# Okta SAML Implementierung

Dieser Artikel enthält **Okta-spezifische** Hilfe zur Konfiguration der Zugangsdaten mit SSO über SAML 2.0. Für Hilfe bei der Konfiguration der Zugangsdaten mit SSO für einen anderen IdP, verweisen Sie auf [SAML 2.0 Konfiguration](https://bitwarden.com/de-de/help/configure-sso-saml/).

Die Konfiguration beinhaltet die gleichzeitige Arbeit innerhalb der Bitwarden-Web-App und des Okta-Administrator-Portals. Während Sie fortfahren, empfehlen wir, beides griffbereit zu haben und die Schritte in der Reihenfolge durchzuführen, in der sie dokumentiert sind.

> [!TIP] Okta settings screenshot
> **Bereits ein SSO-Experte?** Überspringen Sie die Anweisungen in diesem Artikel und laden Sie Screenshots von Beispielkonfigurationen herunter, um sie mit Ihren eigenen zu vergleichen.
> 
> ⬇️ Typ: Asset-Hyperlink ID: 3tQfArvZQ1vigzlnjdBxr1

## Öffnen Sie SSO in der Web-App

Melden Sie sich bei der Bitwarden-Web-App an und öffnen Sie die Administrator-Konsole mit dem Produktumschalter ([filter]):

![Produktwechsler](https://bitwarden.com/assets/2uxBDdQa6lu0IgIEfcwMPP/e3de3361749b6496155e25edcfdcf08b/2024-12-02_11-19-56.png)

Öffnen Sie den **Einstellungen** → **Single sign-on** Bildschirm Ihrer Organisation:

![SAML 2.0 Konfiguration ](https://bitwarden.com/assets/20720mRAluo6crSdTiYJrn/1175889d7f6ab42fe7614f34cdd1dcdd/2024-12-04_09-41-15.png)

Wenn Sie es noch nicht getan haben, erstellen Sie einen einzigartigen **SSO-Identifikator** für Ihre Organisation und wählen Sie **SAML** aus dem **Typ**-Dropdown aus. Lassen Sie diesen Bildschirm geöffnet, um leicht darauf zugreifen zu können.

Sie können die Option **Legen Sie eine eindeutige SP-Entitäts-ID fest** in diesem Stadium ausschalten, wenn Sie möchten. Wenn Sie dies tun, wird Ihre Organisations-ID aus Ihrem SP-Entity-ID-Wert entfernt. In fast allen Fällen wird jedoch empfohlen, diese Option aktiviert zu lassen.

> [!TIP] Self-hosting, use alternative Member Decryption Options.
> Es gibt alternative **Mitglied Entschlüsselungsoptionen**. Erfahren Sie, wie Sie mit [SSO auf vertrauenswürdigen Geräten](https://bitwarden.com/de-de/help/about-trusted-devices/) oder mit [Key Connector](https://bitwarden.com/de-de/help/about-key-connector/) beginnen können.

## Erstellen Sie eine Okta-Anwendung

Im Okta Administrator Portal wählen Sie **Anwendungen** → **Anwendungen** aus der Navigation. Auf dem Anwendungsbildschirm wählen Sie die Schaltfläche **App-Integration erstellen**:

![Okta App-Integration erstellen](https://bitwarden.com/assets/6cYqg9EBmbzQQuf53Yzsc5/0b61a779d1c366a785f01618e04cc09d/Screen_Shot_2022-10-20_at_4.13.03_PM.png)

Im Dialogfenster "Neue Anwendungsintegration erstellen" wählen Sie die Option **SAML 2.0** aus:

![SAML 2.0 Radiobutton](https://bitwarden.com/assets/3Cdqx3qvpCDnc9xBuHOkLx/ae7861920eb5b09268d29bcfc0c68e1a/Screen_Shot_2022-10-24_at_10.13.31_AM.png)

Wählen Sie die Schaltfläche **Weiter**, um zur Konfiguration fortzufahren.

### Allgemeine Einstellungen

Auf dem Bildschirm für die **allgemeinen Einstellungen**, geben Sie der Anwendung einen einzigartigen, Bitwarden-spezifischen Namen und wählen Sie **Weiter**.

