Persönliche und SSO-Anmeldung

In Kanroo meldest Du Dich per E-Mail an oder über den Anmeldedienst Deiner Organisation. Die SSO-Anmeldung nutzt Single Sign-on (SSO): Du meldest Dich beim Identitätsanbieter Deiner Organisation an und kehrst dann zu Kanroo zurück.

Du kannst beide Anmeldewege mit demselben verknüpften Kanroo-Konto nutzen. Deine Mitgliedschaften, Deine Rollen und Deine bisherige Arbeit bleiben bei diesem Konto. Es ändert sich nur, welchen Zugriff Deine aktuelle Browser-Sitzung bestätigt hat.

Kurzanleitung

Für die Anmeldung per SSO wählst Du auf der Anmeldeseite Mit SSO fortfahren.

(vergrößern)

1. Gib den Slug der Organisation ein (Rahmen 1).
2. Wähle Weiter (Rahmen 2). Dein Identitätsanbieter meldet Dich an und schickt Dich zurück zu Kanroo.
3. Wählt der Identitätsanbieter das falsche Konto, wähle stattdessen Anderes Konto beim Anbieter verwenden (Rahmen 3).

Inhaber verbinden den Identitätsanbieter unter Organisationseinstellungen › SSO.

(vergrößern)

1. Kopiere die Weiterleitungs-URL (Rahmen 1) und trage sie bei Deinem Identitätsanbieter ein. Sie enthält die Adresse Deiner Kanroo-Instanz.
2. Gib Issuer-URL, Client-ID und Client-Secret Deines Identitätsanbieters ein (Rahmen 2).
3. Wähle Entwurf speichern (Rahmen 3), dann Testen und verbinden. Der Identitätsanbieter wird erst nach einer erfolgreichen Test-Anmeldung aktiv.

Welche Werte jeder Identitätsanbieter braucht, steht auf den Seiten zu Keycloak, Okta und Microsoft Entra ID.

Was bedeutet „persönliches Konto“?

Persönliche Anmeldung heißt: Du gibst Deine Kanroo-E-Mail-Adresse ein und dann den Einmalcode, den Kanroo an diese Adresse schickt. Das bestätigt den Zugriff auf Dein Konto und entsperrt die geschützten persönlichen Einstellungen: API-Schlüssel, Sicherheitsaktivität und Webhooks.

„Persönlich“ beschreibt nur den Anmeldeweg. Du kannst Deine geschäftliche E-Mail-Adresse nutzen. Du brauchst weder eine private E-Mail-Adresse noch ein zweites Konto.

Auch die persönliche Anmeldung beachtet die Regeln jeder Organisation. Verlangt eine Organisation SSO, entsperrt die E-Mail-Bestätigung allein nicht ihre Boards und Aufgaben.

Was bedeutet „SSO“?

Auf der Anmeldeseite führt Dich Mit SSO fortfahren zum Identitätsanbieter, den Deine Organisation eingerichtet hat. Gib den Slug der Organisation ein: den Kurznamen in ihrer Kanroo-URL. Eine Organisation unter /o/design-team/... nutzt zum Beispiel design-team. Kennst Du den Slug nicht, frage den Inhaber danach oder nach dem Link zur SSO-Anmeldung.

Inhaber finden diesen Link unter Organisationseinstellungen → SSO direkt unter der Weiterleitungs-URL, sobald ein Identitätsanbieter verbunden ist. SSO-Anmeldelink kopieren kopiert eine URL, die die SSO-Anmeldung mit bereits ausgewählter Organisation öffnet. Teile sie mit Mitgliedern, statt den Slug zu erklären. Trage diesen Link nicht beim Identitätsanbieter ein: Dafür gibt es die separate Weiterleitungs-URL.

Eine reine SSO-Sitzung bestätigt den Zugriff auf diese Organisation. Sie entsperrt weder Deine geschützten persönlichen Einstellungen noch andere Organisationen. Alltägliche Einstellungen bleiben verfügbar: Dein Avatar, Dein Anzeigename, Aufgaben-E-Mails sowie Darstellung, Push-Benachrichtigungen und Installation in diesem Browser. Deine Rolle bleibt gleich: Die SSO-Anmeldung macht aus einem Mitglied keinen Admin und aus einem Inhaber kein Mitglied.

