleich deaktivieren. 403: Jahresabo erforderlich, Grenze von 10 aktiven Konten pro bezahlter Lizenz erreicht, Zugriff in Pomlet gesperrt oder Gruppenänderung abgelehnt. 409: Bereitstellungsprotokoll prüfen. Die Adresse kann zu einem noch zu verknüpfenden Konto gehören, externalId oder userName können bereits vergeben sein, für eine gelöschte Adresse muss eventuell die Wiederverwendung erlaubt werden oder die Eigentümerschaft muss übertragen werden.

Diese öffentliche Hilfe beschreibt allgemeine Abläufe. Organisationsbezogene URLs und Einstellungen sehen nur berechtigte Verantwortliche. Geheimnisse ausschließlich ins Unternehmensverzeichnis kopieren. Keine SCIM-Token, OIDC-Geheimnisse, Passwörter oder SAML/OIDC-Anmeldeantworten veröffentlichen. Dem Support Zeitpunkt, Schritt und Fehlercode ohne Geheimnisse mitteilen.