### Konfigurieren Sie SAML

Auf dem **SAML konfigurieren** Bildschirm, konfigurieren Sie die folgenden Felder:

| **Feld** | **Beschreibung** |
|------|------|
| Einmalige Anmelde-URL | Setzen Sie dieses Feld auf die vorab generierte **Assertion Consumer Service (ACS) URL**. Dieser automatisch generierte Wert kann von der **Einstellungen** → **Single Sign-On** Bildschirm der Organisation kopiert werden und variiert je nach Ihrer Konfiguration. |
| Publikum URI (SP Entitäts-ID) | Setzen Sie dieses Feld auf die vorab generierte **SP Entity ID**. Dieser automatisch generierte Wert kann von der **Einstellungen** → **Single Sign-On** Bildschirm der Organisation kopiert werden und variiert je nach Ihrer Konfiguration. |
| Namen ID-Format | Wählen Sie das [SAML NameID-Format](https://docs.oracle.com/cd/E19316-01/820-3886/ggwbz/index.html), das in SAML-Behauptungen verwendet werden soll. Standardmäßig, **Nicht spezifiziert**. |
| Anwendungs-Benutzername | Wählen Sie das Okta-Attribut aus, das Benutzer zur Anmeldung bei Bitwarden mit ihren Zugangsdaten verwenden werden. |

### Erweiterte Einstellungen

Wählen Sie den Link **Erweiterte Einstellungen anzeigen** und konfigurieren Sie die folgenden Felder:

![Erweiterte Einstellungen ](https://bitwarden.com/assets/4VOeKsTeXHPsipA0SoDgHb/d19693e16cb98ab475cb1873bf5641d7/okta-advsettings.png)

| **Feld** | **Beschreibung** |
|------|------|
| Antwort | Ob die SAML-Antwort von Okta signiert ist. |
| Behauptungsunterschrift | Ob die SAML-Behauptung von Okta signiert ist. |
| Signaturalgorithmus | Der Signaturalgorithmus, der verwendet wird, um die Antwort und/oder Behauptung zu signieren, abhängig davon, welche in den Einstellungen auf **Signiert** gesetzt ist. Standardmäßig, `rsa-sha256`. |
| Verdauungsalgorithmus | Der Digest-Algorithmus, der verwendet wird, um die Antwort und/oder Behauptung zu signieren, abhängig davon, was in den Einstellungen auf **Signiert** gesetzt ist. Dieses Feld muss dem ausgewählten **Signaturalgorithmus** entsprechen. |

### Attribut Aussagen

Im Abschnitt **Attribut Aussagen**, erstellen Sie die folgenden SP → IdP Attributzuordnungen:

![Attribut Aussagen ](https://bitwarden.com/assets/VJZ2ZJtqdCdnzxG4xf4G8/b9fce227ebf1ba72e3598875e1f6f7aa/okta-attr.png)

Einmal konfiguriert, wählen Sie die **Weiter** Schaltfläche, um zum **Feedback** Bildschirm zu gelangen und wählen Sie **Fertig**.

### Erhalten Sie IdP-Werte

Sobald Ihre Anwendung erstellt ist, wählen Sie den **Anmelden** Tab für die App und wählen Sie die Schaltfläche **Anweisungen einrichten** Ansicht, die sich auf der rechten Seite des Bildschirms befindet:

![Anweisungen zur Einrichtung von SAML anzeigen ](https://bitwarden.com/assets/apJpQyn4GTUJGzRNBUf02/e5fbd8ca4f7875bc9ec2a87cbc433db6/Screen_Shot_2022-10-25_at_9.39.47_AM__2_.png)

Lassen Sie diese Seite entweder [für die zukünftige Verwendung](https://bitwarden.com/de-de/help/saml-okta/#saml-identity-provider-configuration/) offen, oder kopieren Sie die **Identität Provider Single Sign-On URL** und den **Identität Provider Aussteller** und laden Sie das **X.509 Zertifikat** herunter:

![IdP-Werte ](https://bitwarden.com/assets/4SRYsrAZjCPhksikeAOnBp/f975c57912f6c1a8c5d5d6002d23bd38/okta-values.png)

### Aufgaben

Navigieren Sie zum **Aufgaben** Tab und wählen Sie die **Zuweisen** Schaltfläche:

![Gruppen zuweisen ](https://bitwarden.com/assets/4KcjFuFnHFMnQda4NbKTGh/731a0c635efde1f3333ed6afd58d994e/okta-assign.png)

Sie können den Zugriff auf die Anwendung auf Benutzerbasis mithilfe der Option **Zuweisen an Personen** festlegen oder in großen Mengen mithilfe der Option **Zuweisen an Gruppen**.

## Zurück zur Web-App

Bis zu diesem Zeitpunkt haben Sie alles konfiguriert, was Sie im Kontext des Okta Administrator Portals benötigen. Kehren Sie zur Bitwarden-Webanwendung zurück, um die Konfiguration abzuschließen.