Aktuelle Anmeldung	Persönliche Einstellungen	Zugriff auf Organisationen
Persönliche Anmeldung per E-Mail	Verfügbar	Deine Mitgliedschaften, nach den SSO- und Zugriffsregeln jeder Organisation
Nur SSO-Anmeldung	Alltägliche Einstellungen verfügbar; API-Schlüssel, Sicherheitsaktivität und Webhooks verlangen eine einmalige persönliche Bestätigung	Organisationen, bei denen Du Dich in dieser Sitzung über ihren Identitätsanbieter angemeldet hast
Persönliche Anmeldung, danach SSO-Anmeldung mit demselben Konto	Verfügbar	Persönlicher Zugriff plus die Organisationen, deren SSO-Anmeldung Du abgeschlossen hast

Board-Berechtigungen gelten in jedem Fall. Wer angemeldet ist, hat damit nicht automatisch Zugriff auf jedes Board oder das Recht, es zu bearbeiten.

Warum sind nach der SSO-Anmeldung persönliche Einstellungen gesperrt?

Das Benutzermenü bietet in jeder Sitzung Persönliche Einstellungen und Organisationseinstellungen. In einer reinen SSO-Sitzung zeigen die Tabs Konto und Benachrichtigungen Deine Einstellungen für Profil, Darstellung, Benachrichtigungen und Installation. Anzeigename, Avatar und Aufgaben-E-Mails gelten für alle Deine Organisationen. Darstellung, Push und Installation gehören zu diesem Browser. Die Tabs API-Schlüssel, Webhooks und Sicherheit sowie der Abschnitt Antworten per E-Mail im Tab Benachrichtigungen zeigen stattdessen Persönliche Bestätigung erforderlich. Dort liegen kontoweite Zugangsdaten. Deshalb verlangt Kanroo, dass Du Deine eigene E-Mail-Adresse bestätigst, bevor sie sich öffnen. Der Identitätsanbieter einer einzelnen Organisation kann sie nicht allein entsperren.

So öffnest Du die gesperrten Bereiche:

1. Wähle Persönliches Konto bestätigen im Sperrhinweis.
2. Wähle Code senden. Der Code geht an die E-Mail-Adresse Deines Kanroo-Kontos. Eine andere Adresse kannst Du nicht eingeben.
3. Gib den Code ein. Die gesperrten Bereiche öffnen sich direkt. Du bleibst in derselben Sitzung angemeldet, mit denselben Organisationen und derselben SSO-Anmeldung. Du musst nichts wiederholen.

Die Bestätigung gilt für diese Browser-Sitzung, auch in ihren anderen Tabs. In einer neuen Sitzung, etwa nach dem Abmelden, fragt Kanroo erneut.

Nur der aktuelle Inhaber der Organisation kann SSO, die zugehörigen Richtlinien und die Wiederherstellungscodes verwalten. Ein Admin erhält diese Inhaber-Rechte nicht. Ist SSO Pflicht, brauchen auch Inhaber eine SSO-Anmeldung, um diese Einstellungen zu verwalten. Die Inhaber-Rolle umgeht die Pflicht nicht. Abrechnung und Wiederherstellung bleiben für Inhaber über die persönliche Anmeldung erreichbar.

Warum fragt die erste SSO-Anmeldung nach einem E-Mail-Code?

Die erste Anmeldung verknüpft die Identität, die Dein Identitätsanbieter liefert, mit Deinem Kanroo-Konto. Kanroo verlangt eine eigene E-Mail-Bestätigung, auch wenn der Identitätsanbieter meldet, dass Deine Adresse schon bestätigt ist. So wird kein Konto nur aufgrund einer übereinstimmenden E-Mail-Adresse verknüpft.

• Liefert der Identitätsanbieter eine E-Mail-Adresse, schickt Kanroo den Verknüpfungscode dorthin.
• Liefert er keine E-Mail-Adresse, bittet Kanroo Dich, eine Adresse einzugeben und zu bestätigen.
• Gehört diese bestätigte Adresse zu einem bestehenden Kanroo-Konto, behält die Verknüpfung dessen Daten und Mitgliedschaften. Andernfalls legt das SSO-Onboarding das Konto an, sobald die Aufnahme in die Organisation gelingt.
• Eine erste Registrierung per SSO legt keine zusätzliche persönliche Organisation an.

