Dokumentation der API

SSO

Mit Einmalanmeldung (SSO) melden sich die Mitarbeitenden Ihrer Bank über Ihren eigenen Identitätsanbieter bei Stonewake an. Mit Microsoft Entra ID läuft es über SAML 2.0 und eine Unternehmensanwendung in Ihrem eigenen Mandanten in Entra, sodass Zugangsdaten, Mehrfaktorauthentifizierung und bedingter Zugriff bei Ihrem Identitätsteam bleiben. SSO wird je Arbeitsbereich eingeschaltet, für die Maildomänen, die Ihrer Bank gehören, und bleibt aus, bis Ihr Identitätsteam und Stonewake es gemeinsam einschalten. Diese Seite ist die Anleitung für die Administration, die SSO einrichtet, mit den Schritten für Microsoft Entra ID.

So funktioniert es

Ihre Nutzer öffnen die Anmeldeseite von Stonewake, geben ihre dienstliche Mailadresse ein und wählen Mit Ihrer Organisation fortfahren. Stonewake leitet sie an Ihren Identitätsanbieter weiter, der Zugangsdaten, Mehrfaktorauthentifizierung und bedingten Zugriff prüft. Stonewake sieht nie ein Passwort.
Microsoft Entra ID wird über SAML 2.0 unterstützt. Für einen anderen Identitätsanbieter sprechen Sie uns an, bevor Sie damit planen.
Die erste Anmeldung legt das Konto in Ihrem Arbeitsbereich mit der Standardrolle an, die Sie gewählt haben, also Lesezugriff, Analyst oder Compliance. Eine Anmeldung macht niemanden zur Administratorin oder zum Administrator. Diese Rolle vergibt eine Person, wie unter Einführung im Institut beschrieben.
Jede erste Anmeldung wird im Aktivitätsprotokoll Ihres Arbeitsbereichs festgehalten, mit der vergebenen Rolle und ihrer Herkunft. Ebenso jeder spätere Rollenwechsel, den eine Anmeldung bringt, wie unten beschrieben.

Rollen aus Ihrem Verzeichnis

Sie können eine Angabe Ihres Identitätsanbieters die Rolle eines Nutzers anheben lassen, zum Beispiel Rollen der App oder Gruppenwerte aus Entra. Sie benennen die Angabe und ordnen jedem Wert Lesezugriff, Analyst oder Compliance zu.
Gelesen werden nur Werte, die Ihr Identitätsanbieter bei der Anmeldung übermittelt. Werte ohne Zuordnung werden übergangen und gezählt, und eine zugeordnete Rolle liegt nie unter der Standardrolle.
Mit einer Zuordnung folgt die Rolle Ihrem Verzeichnis. Jede neue Anmeldung liest die Angabe erneut, sodass ein Nutzer, der in Ihrem Verzeichnis einen zugeordneten Wert verloren hat, auf die Rolle fällt, die die übrigen Werte ergeben, spätestens bei der nächsten Anmeldung nach Ablauf der Sitzungsdauer. Eine Änderung in Ihrem Verzeichnis gilt spätestens bei dieser nächsten Anmeldung. Jeder Wechsel wird im Aktivitätsprotokoll festgehalten, mit alter Rolle, neuer Rolle und der Anmeldung, aus der er kam.
Eine Administratorin oder ein Administrator wird durch eine Anmeldung nie geändert, und kein Wert einer Angabe macht jemanden zur Administration.
Ohne Zuordnung erhält jeder Nutzer die Standardrolle, und eine spätere Änderung der Rolle funktioniert wie bei jedem anderen Konto.