Der Single-Sign-On-Bildschirm teilt die Konfiguration in zwei Abschnitte auf:

- Die Konfiguration des **SAML-Dienstanbieters** bestimmt das Format der SAML-Anfragen.
- **Durch die Konfiguration des SAML-Identitätsanbieters** wird das zu erwartende Format für SAML-Antworten bestimmt.

### Konfiguration des Dienstanbieters

Konfigurieren Sie die folgenden Felder entsprechend den in der Okta Administrator Portal [während der App-Erstellung](https://bitwarden.com/de-de/help/saml-okta/#create-an-okta-application/) getroffenen Auswahlmöglichkeiten:

| **Feld** | **Beschreibung** |
|------|------|
| Namens-ID-Format | Stellen Sie dies auf das Namens-ID-Format ein, das [in Okta angegeben ist](https://bitwarden.com/de-de/help/saml-okta/#configure-saml/), ansonsten lassen Sie **Unbestimmt**. |
| Ausgehendes Signatur-Algorithmus | Der Algorithmus, den Bitwarden zur Signierung von SAML-Anfragen verwenden wird. |
| Unterzeichnungsverhalten | Ob/wann SAML-Anfragen signiert werden. |
| Mindesteingehendes Signaturalgorithmus | Stellen Sie dies auf den Signaturalgorithmus [festgelegt in Okta](https://bitwarden.com/de-de/help/saml-okta/#advanced-settings/). |
| Möchte Behauptungen unterschrieben haben | Markieren Sie dieses Kästchen, wenn Sie das Feld für die Behauptungssignatur auf **Unterzeichnet**[in Okta](https://bitwarden.com/de-de/help/saml-okta/#advanced-settings/) in den Einstellungen gesetzt haben. |
| Zertifikate validieren | Markieren Sie dieses Kästchen, wenn Sie vertrauenswürdige und gültige Zertifikate von Ihrem IdP über eine vertrauenswürdige CA verwenden. Selbstsignierte Zertifikate können fehlschlagen, es sei denn, geeignete Vertrauensketten sind innerhalb der Bitwarden Zugangsdaten mit SSO Docker-Image konfiguriert. |

Wenn Sie mit der Konfiguration des Dienstanbieters fertig sind, **speichern** Sie Ihre Arbeit.

### Konfiguration des Identitätsanbieters

Die Konfiguration des Identitätsanbieters erfordert oft, dass Sie sich auf das Okta Administrator Portal beziehen, um Anwendungswerte abzurufen:

| **Feld** | **Beschreibung** |
|------|------|
| Entitäts-ID | Geben Sie Ihren **Identität Provider Aussteller** ein, den Sie vom Okta [Anmelden Einstellungen](https://bitwarden.com/de-de/help/saml-okta/#get-idp-values/) Bildschirm abgerufen haben, indem Sie die **Anleitung einrichten Ansicht** Schaltfläche auswählen. Dieses Feld ist Groß- und Kleinschreibungssensitiv. |
| Bindungsart | Auf **Umleiten** einstellen. Okta unterstützt derzeit HTTP POST nicht. |
| URL des Single Sign On Dienstes | Geben Sie Ihre **Identität Provider Single Sign-On URL** ein, die Sie vom Okta [Anmelden Einstellungen](https://bitwarden.com/de-de/help/saml-okta/#get-idp-values/) Bildschirm abgerufen haben. |
| URL des Einzelabmeldedienstes | Die Anmeldung mit SSO unterstützt derzeit **nicht** SLO. Diese Option ist für zukünftige Entwicklungen geplant, jedoch können Sie sie vorab konfigurieren, wenn Sie möchten. |
| X509 Öffentliches Zertifikat | Fügen Sie das [heruntergeladene Zertifikat](https://bitwarden.com/de-de/help/saml-okta/#get-idp-values/) ein und entfernen Sie es. `-----BEGIN ZERTIFIKAT-----` und  `-----ENDE ZERTIFIKAT-----` Der Zertifikatswert ist Groß- und Kleinschreibungssensitiv, zusätzliche Leerzeichen, Zeilenumbrüche und andere überflüssige Zeichen **werden dazu führen, dass die Zertifikatsvalidierung fehlschlägt**. |
| Ausgehendes Signaturalgorithmus | Wählen Sie den Signaturalgorithmus aus, der [während der Okta-App-Konfiguration](https://bitwarden.com/de-de/help/saml-okta/#advanced-settings/) ausgewählt wurde. Wenn Sie den Signaturalgorithmus nicht geändert haben, lassen Sie den Standard (`rsa-sha256`). |
| Ausgehende Abmeldeanfragen erlauben | Die Anmeldung mit SSO unterstützt derzeit **nicht** SLO. |
| Möchte Authentifizierungsanfragen signiert haben | Ob Okta erwartet, dass SAML-Anfragen signiert werden. |

> [!NOTE] X509 cert expiration
> Bei der Ausstellung des X509-Zertifikats, machen Sie eine Notiz vom Ablaufdatum. Zertifikate müssen erneuert werden, um jegliche Unterbrechungen im Dienst für SSO-Endbenutzer zu verhindern. Wenn ein Zertifikat abgelaufen ist, können sich Administrator- und Eigentümer-Konten immer mit E-Mail-Adresse und Master-Passwort anmelden.

