SSO-Anmeldung und Standardanmeldung

SSO-Anmeldung und Standardanmeldung • LockPass

Zwei Kontotypen

In LockPass verfügt jeder Benutzer entweder über ein Standardkonto oder über ein SSO-Konto. Der Kontotyp bestimmt den Anmeldeablauf.

Standardkonto

  • Der Zugriff wird von LockSelf verwaltet.
  • Anmeldung: E-Mail-Adresse, dann Code der Zwei-Faktor-Authentifizierung (MFA), sofern konfiguriert, dann Master-Passwort (oder Passkey).
  • In der Benutzerliste angezeigtes Badge: „Local“.

SSO-Konto

  • Der Zugriff wird vom Identitätsanbieter (IdP) Ihrer Organisation verwaltet: Microsoft Entra ID, Okta …
  • Anmeldung: E-Mail-Adresse, dann Authentifizierung bei Ihrem IdP, dann Master-Passwort (oder Passkey).
  • In der Benutzerliste angezeigtes Badge: „SSO“. Ein SSO-Konto mit aktivierter lokaler Anmeldung wird als „SSO + Local“ angezeigt.

Der IdP ersetzt das Master-Passwort nicht: Es bleibt unverzichtbar, denn mit ihm wird Ihr Tresor entschlüsselt.

 

Der Anmeldeablauf

So melden Sie sich bei LockPass an:

  1. Geben Sie Ihre E-Mail-Adresse ein.
  2. LockPass leitet Sie automatisch je nach Kontotyp weiter:
    • SSO-Konto: Sie werden zu Ihrem IdP weitergeleitet. Ist Ihre IdP-Sitzung noch aktiv, erfolgt dieser Schritt unbemerkt; andernfalls fordert der IdP Sie zur Authentifizierung auf.
    • Standardkonto: Geben Sie Ihren MFA-Code ein, sofern die Zwei-Faktor-Authentifizierung konfiguriert ist.
  3. Geben Sie Ihr Master-Passwort ein oder verwenden Sie Ihren Passkey, falls Sie einen eingerichtet haben.
  4. Sie sind angemeldet.
  • Sie wählen die Anmeldeart nicht selbst. Anders als in v3 bietet der Anmeldebildschirm aus Sicherheitsgründen keine Auswahl „Standard / SSO“ mehr an.
  • Der Ablauf ist in der Web-App, der Browsererweiterung und der mobilen App identisch.

 

Sitzungsdauer und Anmeldedauer

LockPass unterscheidet zwei Zeiträume, die bei ihrem Ablauf unterschiedliche Auswirkungen haben:

Sitzungsdauer

  • Wird vom Administrator festgelegt oder der Wahl des Benutzers überlassen.
  • Nach Ablauf gibt der Benutzer nur sein Master-Passwort ein (oder verwendet seinen Passkey).

Anmeldedauer

  • Wird vom Administrator festgelegt.
  • Nach Ablauf durchläuft der Benutzer erneut den vollständigen Anmeldeablauf (E-Mail, IdP oder MFA, Master-Passwort).

Und die Sitzung Ihres IdP?

Die Sitzungsdauer des IdP wird von Ihrer Organisation in Ihrem IdP festgelegt. Sie spielt nur in dem Moment eine Rolle, in dem LockPass den Benutzer zum IdP weiterleitet: Ist sie noch aktiv, muss sich der Benutzer nicht erneut beim IdP authentifizieren.

Keine zentrale Abmeldung

LockPass unterstützt keine zentrale Abmeldung (Single Logout): Ihr IdP kann eine bereits geöffnete LockPass-Sitzung nicht beenden. Ein in Ihrem IdP deaktivierter Benutzer behält seinen Zugriff auf LockPass bis zum Ablauf seiner Anmeldedauer. Passen Sie diese Dauer an Ihre Sicherheitsrichtlinie an.

 

Festlegen, wer sich per SSO anmelden kann

LockPass fragt Ihr Verzeichnis nicht ab: Es erfährt erst dann, dass ein Benutzer in Ihrem IdP existiert, wenn dieser eine SSO-Anmeldung versucht. Sobald der IdP die Authentifizierung bestätigt, ist der Benutzer für den Zugriff auf LockPass berechtigt.

Deshalb legt der Verzeichnisadministrator in Ihrem IdP fest, wer sich per SSO anmelden kann, indem er die LockSelf-Anwendung Personen oder Gruppen zuweist:

  • Okta: Ein Benutzer, der der Anwendung nicht zugewiesen ist, wird abgewiesen (Fehler 403).
  • Microsoft Entra ID: Ein nicht zugewiesener Benutzer wird nur dann abgewiesen (Fehler AADSTS50105), wenn die Option „Zuweisung erforderlich“ (Assignment required) für die Anwendung aktiviert ist. Andernfalls kann sich jede Person in Ihrem Tenant, einschließlich Gästen, anmelden.

Wenn eine SSO-Anmeldung fehlschlägt

Die Fehlermeldung wird auf der Seite Ihres IdP angezeigt, nicht in LockPass. LockPass erhält den Grund für den Fehlschlag nicht (Konto nicht im Verzeichnis vorhanden, der Anwendung nicht zugewiesen, gesperrt …). Um den Fehler zu verstehen, notieren Sie die vom IdP angezeigte Meldung oder prüfen Sie die Anmeldeprotokolle Ihres IdP.

 

Anmeldung ohne IdP

Wenn Ihr IdP nicht verfügbar oder kompromittiert ist, kann ein Administrator im Profil eines SSO-Benutzers die Option „Lokale Anmeldung“ aktivieren. Der IdP-Schritt wird dann übersprungen: Der Benutzer meldet sich mit seinem Master-Passwort (oder seinem Passkey) an.

  • Ist sie aktiviert, hat die lokale Anmeldung Vorrang vor SSO.
  • Diese Nutzung ist vorübergehend: Denken Sie daran, die Option nach dem Vorfall zu deaktivieren, damit der Benutzer wieder den Regeln Ihres IdP unterliegt.

Das ausführliche Vorgehen finden Sie im Artikel Lokale Anmeldung zulassen (SSO-Benutzer).

 

Schnelldiagnose

  • „Ein Benutzer kann sich nicht mehr per SSO anmelden“: Prüfen Sie, ob er in Ihrem IdP der LockSelf-Anwendung zugewiesen ist, und notieren Sie die vom IdP angezeigte Meldung.
  • „Ein SSO-Benutzer muss sich ohne IdP anmelden“: Aktivieren Sie in seinem Profil die Option „Lokale Anmeldung“.
  • „Meine Benutzer müssen jeden Morgen erneut über den IdP“: Prüfen Sie die in LockPass festgelegte Anmeldedauer und die in Ihrem IdP festgelegte Sitzungsdauer.

Aktualisiert