Einrichten von Single Sign-On (SSO) mit Azure / Entra ID
SSO ermöglicht es Ihren Benutzern, sich bei Legalesign über Ihren bestehenden Identitätsanbieter anzumelden, anstatt ein separates Legalesign-Passwort zu verwenden. Diese Anleitung beschreibt die Einrichtung mit Azure Active Directory (Microsoft Entra ID).
SSO erfordert einen Plan, der den Zugriff auf SSO beinhaltet. Kontaktieren Sie Ihren Account-Manager, um die Berechtigung vor Beginn zu bestätigen.
Die Einrichtung besteht aus zwei Teilen: Registrieren Sie eine neue Anwendung in Ihrem Azure-Portal und senden Sie Legalesign die Werte, die benötigt werden, um die Verbindung abzuschließen. Legalesign aktiviert SSO in Ihrem Konto und stellt eine Anmelde-URL bereit.
Schritt 1: Registrieren Sie die Anwendung in Azure
- Gehen Sie zu Ihrem Azure-Portal und navigieren Sie zu Azure Active Directory (Microsoft Entra ID).
- Klicken Sie in der linken Spalte auf App-Registrierungen > Neue Registrierung.
- Vergeben Sie einen Namen für die Anwendung – zum Beispiel
Legalesign. - Wählen Sie die Kontotypen aus, die Zugriff auf SSO haben sollen. Klicken Sie auf Hilfe bei der Auswahl, wenn Sie unsicher sind.
- Unter Umleitungs-URI wählen Sie aus dem Dropdown Web aus, geben Sie die folgende URL ein und klicken Sie dann auf Registrieren:
https://a.legalesign.com/oauth2/idpresponse
Die Anwendung wird erstellt und Sie gelangen auf die Übersichtsseite, die Ihre Anwendungs-ID (Client-ID) und Verzeichnis-ID (Mandanten-ID) anzeigt. Speichern Sie beide – Sie werden sie in Schritt 6 benötigen.
Schritt 2: Fügen Sie die Logout-URI hinzu
- Klicken Sie auf der Übersichts-Registerkarte auf den Link zu den Redirect-URIs oder navigieren Sie im linken Menü zu Verwalten > Authentifizierung.
- Klicken Sie auf die Registerkarte Einstellungen. Geben Sie Folgendes als Front-Channel Logout-URL ein:
https://app1.legalesign.com/auth/logged-out?t=1 - Aktivieren Sie sowohl Access Tokens als auch ID Tokens.
- Klicken Sie auf Speichern.
Schritt 3: Überprüfen Sie die API-Berechtigungen
- Klicken Sie im linken Menü auf API-Berechtigungen.
Microsoft.Graph>User.Readsollte bereits aufgeführt sein. Fügen Sie es hinzu, falls nicht vorhanden.- Klicken Sie auf die Option 'Admin-Zustimmung für Legalesign erteilen'.
Schritt 4: Erstellen Sie ein Client-Secret
- Klicken Sie im linken Menü auf Zertifikate & Geheimnisse.
- Klicken Sie auf Neues Client-Geheimnis, geben Sie eine Beschreibung und ein Ablaufdatum an und klicken Sie dann auf Hinzufügen.
- Kopieren Sie sofort den Wert — er wird nur einmal angezeigt.
Schritt 5: Fügen Sie das Legalesign-Logo hinzu (optional)
Laden Sie das Legalesign-Logo herunter und gehen Sie dann im linken Menü zu Branding & Eigenschaften. Laden Sie es unter Neues Logo hochladen hoch und klicken Sie auf Speichern.
Schritt 6: Senden Sie die Details an Legalesign
Kontaktieren Sie Ihren zugewiesenen SSO-Supportbetreuer mit den folgenden Angaben:
| Wert | Wo zu finden |
|---|---|
| Anwendungs-ID (Client-ID) | Übersichts-Registerkarte |
| Verzeichnis-ID (Mandanten-ID) | Übersichts-Registerkarte |
| Client-Secret-Wert | In Schritt 4 kopiert |
| Domainnamen | Alle Domains, die Ihre SSO-Benutzer-E-Mails verwenden können |
Legalesign konfiguriert SSO in Ihrem Konto und antwortet mit Ihrer Anmelde-URL.
Nach der Einrichtung: Zugriff verwalten
Um zu steuern, welche Benutzer über SSO auf Legalesign zugreifen können, gehen Sie zu Enterprise Apps im Azure-Portal und suchen Sie nach Legalesign (oder dem Namen, den Sie der Anwendung in Schritt 1 gegeben haben). Benutzerzuweisungen und Zugriffsrichtlinien werden von dort verwaltet.
Fortgeschritten: automatische Gruppen-Zuweisung
Sobald SSO funktioniert, kann Ihr Account-Manager die automatische Teameinordnung einrichten – so werden Benutzer beim ersten Login automatisch dem richtigen Legalesign-Team hinzugefügt, ohne manuelle Schritte.
Dies funktioniert, wenn ein beliebiges Entra-Benutzerattribut (z. B. department) direkt einem Teamnamen in Legalesign zugeordnet ist. Wenn Ihre Benutzer beispielsweise einen department-Wert von HR oder Sales haben und Ihre Legalesign-Gruppen ebenso organisiert sind, erfolgt die Zuordnung automatisch.
1. Aktivieren Sie gemappte Ansprüche im App-Manifest
Gehen Sie zu Manifest und suchen Sie das Feld acceptMappedClaims im api-Block. Ändern Sie es von null auf true und speichern Sie:
"api": {
"acceptMappedClaims": true,
...
}
2. Öffnen Sie die zugehörige Enterprise-Anwendung
Klicken Sie von der App-Übersicht auf Verwaltete Anwendung im lokalen Verzeichnis oder gehen Sie zu Enterprise Applications in Azure und suchen Sie die Anwendung nach Namen.
3. Fügen Sie einen benutzerdefinierten Anspruch hinzu
Gehen Sie zu Verwalten > Single Sign-On. Im Abschnitt Attribute & Ansprüche klicken Sie auf Bearbeiten und dann auf Neuen Anspruch hinzufügen.
- Vergeben Sie einen Namen für den Anspruch (z. B.
department) - Setzen Sie Quellattribut auf das Entra-Feld, das Sie verwenden möchten (z. B.
user.department) – eine Liste der verfügbaren Attribute wird bereitgestellt. - Klicken Sie auf Speichern
4. Bestätigen Sie mit dem Legalesign-Support
Teilen Sie Ihrem Account-Manager mit:
- Den verwendeten Anspruchsnamen
- Wie die Anspruchswerte auf Ihre Legalesign-Gruppennamen abgebildet werden (falls die Werte nicht exakt übereinstimmen – z. B.
Admin,Sales,HR) - Die Berechtigungsstufe, die neuen Benutzern beim ersten Login zugewiesen werden soll
Nach der Konfiguration wird der Attributwert beim Login übermittelt und Legalesign weist den Benutzer automatisch dem passenden Team zu.