Wenn Sie mit der Konfiguration des Identitätsanbieters fertig sind, **speichern** Sie Ihre Arbeit.

> [!TIP] Policies for SSO Guides
> Sie können Benutzer dazu auffordern, sich mit SSO anzumelden, indem Sie die Richtlinie für die Authentifizierung mit Single Sign-On aktivieren. Bitte beachten Sie, dass dies auch die Aktivierung der Einzelorganisation-Richtlinie erfordern wird. [Erfahren Sie mehr](https://bitwarden.com/de-de/help/policies/).

## Testen Sie die Konfiguration

Sobald Ihre Konfiguration abgeschlossen ist, testen Sie diese, indem Sie zu [https://vault.bitwarden.com](https://vault.bitwarden.com) navigieren, Ihre E-Mail-Adresse eingeben, **Weiter** auswählen und den **Enterprise Single-On** Button auswählen:

![Unternehmens Single Sign On und Master-Passwort ](https://bitwarden.com/assets/3BdlHeogd42LEoG06qROyQ/c68021df4bf45d72e9d37b1fbf5a6040/login.png)

Geben Sie die [konfigurierte Organisationskennung](https://bitwarden.com/de-de/help/configure-sso-saml/#step-1-enabling-login-with-sso/) ein und wählen Sie **Anmelden**. Wenn Ihre Implementierung erfolgreich konfiguriert ist, werden Sie zur Okta-Zugangsdaten-Bildschirm weitergeleitet:

![Melden Sie sich mit Okta an ](https://bitwarden.com/assets/3Rh2Bg17sCE57xJsUKfqwN/8f6e1d8555c9e1b60d2e145d0f0bb565/Log_in_with_Okta.png)

Nachdem Sie sich mit Ihren Okta-Anmeldeinformationen authentifiziert haben, geben Sie Ihr Bitwarden Master-Passwort ein, um Ihren Tresor zu entschlüsseln!

> [!NOTE] Okta bookmark app
> Bitwarden unterstützt keine unaufgeforderten Antworten, daher führt das Initiieren von Zugangsdaten von Ihrem IdP zu einem Fehler. Der SSO-Zugangsdaten-Fluss muss von Bitwarden aus gestartet werden. Okta-Administratoren können eine [Okta-Lesezeichen-App](https://support.okta.com/help/s/article/How-do-you-create-a-bookmark-app?language=en_US) erstellen, die direkt zur Bitwarden-Web-Tresor-Zugangsdaten-Seite verlinkt.
> 
> 1. Als Administrator navigieren Sie zu dem Dropdown-Menü **Anwendungen**, das sich in der Hauptnavigationsleiste befindet, und wählen Sie **Anwendungen** aus.
> 2. Klicken Sie auf **App-Katalog durchsuchen**.
> 3. Suchen Sie nach **Lesezeichen App**und klicken Sie auf **Integration hinzufügen**.
> 4. Fügen Sie die folgenden Einstellungen zur Anwendung hinzu:
> 
> 1. Geben Sie der Anwendung einen Namen wie zum Beispiel **Bitwarden Zugangsdaten**.
> 2. Im Feld **URL** geben Sie die URL zu Ihrem Bitwarden-Client an, wie zum Beispiel `https://vault.bitwarden.com/#/Zugangsdaten` oder `your-self-hostedURL.com`.
> 5. Wählen Sie **Fertig** und kehren Sie zum Anwendungs-Dashboard zurück und bearbeiten Sie die neu erstellte App.
> 6. Weisen Sie Personen und Gruppen der Anwendung zu. Sie können der Anwendung auch ein Logo zuweisen, damit sie vom Endbenutzer erkannt wird. Das Bitwarden-Logo kann [hier](https://github.com/bitwarden/brand/tree/master) abgerufen werden.
> 
> Sobald dieser Prozess abgeschlossen ist, haben zugewiesene Personen und Gruppen eine Bitwarden-Lesezeichenanwendung auf ihrem Okta-Dashboard, die sie direkt zur Zugangsdaten-Seite des Bitwarden-Web-Tresors verlinkt.