Der Verknüpfungscode bestätigt nur die Verknüpfung. Er ist keine persönliche Anmeldung. Du kannst also beim SSO-Onboarding die E-Mail-Bestätigung abschließen und danach in den geschützten persönlichen Einstellungen trotzdem Persönliche Bestätigung erforderlich sehen. Nutze dort Persönliches Konto bestätigen, um sie zu entsperren.

Spätere SSO-Anmeldungen mit derselben verknüpften Identität fragen nicht erneut nach dem Verknüpfungscode. Ein anderer Identitätsanbieter oder eine geänderte Identität beim Identitätsanbieter kann eine neue Verknüpfung verlangen, auch wenn die E-Mail-Adresse gleich aussieht. Die SSO-Anmeldung überschreibt weder Deine bestätigte Kanroo-E-Mail-Adresse noch Dein Profil.

Wie werde ich Mitglied?

SSO-Authentifizierung und Mitgliedschaft in der Organisation sind getrennte Voraussetzungen.

• Bestehendes Mitglied: Melde Dich über den eingerichteten Identitätsanbieter an. Deine bisherige Rolle bleibt erhalten.
• Eingeladene Person: Öffne die Einladung und nimm sie im Onboarding ausdrücklich an.
• Automatischer Beitritt aktiv: Der Inhaber kann Just-in-Time-Provisioning (JIT) einschalten. Dann können berechtigte Benutzer des Identitätsanbieters als Mitglied beitreten, im Rahmen der Limits der Organisation.

Eine passende E-Mail-Domain allein gibt keine Mitgliedschaft. Gruppen beim Identitätsanbieter vergeben keine Kanroo-Rollen automatisch. Ist JIT aus, brauchst Du eine bestehende Mitgliedschaft oder eine gültige Einladung.

Wenn Du austrittst oder entfernt wirst, fügt JIT Dich nicht automatisch wieder hinzu. Bitte einen Admin um eine neue Einladung an Dich persönlich. Ein allgemeiner geteilter Einladungslink hebt diese Sperre nicht auf. Für Inhaber: Eine neue direkte Einladung hebt die Sperre auf, die durch das Entfernen entstanden ist. Ziehst Du die Einladung danach zurück, gilt die Sperre nicht wieder. Ist JIT an, entferne das Mitglied erneut, wenn der Zugriff gesperrt bleiben muss.

Warum ist nach der E-Mail-Anmeldung keine Organisation ausgewählt?

Gehörst Du zu mehreren Organisationen, überlässt Kanroo Dir die Wahl. Wähle eine im Organisationsmenü aus. Eine leere Auswahl in der Übersicht heißt nicht, dass Deine Mitgliedschaften weg sind. Hast Du genau eine Mitgliedschaft, wählt Kanroo diese Organisation in einer neuen persönlichen Sitzung automatisch aus.

In einer reinen SSO-Sitzung listet das Menü nur Organisationen, für die Du die SSO-Anmeldung abgeschlossen hast und deren Zugriff noch gültig ist. Für eine weitere Organisation öffnest Du die SSO-Anmeldung in derselben Browser-Sitzung und gibst den Slug dieser Organisation ein. Melde Dich zwischen den beiden Anmeldungen nicht ab. Danach kannst Du zwischen beiden wechseln, solange beide erreichbar sind.

Organisationen mit derselben Identität beim Identitätsanbieter können die bestehende Kontoverknüpfung teilen. Beim Beitritt zur zweiten musst Du die E-Mail-Verknüpfung dann nicht wiederholen. Mitgliedschaft und SSO-Anmeldung werden trotzdem für jede Organisation einzeln geprüft.

Können meine Organisationen verschiedene Identitätsanbieter nutzen?