Die Domänenprüfung

Ein Konto landet immer nur in dem Arbeitsbereich, dem seine Maildomäne gehört, und nur dann, wenn die Anmeldung über den Identitätsanbieter dieses Arbeitsbereichs mit dem hinterlegten Aussteller kam. Eine Anmeldung, die eine der beiden Prüfungen nicht besteht, wird abgelehnt und erhält keinen Arbeitsbereich.
Eine Domäne gehört jeweils genau einem Arbeitsbereich. Eine öffentliche Maildomäne wie gmail.com ordnen wir nie einem Arbeitsbereich zu.
Mit Microsoft Entra ID veröffentlicht Ihre IT dafür nichts. Eine Domäne lässt sich nur in einem Verzeichnis in Entra bestätigen, und Ihre IT hat Ihre Domäne gegenüber Microsoft bestätigt, als sie sie Ihrem Mandanten hinzugefügt hat. Wir fügen die Domäne Ihrem Arbeitsbereich hinzu, sobald die öffentlichen Angaben von Microsoft zeigen, dass sie zu dem verwalteten Mandanten in Entra gehört, in dem Ihre Anwendung Stonewake liegt, und sobald unser Anmeldedienst das Signaturzertifikat der Anwendung für genau diesen Mandanten bei Microsoft liest. Die Antworten von Microsoft und ihr Zeitpunkt werden im Aktivitätsprotokoll Ihres Arbeitsbereichs festgehalten.
Mit einem anderen Identitätsanbieter fügen wir eine Domäne hinzu, sobald Ihr DNS belegt, dass sie Ihnen gehört. Ihre Ansprechperson bei Stonewake schickt Ihnen je Domäne einen Eintrag vom Typ TXT, benannt _stonewake-challenge. gefolgt von der Domäne, und die Domäne wird hinzugefügt, sobald unsere Abfrage genau diesen Wert findet. Antwort und Zeitpunkt der Abfrage werden im Aktivitätsprotokoll Ihres Arbeitsbereichs festgehalten.
Ändern sich später der Aussteller oder der Identitätsanbieter Ihres Arbeitsbereichs, bleibt SSO aus, bis die Domäne erneut belegt ist.
Die Prüfung läuft bei der ersten Anmeldung und erneut bei jeder Anfrage, sodass ein Konto nie in einem anderen Arbeitsbereich handeln kann.

Sitzungen und Abmeldung

Eine Sitzung über SSO dauert höchstens die Sitzungsdauer, die Sie festlegen, zwischen 15 Minuten und 24 Stunden, gerechnet ab der Anmeldung über Ihren Identitätsanbieter. Legen Sie sie auf die Anmeldehäufigkeit, die Ihr Identitätsanbieter durchsetzt. Danach meldet sich der Nutzer erneut bei Ihrem Identitätsanbieter an.
Die Abmeldung bei Stonewake beendet die Sitzung bei Stonewake und leitet den Browser danach auf die Abmeldeseite Ihres Identitätsanbieters. Mit Microsoft Entra ID meldet diese Seite den Browser auch bei Microsoft ab, sodass andere Anwendungen von Microsoft im selben Browser eine neue Anmeldung verlangen.
Unser Anmeldedienst unterstützt die einheitliche Abmeldung über SAML (Single Logout) nicht. Wird eine Sitzung nur bei Ihrem Identitätsanbieter beendet, endet die Sitzung bei Stonewake erst mit Ablauf ihrer Dauer. Deshalb sollte die Dauer kurz bleiben.
Die Anmeldung mit Passwort bleibt für die Konten bestehen, die eines haben, sofern sich Ihr Arbeitsbereich nicht nur über SSO anmeldet.

Eintritte und Austritte

Eine neue Person kann sich anmelden, sobald Ihre Administration sie oder eine ihrer Gruppen der Anwendung Stonewake in Entra zuweist. Die erste Anmeldung legt ihr Konto an, wie oben beschrieben. Mit der Bereitstellung über SCIM, unten beschrieben, legt Entra das Konto an, sobald die Person zugewiesen ist.
Eine ausscheidende Person verliert den Zugang, wenn Sie sie bei Ihrem Identitätsanbieter entfernen oder, wenn Zuweisung erforderlich auf Ja steht, ihre Zuweisung zur Anwendung Stonewake aufheben. Jede Anmeldung über SSO läuft über Ihren Identitätsanbieter, sodass sie sich darüber nicht mehr anmelden kann. Mit der Bereitstellung über SCIM endet ihr Zugang sofort, wenn Entra sie deaktiviert oder löscht, und ohne sie endet eine bestehende Sitzung spätestens mit Ablauf der Sitzungsdauer.
Entfernt Ihre Administration ein Mitglied in den Einstellungen des Arbeitsbereichs, endet sein Zugang sofort. Jede Sitzung des Mitglieds endet bei ihrer nächsten Anfrage, die Schlüssel für die API, die es angelegt hat, und die Assistenten, die es freigegeben hat, werden widerrufen, und das Konto kann sich nicht mehr anmelden.

