SAML-Authentifizierung mit ChurchTools

Mit SAML können sich Personen über den zentralen Anmeldedienst deiner Organisation bei ChurchTools einloggen. Du richtest die Verbindung direkt in den System-Einstellungen ein.

SAML ist ein Standard für den sicheren Austausch von Anmeldeinformationen. Dein Anmeldedienst – der Identity-Provider (IdP) – bestätigt die Identität einer Person. ChurchTools nimmt diese Bestätigung als Service-Provider (SP) entgegen. So können Personen ihr bestehendes Benutzerkonto beim Anmeldedienst verwenden, statt ein weiteres Passwort für ChurchTools zu benötigen.

Was du vorbereiten solltest #

• Du brauchst Zugriff auf die System-Einstellungen und die Berechtigungen zum Administrieren von Personen.
• Deine Organisation benötigt einen SAML-Identity-Provider. Du oder eure IT-Verantwortlichen müssen dort eine Anwendung für ChurchTools einrichten können.
• Halte die SAML-Metadaten des Anbieters bereit, möglichst als XML-Datei. Alternativ brauchst du seine Kennung, Anmelde-URL und sein öffentliches Signaturzertifikat.
• Kläre, welche Personen sich anmelden dürfen und ob bisher nicht vorhandene Personen automatisch in ChurchTools erstellt werden sollen.

1. SAML-Provider anlegen #

Um dir die Einrichtung der SAML-Verbindung möglichst zu erleichtern, haben wir einen Wizard eingerichtet, der dich durch die Konfiguration führt.

1. Öffne über das Verwalten-Menü die System-Einstellungen. Wähle unter Allgemein den Eintrag Login.
   
2. Klicke im Abschnitt Login bei ChurchTools via Drittsystem auf + Login-Provider hinzufügen und wähle SAML.
   
3. Trage im Schritt Name einen verständlichen Namen ein, zum Beispiel „Gemeinde-Login“.
   
4. Klicke auf Weiter. ChurchTools legt damit zunächst einen Entwurf an. Dieser ist noch nicht als Anmeldemöglichkeit für Personen freigegeben.

2. ChurchTools beim Identity-Provider einrichten #

Im Schritt Service-Provider-Daten zeigt ChurchTools die Angaben, die dein Anbieter für die Verbindung benötigt. Wechsle zur Verwaltung deines Identity-Providers und lege dort eine SAML-Anwendung für ChurchTools an. Die Bezeichnungen und Schritte beim Identity Provider unterscheiden sich je nach Anbieter. Nutze dafür dessen SAML-Dokumentation oder beziehe eure IT-Verantwortlichen ein.

1. Klicke in ChurchTools auf URL kopieren und hinterlege die Metadaten-URL beim Anbieter, wenn dieser den Import über eine URL unterstützt. Alternativ kannst du SP-Metadaten herunterladen und die Datei dort importieren.
   
   Falls du die Werte einzeln eintragen musst, übernimm die SP Entity-ID und die Assertion-Consumer-Service-URL. Letztere ist die Antwortadresse, an die der Anbieter die Anmeldebestätigung sendet. Die Single-Logout-Service-URL ist für die gemeinsame Abmeldung vorgesehen. Falls dein Anbieter ein SP-Zertifikat benötigt, kannst du es in der Zeile Zertifikat kopieren oder herunterladen.
   
2. Gib beim Anbieter den vorgesehenen Personen Zugriff auf die Anwendung.
   
3. Kehre zu ChurchTools zurück und klicke auf Weiter.

3. Daten des Identity Providers übernehmen #

1. Wähle im Schritt IdP-Daten die Schaltfläche Metadaten-Datei importieren und lade die XML-Datei deines Anbieters hoch. Über XML einfügen kannst du stattdessen den XML-Inhalt einfügen. Prüfe die übernommenen Angaben.
   
   Ohne Import trägst du sie selbst ein: IdP Entity-ID ist die eindeutige Kennung des Anbieters, IdP Single-Sign-On-Service-URL seine Anmelde-URL und IdP-Zertifikat (PEM) sein öffentliches Signaturzertifikat. Das Zertifikat hilft ChurchTools, die Echtheit der Anmeldebestätigung zu prüfen.
   
2. Öffne bei Bedarf Erweiterte Einstellungen und stimme die Sicherheitsoptionen mit dem Anbieter ab.
   
3. Klicke anschließend auf Weiter.

Was bedeuten die erweiterten Einstellungen?