Ja. Ein Kanroo-Konto kann zu Organisationen mit unterschiedlichen Anmeldevorgaben gehören. Du kannst zum Beispiel zu allen drei dieser Organisationen gehören:

Organisation	Verlangte Anmeldung
Eine gemeinsame Organisation ohne SSO	Persönliche Anmeldung per E-Mail
Eine Organisation, die Microsoft Entra ID verlangt	SSO-Anmeldung über die Entra-Verbindung dieser Organisation
Eine Organisation, die Okta verlangt	SSO-Anmeldung über die Okta-Verbindung dieser Organisation

So nutzt Du alle drei in derselben Browser-Sitzung:

1. Melde Dich persönlich mit Deiner Kanroo-E-Mail-Adresse und dem zugeschickten Code an. Damit erreichst Du die Organisation ohne SSO und alle persönlichen Einstellungen.
2. Wähle die Entra-Organisation und schließe ihre SSO-Anmeldung ab, wenn Kanroo danach fragt.
3. Wähle die Okta-Organisation und schließe ihre SSO-Anmeldung ab, wenn Kanroo danach fragt.
4. Wechsle nach Bedarf zwischen den Organisationen. Melde Dich zwischen diesen Schritten nicht ab.

Jede SSO-Anmeldung mit demselben verknüpften Kanroo-Konto fügt der aktuellen Sitzung Zugriff hinzu. Die Okta-Anmeldung ersetzt weder den Entra-Zugriff noch entfernt sie den persönlichen Zugriff. Deine Rolle bestimmt weiterhin jede Organisation für sich.

Die erste Verknüpfung mit jedem Identitätsanbieter verlangt eine eigene Kanroo-E-Mail-Bestätigung. Beide Identitäten müssen mit demselben Kanroo-Konto verknüpft sein, damit sich der Zugriff in einer Sitzung verbindet. Eine übereinstimmende E-Mail-Adresse allein stellt diese Verknüpfung nie her. Spätere Anmeldungen mit diesen verknüpften Identitäten fragen nicht erneut nach dem Verknüpfungscode.

Jede Organisation vertraut ihrem eigenen Identitätsanbieter. Eine Anmeldung über Okta erfüllt nicht die Entra-Pflicht einer anderen Organisation, und die persönliche E-Mail-Anmeldung umgeht keine der beiden Pflichten. Jede SSO-Anmeldung gibt Zugriff für 24 Stunden, gezählt für jede Organisation einzeln. Läuft ein Zeitraum ab, erneuere die SSO-Anmeldung dieser Organisation. Der übrige Zugriff bleibt, solange er selbst gültig ist.

Beginnst Du nur mit einer SSO-Anmeldung, sind andere Mitgliedschaften und die geschützten persönlichen Einstellungen noch nicht verfügbar. Nutze Persönliches Konto bestätigen in Deinem bestehenden Kanroo-Konto. Schließe danach die nötigen SSO-Anmeldungen in dieser persönlichen Sitzung ab. Du brauchst weder ein weiteres Kanroo-Konto noch einen eigenen Browser für jede Organisation.

Warum muss ich mich erneut anmelden?

Eine erfolgreiche SSO-Anmeldung bestätigt den Zugriff auf eine Organisation für 24 Stunden. Weder die Arbeit in Kanroo noch das Neuladen der Seite oder eine neue Verbindung der Live-Updates verlängern diesen Zeitraum. Danach meldest Du Dich erneut per SSO an. Dein Identitätsanbieter erkennt eventuell seine bestehende Sitzung und schickt Dich ohne Passwortabfrage zurück zu Kanroo.

Eine neue Anmeldung kann auch nötig sein nach dem Abmelden, nach einem Wechsel des Browser-Kontexts, nach dem Start einer neuen persönlichen Sitzung oder wenn ein Inhaber die SSO-Vorgaben oder den Identitätsanbieter der Organisation ändert. Meldest Du Dich zuerst persönlich an und schließt dann die SSO-Anmeldung mit demselben Konto ab, hat eine Sitzung beide Arten von Zugriff.

Die Abmeldung bei Kanroo meldet Dich nicht bei Deinem Identitätsanbieter ab. Deshalb kann eine spätere SSO-Anmeldung automatisch durchlaufen. Nutze bei Bedarf die Abmeldung des Identitätsanbieters selbst.

Warum nutzt die SSO-Anmeldung das falsche Konto?