Über SSO freigegebene Assistenten

Ein Assistent wie Claude oder ChatGPT, den eine Person nach einer Anmeldung über Ihre Organisation freigegeben hat, liest weiter, solange sich diese Person mindestens einmal alle sieben Tage über Ihre Organisation bei Stonewake anmeldet. Spätestens sieben Tage und eine Stunde nach ihrer letzten solchen Anmeldung liest er nicht mehr, sodass das Entfernen einer ausscheidenden Person bei Ihrem Identitätsanbieter auch ihre Assistenten stoppt.
Solange SSO für Ihren Arbeitsbereich aus ist oder ein Teil seiner Konfiguration fehlt, pausieren diese Assistenten innerhalb einer Minute. Sie lesen wieder, sobald SSO zurück ist, sofern die sieben Tage nicht inzwischen abgelaufen sind. Eine Pause beendet keinen Assistenten.
Ein Assistent, der über einen Identitätsanbieter freigegeben wurde, pausiert, solange Ihr Arbeitsbereich einen anderen nutzt. Nach einem Wechsel zu einem neuen Identitätsanbieter gibt jede Person ihren Assistenten über den neuen erneut frei.
Ein Assistent pausiert auch, solange die Domäne der Adresse, mit der seine Person ihn freigegeben hat, keine Domäne Ihres Arbeitsbereichs mehr ist, und liest wieder, sobald diese Domäne erneut belegt ist.
Die Einstellungen des Arbeitsbereichs führen jeden Assistenten als Aktiv, Pausiert oder Beendet und sagen in einfachen Worten, warum ein pausierter nichts liest.
Um einen Assistenten sofort zu stoppen, beendet ihn die Person, die ihn freigegeben hat, oder die Administration Ihres Arbeitsbereichs in den Einstellungen des Arbeitsbereichs.

Bestehende Konten

Wer sich bei Stonewake mit Passwort anmeldet, behält bei der ersten Anmeldung über Microsoft seine Arbeit und seine Einstellungen. Unser Anmeldedienst legt bei dieser ersten Anmeldung ein neues Konto an, und wir übertragen das bestehende Konto darauf.
Wir übertragen es, wenn die Mailadresse, die Microsoft für die Person als bestätigt angibt, mit genau einem anderen offenen Konto Ihres Arbeitsbereichs übereinstimmt. Das neue Konto kommt in dasselbe Team mit derselben Rolle, und die Benachrichtigungskanäle der Person mit ihren Ruhezeiten, ihre abonnierten Benachrichtigungen, ihre Lesemarken bei Deals, ihre Annahme der Evaluierungsbedingungen und ihre Freigaben für Connectors gehen mit, ebenso die Einstellungen ihres eigenen Kontos, die Sprache, der Anzeigename und ob sie den Rundgang abgeschlossen hat. Die Arbeit eines Teams gehört dem Team und bleibt, wo sie ist.
Die Rolle der Administration wird nie übertragen. Eine Person Ihrer Bank benennt die Administration erneut, wie bei jeder Administration.
Das alte Konto wird danach geschlossen und kann sich nicht mehr anmelden, außer es ist eines Ihrer Notfallkonten, die ihr Passwort behalten. Beide Schritte stehen im Aktivitätsprotokoll Ihres Arbeitsbereichs.
Stimmt kein Konto oder mehr als ein Konto Ihres Arbeitsbereichs überein, wird nichts übertragen. Das neue Konto beginnt mit der Standardrolle und dem Standardteam, und wir klären es mit Ihnen.
Schlüssel für die API gehören Ihrem Arbeitsbereich und nicht einem Konto, sie funktionieren also weiter.