• Erforderliche IdP-Signaturen: Wähle passend zur Konfiguration deines Anbieters Response signiert, Assertion signiert oder Response und Assertion signiert. „Response“ bezeichnet die Antwortnachricht, „Assertion“ die darin enthaltene Identitätsbestätigung. Voreingestellt ist Response signiert.
• SAML-Anfragen signieren: Aktivieren, wenn der Anbieter signierte Anfragen von ChurchTools erwartet. Dann erscheint das Feld Signaturalgorithmus. Stimme den Algorithmus mit dem Anbieter ab und hinterlege dort bei Bedarf das ChurchTools-Zertifikat aus den SP-Daten. Die Option ist zunächst ausgeschaltet.
• IdP Single-Logout-Service-URL: Optionale Abmelde-URL des Anbieters für eine gemeinsame Abmeldung.
• IdP-Zertifikat-Fingerprint: Ein Fingerabdruck zur Erkennung des Zertifikats. Verwende diese Alternative zum vollständigen Zertifikat nur nach Abstimmung mit euren IT-Verantwortlichen.

4. Personen erkennen und bei Bedarf neu erstellen #

Im Schritt Personen legst du fest, welche Angaben ChurchTools aus der Anmeldebestätigung verwendet. Die Felder enthalten die Attributnamen des Anbieters, nicht die persönlichen Daten eines einzelnen Benutzers.

1. Wähle unter Vorlage die zu deinem Anbieter passende Vorlage. Für neue Provider ist Microsoft Entra ID vorausgewählt. Prüfe auch bei einer Vorlage, ob die Zuordnung zur Konfiguration deines Anbieters passt.
   
2. Prüfe Identifier-Attribut, E-Mail-Attribut, Vorname-Attribut und Nachname-Attribut. Diese Angaben werden benötigt. Das Identifier-Attribut muss eine dauerhaft stabile und eindeutige Benutzerkennung liefern. Benutzername-Attribut ist optional; ohne übermittelten Benutzernamen verwendet ChurchTools die E-Mail-Adresse.
   
3. Lass Neue Personen erstellen ausgeschaltet, wenn nur bereits vorhandene Personen Zugang bekommen sollen. Wenn neue Personen automatisch angelegt werden dürfen, schalte die Option ein und wähle Personenstatus, Bereich und Standort für diese Personen. Klicke auf Weiter.

Wie findet ChurchTools die passende Person? #

Eine bereits gespeicherte Zuordnung zwischen dem Anbieter-Konto und einer ChurchTools-Person wird zuerst verwendet. Beim ersten Login ohne eine solche Zuordnung vergleicht ChurchTools Vorname, Nachname und E-Mail-Adresse gemeinsam mit den vorhandenen, nicht archivierten Personen. Dabei kann auch eine zusätzliche, bei der Person hinterlegte E-Mail-Adresse passen.

• Genau eine passende Person: ChurchTools verknüpft das Anbieter-Konto mit dieser Person.
• Keine passende Person: Ist Neue Personen erstellen eingeschaltet, wird eine Person mit den gewählten Vorgaben angelegt. Andernfalls ist die Anmeldung nicht möglich.
• Mehrere passende Personen: Die Anmeldung wird abgebrochen. Administratoren werden per E-Mail informiert, damit sie die uneindeutigen Personendaten prüfen können.

5. Verbindung testen und SAML aktivieren #

1. Prüfe im Schritt Prüfen die zusammengefassten Angaben. Über die Schritte am oberen Rand kannst du zu einem Bereich zurückkehren.
   
2. Klicke auf Test starten und melde dich im neu geöffneten Fenster beim Identity-Provider an. Erlaube Pop-ups für ChurchTools, wenn dein Browser das Fenster blockiert.
   
3. Prüfe das Ergebnis und ob die benötigten Attribute vorhanden sind. Fehlen erforderliche Angaben, korrigiere die Zuordnung unter Personen oder die übermittelten Angaben beim Anbieter und wiederhole den Test.
   
4. Klicke auf SAML aktivieren, wenn die Einrichtung bereit ist. Prüfe anschließend auch eine reguläre Anmeldung mit einer dafür vorgesehenen Person.

Für spätere Änderungen öffnest du den SAML-Provider auf der Login-Seite. Dort findest du seine Endpunkte, die Anbieter-Daten, Informationen zu importierten Zertifikaten und erneut die Möglichkeit, die SAML-Anmeldung zu testen. Über das Drei-Punkte-Menü kannst du Metadaten erneut importieren oder die Konfiguration manuell bearbeiten.

Dein Passwort beim Anmeldedienst verwaltest du dort. Eine Passwortänderung in ChurchTools ändert nicht das Passwort beim Identity-Provider.