Dein Identitätsanbieter kann eine bestehende Anmeldung im Browser wiederverwenden, ohne eine Kontoauswahl zu zeigen. Dieses Konto beim Identitätsanbieter kann von dem Kanroo-Konto abweichen, das Du nutzen wolltest. Die Abmeldung bei Kanroo meldet Dich nicht bei Microsoft oder Okta ab.

Gib auf der SSO-Anmeldeseite von Kanroo die Organisation ein und wähle Anderes Konto beim Anbieter verwenden statt Weiter. Kanroo bittet dann Deinen Identitätsanbieter, seine Kontoauswahl zu zeigen. Unterstützt Dein Identitätsanbieter das, wähle die Identität, die mit dem gewünschten Kanroo-Konto verknüpft ist. Mit Weiter meldet Dich der Identitätsanbieter automatisch an. Je nach seiner Sitzung zeigt er trotzdem eventuell eine Kontoauswahl. In unseren Tests zeigte Microsoft die Auswahl, wenn die Kontowahl ausdrücklich angefordert wurde. Nach einer bloßen Abmeldung beim Identitätsanbieter erschien sie nicht zuverlässig.

Keycloak 26.7.3 unterstützt diese Kontoauswahl nicht. Mit einer bestehenden Keycloak-Sitzung im Browser kann Anderes Konto beim Anbieter verwenden Dich trotzdem mit demselben Konto anmelden. Kanroo kann bei diesem Identitätsanbieter keine Kontowahl erzwingen.

Meldet Dich der Identitätsanbieter als anderen verknüpften Kanroo-Benutzer an, wechselt Kanroo das Konto. Den Zugriff beider Benutzer verbindet Kanroo nicht. Ein alter Link zu einer Organisation zeigt dann eventuell Seite nicht gefunden. Prüfe das aktuelle Kanroo-Konto, bevor Du weitermachst. Damit sich der Zugriff auf Organisationen verbindet, müssen alle Identitäten mit demselben Kanroo-Konto verknüpft sein.

Was passiert, wenn der Zugriff entzogen wird?

Wird Deine Kanroo-Mitgliedschaft entfernt, ist jeder weitere Zugriff auf diese Organisation gesperrt, auch aus einem schon geöffneten Tab oder über einen API-Schlüssel. Eine laufende Anmeldung umgeht die Entfernung nicht. Mitgliedschaften in anderen Organisationen bleiben davon unberührt.

Wird ein Benutzer nur beim Identitätsanbieter deaktiviert, endet bestehender Kanroo-Zugriff nicht sofort. Inhaber und Admins müssen den Benutzer auch in Kanroo entfernen, wenn der Zugriff enden muss.

Wird eine Organisation gelöscht, sind ihre alten Links und die SSO-Anmeldung nicht mehr verfügbar. Eine offene Seite zeigt eventuell noch zuvor geladene Inhalte. Das heißt aber nicht, dass sie weitere Daten laden oder Änderungen speichern kann. Ein abgelehntes Speichern ist keine gespeicherte Änderung.

Was sollten Inhaber über „SSO erzwingen“ und Wiederherstellung wissen?

Einen Identitätsanbieter verbinden und SSO erzwingen einschalten sind getrennte Schritte. Ist die Pflicht aus, bleibt die persönliche Anmeldung für Mitglieder nutzbar. Ist sie an, reicht die persönliche Anmeldung allein nicht für den Zugriff auf die Organisation, auch nicht für ihren Inhaber oder ihre Admins.

Bevor Du SSO erzwingen einschaltest, schließe Deine eigene SSO-Anmeldung ab und erzeuge Wiederherstellungscodes unter Organisationseinstellungen → SSO. Bestätige den angeforderten E-Mail-Code, speichere die Wiederherstellungscodes sicher und bestätige, dass Du sie gespeichert hast.

Die neue Richtlinie gilt auch für Deine eigene Sitzung. Hat Deine Sitzung keine SSO-Anmeldung aus den letzten 24 Stunden, schickt Kanroo Dich direkt nach dem Speichern zur SSO-Anmeldung und danach zurück zu denselben Einstellungen. Eine Sitzung mit einer aktuellen SSO-Anmeldung bleibt auf der Seite.