Nur SSO

Ihr Arbeitsbereich kann so eingestellt werden, dass die Anmeldung nur über SSO möglich ist. Dann wird jede Anmeldung mit Passwort oder über einen per Mail gesendeten Link in Ihrem Arbeitsbereich abgelehnt, und die Anmeldeseite weist die Person an, mit Ihrer Organisation fortzufahren.
Mit dem Wechsel zu nur SSO endet auch jede Freigabe für Connectors, die ohne eine Anmeldung über Ihre Organisation erteilt wurde, etwa mit Passwort, außer denen von Notfallkonten, und eine neue Freigabe braucht dann eine Anmeldung über Ihre Organisation.
Ob es Notfallkonten gibt, entscheiden Sie, von keinem bis zu fünf. Ein Notfallkonto behält sein Passwort, sodass Ihre Bank bei einem Ausfall Ihres Identitätsanbieters Zugang behält.
Ein Notfallkonto meldet sich mit seinem Passwort an, und zusätzlich mit einem Code aus einer Authenticator App, wenn Ihr Arbeitsbereich bei der Anmeldung mit Passwort einen zweiten Faktor verlangt. Geben Sie jedem ein langes, eigenes Passwort, das in Ihrem Passworttresor liegt, und benennen Sie so wenige, wie Sie brauchen.
Mit Notfallkonten gilt die Einstellung nur, solange SSO eingeschaltet und vollständig ist. Ist SSO aus, funktioniert die Anmeldung mit Passwort wieder für die Konten, die eines haben.
Ohne Notfallkonto öffnet sich die Anmeldung mit Passwort nie von selbst wieder. Sie bleibt aus, solange SSO aus ist oder ein Teil seiner Konfiguration fehlt, und die Anmeldeseite bittet die Person dann, sich an ihre Ansprechperson bei Stonewake zu wenden. Nur Stonewake hebt die Einstellung auf, auf Bitte Ihres Identitätsteams, und der Grund steht im Aktivitätsprotokoll Ihres Arbeitsbereichs.
Ohne Notfallkonto stellt Stonewake den Zugang wieder her, wenn die Anmeldung über SSO bei Stonewake fehlschlägt, während Ihr Identitätsanbieter funktioniert. Fehlt ein Teil der Konfiguration, erfahren wir es sofort. Wir handeln am Tag Ihrer Bitte, innerhalb der Supportzeiten Ihres Bestellformulars, und die Änderung wirkt innerhalb einer Minute.
Ist Ihr Identitätsanbieter selbst ausgefallen, öffnet das Aufheben der Einstellung die Anmeldung mit Passwort nur für die Konten, die noch ein Passwort haben. Eine Person, deren Konto auf SSO übertragen wurde, hat bei Stonewake keines und meldet sich wieder an, sobald Ihr Identitätsanbieter wieder verfügbar ist. Eine Bank, die auch während eines solchen Ausfalls Zugang braucht, behält ein Notfallkonto.

Wenn etwas fehlt

SSO schlägt sicher fehl. Solange ein Teil der Konfiguration fehlt, bleibt es aus, und niemand kann sich darüber anmelden. Die Teile sind der Identitätsanbieter, sein Aussteller, die Standardrolle, das Team für neue Konten, die Sitzungsdauer, die Abmeldeadresse Ihres Identitätsanbieters und mindestens eine Maildomäne, jede für diesen Identitätsanbieter belegt. Das Ausschalten von SSO für einen Arbeitsbereich beendet jede Sitzung über SSO dieses Arbeitsbereichs innerhalb einer Minute.

Die Konfiguration bei Stonewake enthält kein Geheimnis. Signaturzertifikate und Clientgeheimnisse bleiben bei unserem Anmeldedienst und werden nie in unseren Code oder unsere Datenbank geschrieben.

Microsoft Entra ID mit SAML 2.0 einrichten

Ihre Ansprechperson bei Stonewake sendet Ihnen zwei Werte für Ihren Arbeitsbereich, den Bezeichner (Entitäts-ID) und die Antwort-URL. Danach geht eine Administratorin oder ein Administrator Ihres Mandanten in Entra diese Schritte.

