Hier erklären wir dir, wie du einen externen Login-Provider per OIDC mit deinem ChurchTools verbinden kannst. So können deine Benutzer ihren Login aus einem Drittsystem wie beispielsweise Microsoft365 nutzen, um sich damit in eurem ChurchTools einzuloggen.
1. ChurchTools beim Anbieter registrieren #
Lege beim Anbieter eine Anwendung für euer ChurchTools-System an. Manche Anbieter nennen sie auch „Client“. Falls du nach der Anwendungsart gefragt wirst, wähle einen vertraulichen Client (Confidential Client) und den Authorization-Code-Ablauf. Achte bei einigen Anbietern wie Google darauf, als Zielgruppe/Audience Extern / External anzugeben.
Öffne danach in deinem ChurchTools über das Verwalten-Menü die System-Einstellungen. Wechsle unter Allgemein zu Login. Hier werden dir die Provider-Endpunkte angezeigt (siehe auch Login bei und mit ChurchTools).
Kopiere die angezeigte OIDC-Redirect-URI und trage sie beim Anbieter als erlaubte Rücksprungadresse ein. Übernimm sie exakt und verändere sie nicht.
Beim Anbieter sollten dir bei oder nach der Einrichtung die Issuer-Adresse, die Client-ID und das Client-Secret angezeigt werden. Halte sie für die weitere Konfiguration deines ChurchTools bereit.
2. OIDC-Anbieter in ChurchTools hinzufügen #
Klicke im Abschnitt Login bei ChurchTools via Drittsystem auf die blaue Schaltfläche + Login-Provider hinzufügen und wähle im Menü OIDC.
Fülle die Felder mit den jeweiligen Daten aus. Der folgende Screenshot zeigt dir ein anonymisiertes Beispiel. Trage beim Einrichten die tatsächlichen Daten eures Anbieters ein.
| Feld | Was trägst du ein? |
|---|---|
| Name | Einen verständlichen Namen, an dem eure Benutzer den Anbieter erkennen; für eine Google-Anbindung z. B. „Login mit Google“. |
| Issuer | Die exakte Issuer-Adresse aus der Dokumentation bzw. Konfiguration des Anbieters. Ein eventuell vorhandener abschließender Schrägstrich gehört zur Adresse. |
| Discovery-URL | Wird aus dem Issuer automatisch abgeleitet. Du musst die einzelnen Anmelde- und Token-Adressen nicht manuell eintragen. |
| Client-ID | Die Kennung der Anwendung, die du beim Anbieter für ChurchTools registriert hast. |
| Client-Secret | Das zu dieser Anwendung gehörende Secret. Beim Anlegen ist es erforderlich. Lässt du es beim späteren Bearbeiten leer, bleibt das gespeicherte Secret erhalten. |
| Scope | Normalerweise sind es die drei Scopes „openid profile email„. Mehrere Scopes werden durch Leerzeichen getrennt. Trage zusätzliche Scopes nur ein, wenn sie laut Anbieter für die benötigten Informationen erforderlich sind. |
| Neue Personen erstellen | Wenn keine passende Person gefunden wird, kann automatisch eine neue Person erstellt werden. |
Füge den Login-Provider abschließend hinzu.
3. OIDC-Anmeldung testen #
Klicke auf den neu angelegten Login-Provider, um die dazugehörige Detailseite aufzurufen. Hier findest du nochmal alle Angaben zur Verbindung. Im unteren Bereich kannst du nun die OICD-Anmeldung testen. Klicke auf die blaue Schaltfläche, um zu prüfen, ob die Verbindung korrekt eingerichtet wurde.
Es öffnet sich ein zusätzliches Browserfenster. Falls dein Browser es blockiert, erlaube es. Melde dich dann dort beim Anbieter an.
Kehre zur Detailseite zurück und prüfe das Ergebnis. Bei Erfolg siehst du, welche Arten von Informationen der Anbieter übermittelt hat. Die persönlichen Inhalte werden im Test nicht angezeigt.
Der Test prüft die technische Verbindung und die Gültigkeit der Anmeldung. Er erstellt keine Personen in ChurchTools, verknüpft kein Benutzerkonto und meldet keine Person bei ChurchTools an. Ein erfolgreicher Test beweist daher noch nicht, dass die Personenzuordnung funktioniert.
Prüfe deshalb anschließend die echte Anmeldung in einem separaten Browserprofil oder privaten Fenster. Nutze eine eindeutig passende, aktive Person und kontrolliere danach, ob du im richtigen ChurchTools-Profil angemeldet bist. Falls ihr neue Personen zulassen wollt, prüfe am besten auch diesen Fall und die zugewiesenen Berechtigungen.