SSO mit Okta einrichten

Richte SSO für eine bestehende Kanroo-Organisation ein. Wir haben diesen Ablauf im September 2026 von Hand mit einer Okta-Organisation im Okta Integrator Free Plan getestet. Wie Du eine Okta-Organisation anlegst, erklärt diese Anleitung nicht. Kontoverknüpfung und Zugriff auf die Einstellungen erklärt Persönliche und SSO-Anmeldung.

Bevor Du beginnst

• SSO muss verfügbar sein: in jedem Plan von Kanroo Cloud oder bei selbst gehostetem Enterprise.
• Melde Dich bei Kanroo persönlich per E-Mail als Inhaber der Organisation an.
• Du brauchst Administratorzugriff auf Okta und einen aktiven Okta-Benutzer mit der Kanroo-E-Mail-Adresse des Inhabers.
• Die Benutzer brauchen für die erste E-Mail-Bestätigung durch Kanroo Zugriff auf ihr Postfach.
• Der Browser und der Kanroo-Server müssen Okta über HTTPS erreichen können. Betreiber einer selbst gehosteten Installation müssen den OIDC-Verschlüsselungs-Keyring einrichten, bevor sie ein Client Secret speichern.

1. Okta-Anwendung einrichten

Öffne in Kanroo Organisationseinstellungen → SSO und kopiere die angezeigte Weiterleitungs-URL.

Öffne in Okta Applications → Applications → Create App Integration. Manche Konsolen nennen das erste Menü Applications and Resources. Wähle Classic experience, wenn Okta danach fragt.

Einstellung	Wert
Sign-in method	OIDC – OpenID Connect
Application type	Web Application
App integration name	Kanroo
Grant type	Nur Authorization Code
Sign-in redirect URIs	Die exakte Weiterleitungs-URL aus Kanroo. Standardwerte entfernen, keine Wildcards nutzen
Sign-out redirect URIs	Leer
Trusted Origins / Base URIs	Leer
Require DPoP header	Off
Assignments	Gruppenzuweisung vorerst überspringen

Speichere. Wähle unter General → Client Credentials → Edit die Option Client secret, schalte die Pflicht für eine PKCE-Code-Challenge ein und speichere. Lass Login initiated by auf App Only. Kopiere Client ID und Client Secret. Halte das Secret geheim. Siehe Oktas Anwendungseinstellungen.

Weise unter Assignments → Assign → Assign to People den Okta-Benutzer des Inhabers zu. Behalte die E-Mail-Adresse als Benutzernamen der Anwendung und wähle dann Save and Go Back → Done. Weise auch jedes vorgesehene Mitglied zu oder nutze Zuweisungen an ausgewählte Gruppen Deiner Organisation. Siehe Oktas Anleitung zur Zuweisung.

2. Organisation verbinden

(vergrößern)

Prüfe in Kanroo unter Organisationseinstellungen → SSO, ob die Weiterleitungs-URL (Rahmen 1) mit der registrierten übereinstimmt. Gib dann diese Werte in die Felder des Identitätsanbieters ein (Rahmen 2):

Feld	Wert
Issuer-URL	Die URL Deiner Okta-Organisation, zum Beispiel https://your-company.okta.com
Client-ID	Die Client ID der Anwendung
Client-Secret	Das Client Secret der Anwendung

Diese Anleitung nutzt für SSO den eingebauten Org Authorization Server von Okta. Nutze die URL der Organisation ohne /oauth2/default oder /.well-known/openid-configuration. Siehe Oktas Authorization Server.

Wähle Entwurf speichern (Rahmen 3) und dann Testen und verbinden. Melde Dich als zugewiesener Okta-Benutzer des Inhabers an und gib dann den Bestätigungscode ein, den Kanroo per E-Mail schickt. Danach sollte die Verbindung Verbunden zeigen. Ist der Browser als anderer Okta-Administrator angemeldet, melde Dich zuerst bei Okta ab. Lass SSO erzwingen aus, während Du den Zugriff für Mitglieder testest.

3. Mitglieder aufnehmen und Anmeldung prüfen

Lade Mitglieder in Kanroo ein oder schalte den automatischen Beitritt (JIT) ein. Mit JIT können zugewiesene Okta-Benutzer ohne Kanroo-Einladung als Mitglied beitreten, im Rahmen der Limits der Organisation. Beschränke die Zuweisungen der Okta-Anwendung auf die vorgesehenen Benutzer.

Mitglieder wählen auf der Anmeldeseite von Kanroo Mit SSO fortfahren und geben den Slug der Organisation ein. Oder sie öffnen den Link zur SSO-Anmeldung, den Du unter Organisationseinstellungen → SSO kopierst. Er wählt die Organisation schon vor. Bei der ersten Anmeldung bestätigt Kanroo die E-Mail-Adresse. Meldet sich ein Mitglied ab und danach erneut per SSO an, ist kein weiterer Verknüpfungscode nötig. Besteht noch eine Okta-Sitzung, läuft diese erneute Anmeldung eventuell automatisch durch.

Prüfe, ob der Inhaber weiter die Rolle „Inhaber“ hat und ein neuer JIT-Benutzer als Mitglied erscheint. Eine reine SSO-Sitzung zeigt Persönliche Bestätigung erforderlich anstelle von API-Schlüsseln, Sicherheitsaktivität und Webhooks. Bestätigt das Mitglied direkt dort die E-Mail-Adresse seines Kontos, öffnen sich diese Bereiche. An den Rollen ändert das nichts.

4. SSO verlangen

Kehre als Inhaber zu Organisationseinstellungen → SSO zurück, bei Bedarf mit persönlicher Anmeldung. Erzeuge die Wiederherstellungscodes, schließe die E-Mail-Bestätigung ab, speichere die Codes und bestätige, dass Du sie gespeichert hast. Schalte SSO erzwingen ein und bestätige.

Melde in einer separaten Browser-Sitzung ein Mitglied bei Kanroo ab und persönlich per E-Mail wieder an. Öffnet es jetzt die Organisation, muss Kanroo eine SSO-Anmeldung verlangen. Nach der Okta-Anmeldung ist der Zugriff wieder da.

Wiederherstellung und Offboarding erklärt die SSO-Hilfe. Entfernst Du nur die Okta-Zuweisung, endet der SSO-Zugriff einer bestehenden Kanroo-Sitzung nicht sofort. Entferne ausscheidende Mitglieder auch in Kanroo.