Schritt 1. Öffnen Sie im Microsoft Entra Admin Center die Unternehmensanwendungen, wählen Sie Neue Anwendung und danach Eigene Anwendung erstellen. Nennen Sie sie Stonewake und wählen Sie die Einbindung einer Anwendung, die nicht im Katalog steht.
Schritt 2. Öffnen Sie in der neuen Anwendung Einmaliges Anmelden und wählen Sie SAML.
Schritt 3. Tragen Sie unter Grundlegende SAML-Konfiguration den Bezeichner (Entitäts-ID) und die Antwort-URL Ihrer Ansprechperson ein. Als Anmelde-URL tragen Sie https://app.stonewake.ai/login ein. Sie ist erforderlich, denn Stonewake schließt nur eine Anmeldung ab, die auf seiner eigenen Anmeldeseite beginnt. Lassen Sie Relaystatus und Abmelde-URL leer.
Schritt 4. Behalten Sie unter Attribute und Ansprüche die Angabe der Mailadresse (user.mail). Lassen Sie den eindeutigen Benutzerbezeichner (Namens-ID) so, wie Entra ihn setzt, und bearbeiten Sie ihn nach der ersten Anmeldung nie, denn eine geänderte Namens-ID macht jeden Nutzer zu einem neuen Konto bei Stonewake. Jeder Nutzer braucht eine Mailadresse in einer der Domänen Ihres Arbeitsbereichs. Sollen Rollen aus Ihrem Verzeichnis kommen, fügen Sie die Angabe zu Rolle oder Gruppe hinzu, die wir lesen sollen.
Schritt 5. Behalten Sie unter SAML-Zertifikate die Voreinstellungen, eine Signatur nach SHA-256 der Assertion nach SAML und ein Zertifikat mit drei Jahren Gültigkeit, und tragen Sie die Adresse, die Ihnen Ihre Ansprechperson nennt, bei den Mailadressen für Benachrichtigungen ein, damit uns die Hinweise zum Ablauf ebenfalls erreichen. Sagen Sie Ihrer Ansprechperson Bescheid, bevor Sie ein neues Zertifikat aktiv setzen, damit unser Anmeldedienst es zuerst hat. Senden Sie Ihrer Ansprechperson die App-Verbundmetadaten-URL aus demselben Abschnitt. Das ist der einzige Wert, den wir von Ihnen brauchen, denn der Bezeichner von Microsoft Entra, das Signaturzertifikat und Ihr Mandant kommen mit ihr, und wir verwenden die Abmeldeadresse, die Microsoft für Ihren Mandanten veröffentlicht.
Schritt 6. Weisen Sie unter Benutzer und Gruppen die Personen oder Gruppen zu, die Stonewake nutzen dürfen, und setzen Sie unter Eigenschaften die Option Zuweisung erforderlich auf Ja. Entra lässt dann nur zugewiesene Nutzer anmelden, ausgenommen globale Administratoren, die sich unabhängig von dieser Einstellung anmelden können. Die Zuweisung einer Gruppe setzt Microsoft Entra ID P1 oder P2 voraus, und die Mitglieder einer Gruppe, die in einer zugewiesenen Gruppe verschachtelt ist, sind nicht zugewiesen.

Stonewake fragt weder nach einem Eintrag im DNS noch nach einer Berechtigung in Ihrem Verzeichnis.

Nutzer über SCIM bereitstellen

Microsoft Entra ID kann die Konten Ihres Arbeitsbereichs über SCIM 2.0 anlegen, deaktivieren und löschen, sodass Eintritte und Austritte Ihrem Verzeichnis folgen, bevor sich jemand anmeldet.

Schritt 1. In den Einstellungen des Arbeitsbereichs stellt Ihre Administration unter Anmeldung und Verzeichnis einen SCIM Token aus. Er wird nur einmal angezeigt, kopieren Sie ihn also sofort.
Schritt 2. Öffnen Sie in der Unternehmensanwendung Stonewake in Entra die Bereitstellung (Provisioning) und stellen Sie den Bereitstellungsmodus auf Automatisch.
Schritt 3. Tragen Sie als Mandanten URL https://api.stonewake.ai/scim/v2 und den Token als geheimes Token ein und wählen Sie dann Verbindung testen.
Schritt 4. Behalten Sie die Zuordnungen der Nutzer für userName, active und externalId bei. Gruppen werden nicht bereitgestellt.
Schritt 5. Stellen Sie den Bereitstellungsstatus auf Ein. Entra arbeitet dann in seinen Zyklen, etwa alle 40 Minuten.

Das Verzeichnis handelt in diesen Grenzen.

Ein Nutzer, den Entra anlegt, erhält ein Konto in Ihrem Arbeitsbereich mit der Rolle und dem Team aus Ihren Einstellungen für SSO, nie mit der Rolle der Administration. Seine Adresse muss eine der Maildomänen tragen, die Ihr Arbeitsbereich für SSO belegt hat.
Ein Nutzer, den Entra deaktiviert oder löscht, verliert den Zugang sofort, wie nach einem Entfernen in den Einstellungen des Arbeitsbereichs. Ein Nutzer, den Entra wieder aktiviert, meldet sich erneut an, und keine Sitzung von vor der Deaktivierung kehrt zurück.
Das Verzeichnis sieht und ändert nur die Konten, die es bereitgestellt hat. Es ändert nie ein Konto der Administration oder ein Notfallkonto und entfernt nie die letzte Administration Ihres Arbeitsbereichs.
Ein Arbeitsbereich hat höchstens drei gültige Token. Zum Wechseln stellen Sie einen neuen Token aus, tragen ihn in Entra ein und widerrufen danach den alten in den Einstellungen des Arbeitsbereichs. Jeder ausgestellte und jeder widerrufene Token steht im Aktivitätsprotokoll.

Ein zweiter Faktor bei der Anmeldung mit Passwort

Ihre Administration kann in den Einstellungen des Arbeitsbereichs unter Anmeldung und Verzeichnis bei der Anmeldung mit Passwort einen zweiten Faktor verlangen. Danach gibt eine Person, die sich mit Passwort anmeldet, zusätzlich einen sechsstelligen Code aus einer Authenticator App wie Microsoft Authenticator ein. Bei der ersten Anmeldung nach der Änderung zeigt Stonewake einen QR Code, mit dem die App eingerichtet wird. Eine Anmeldung über SSO behält die Faktoren, die Ihr Identitätsanbieter verlangt und die Sie in Entra festlegen.

Was Ihre Ansprechperson von Ihnen braucht

Jede Maildomäne, die die Adressen Ihrer Nutzer tragen, nicht nur die wichtigste, denn ein Nutzer, dessen Adresse eine Domäne trägt, die in der Liste fehlt, kann sich nicht anmelden. Mit Microsoft Entra ID muss jede eine bestätigte Domäne des Mandanten sein, in dem Ihre Anwendung Stonewake liegt, und für sie wird nichts veröffentlicht. Mit einem anderen Identitätsanbieter veröffentlichen Sie den Eintrag vom Typ TXT, den wir für jede schicken, in Ihrem DNS.
Die Standardrolle für neue Konten und das Team, dem sie beitreten, wenn es nicht das Standardteam des Arbeitsbereichs ist.
Die Zuordnung der Rollen, wenn Rollen aus Ihrem Verzeichnis kommen sollen.
Die Sitzungsdauer, passend zur Anmeldehäufigkeit Ihres Identitätsanbieters.
Ob sich Ihr Arbeitsbereich nur über SSO anmeldet und welche Konten, falls überhaupt, seine Notfallkonten sind.
Die App-Verbundmetadaten-URL aus Schritt 5 oben.

Wir hinterlegen Ihren Identitätsanbieter aus dieser URL und testen eine Anmeldung mit einem Ihrer Konten. Nur SSO wird zuletzt eingeschaltet, nach diesem Test.

Was Ihre Administration sieht

Die Administration Ihres Arbeitsbereichs sieht die Konfiguration von SSO in den Einstellungen des Arbeitsbereichs, nur lesend. Angezeigt werden, ob SSO aktiv ist, das Protokoll, die Maildomänen und wie sie belegt wurden, die Rolle bei der ersten Anmeldung, wie viele Werte einer Rolle zugeordnet sind, die Sitzungsdauer, ob die Anmeldung nur über SSO läuft, wie viele Notfallkonten es gibt und wie viele Freigaben für Connectors der Wechsel zu nur SSO beendet hat. Änderungen laufen über Ihre Ansprechperson bei Stonewake, die sie gemeinsam mit Ihrem Identitätsteam vornimmt. Unter Anmeldung und Verzeichnis verlangt sie selbst einen zweiten Faktor bei der Anmeldung mit Passwort und stellt die SCIM Token für die Bereitstellung aus Entra aus oder widerruft sie.

Auf derselben Seite lädt sie das Aktivitätsprotokoll des Arbeitsbereichs für die ganze Aufbewahrungsdauer als CSV herunter, mit jeder Anmeldung, jeder ersten Anmeldung, jedem Rollenwechsel und jedem entfernten Mitglied. Ein System wie Ihr SIEM kann es mit einem Schlüssel für die API abholen, der den Prüfumfang trägt, siehe Schlüssel und Zugangsverwaltung.

Was wir nicht anbieten

Im Dashboard lässt sich SSO nicht in Selbstbedienung einrichten.
Die Bereitstellung über SCIM umfasst Nutzer, keine Gruppen.
Die einheitliche Abmeldung über SAML (Single Logout) wird nicht unterstützt.
Eine Anmeldung vergibt nie die Rolle der Administration.

Fragen richten Sie an contact@stonewake.ai. Siehe auch den Sicherheitsüberblick und die Einführung im Institut.