Ist der Identitätsanbieter nicht erreichbar:

1. Melde Dich persönlich als aktueller Inhaber der Organisation an.
2. Öffne /auth/company/recovery auf Deiner Kanroo-Instanz und wähle die Organisation.
3. Fordere den E-Mail-Code für die Wiederherstellung an und sende ihn zusammen mit einem unbenutzten Wiederherstellungscode ab.

Eine erfolgreiche Wiederherstellung schaltet SSO erzwingen aus, verbraucht diesen Wiederherstellungscode und behält die Konfiguration des Identitätsanbieters. Sie entfernt keine Mitglieder und stellt kein bezahltes Abonnement wieder her. Der E-Mail-Code für die Wiederherstellung ist ein anderer als der Code für die persönliche Anmeldung.

Ein Satz enthält zehn Codes. Jeder Code ist einmal nutzbar. Ein neuer Satz macht alle bisherigen Codes ungültig. Die Codes gehören der Organisation und bleiben bei einer Übergabe der Inhaber-Rolle erhalten. Nutzen kann sie aber nur der aktuelle Inhaber. Übergib sie sicher oder lass den neuen Inhaber neue Codes erzeugen. Sind Postfach oder Wiederherstellungscodes verloren, wende Dich an den Betreiber Deiner Installation oder an den Support von Kanroo Cloud.

Können persönliche API-Schlüssel noch auf eine SSO-Organisation zugreifen?

Der Inhaber steuert Persönliche API-Schlüssel erlauben getrennt von SSO erzwingen. Ist die Option eingeschaltet, kann ein Schlüssel auf Ressourcen zugreifen. Dabei gelten seine Berechtigungen sowie die aktuelle Mitgliedschaft und die Board-Zugriffe der Person, der er gehört. Eine interaktive SSO-Anmeldung führt er nicht durch.

Ist die Option aus, verlieren alle persönlichen Schlüssel den Zugriff auf diese Organisation, auch die des Inhabers. Für andere Organisationen, die Schlüssel erlauben, bleibt der Schlüssel gültig. Um persönliche Schlüssel anzulegen und zu verwalten, brauchst Du eine persönliche Anmeldung. API-Schlüssel können keine SSO-Einstellungen verwalten.

Wo gibt es die SSO-Anmeldung?

Die SSO-Anmeldung gibt es in jedem Plan von Kanroo Cloud und bei selbst gehostetem Enterprise. Das selbst gehostete Kanroo Core bietet sie nicht.

Häufige Meldungen

Meldung oder Situation	Was Du tun kannst
Persönliche Bestätigung erforderlich bei API-Schlüsseln, Sicherheitsaktivität oder Webhooks	Wähle Persönliches Konto bestätigen und gib den Code ein, der an Deine Kanroo-E-Mail-Adresse geschickt wurde. Sitzung und SSO-Anmeldung bleiben, wie sie sind.
Kein Zugang zu dieser Organisation	Bitte einen Admin, Deine Mitgliedschaft zu prüfen oder eine neue Einladung zu schicken. Eine erneute Anmeldung beim Identitätsanbieter allein stellt entzogenen Zugriff nicht wieder her.
Die SSO-Anmeldung konnte nicht gestartet werden	Prüfe den Slug der Organisation. Stimmt er, bitte den Inhaber zu prüfen, ob die Organisation und ihre SSO-Konfiguration verfügbar sind.
SSO-Anmeldung fehlgeschlagen	Starte eine neue SSO-Anmeldung. Schlägt sie weiter fehl, bitte den Inhaber, die Verbindung zum Identitätsanbieter zu prüfen.
Deine Sitzung ist nicht mehr gültig	Melde Dich erneut an. Hängt die offene Seite fest, sichere ungespeicherten Text, bevor Du die Anmeldeseite von Kanroo neu öffnest.
Live-Updates sind nicht verfügbar. Verbindung wird wiederhergestellt…	Das kann auf ein Verbindungsproblem hinweisen. Beginnt es, nachdem sich Zugriffs- oder SSO-Regeln geändert haben, sichere ungespeicherten Text und öffne die Organisation neu. So siehst Du, ob eine Anmeldung nötig ist.
Der Code oder der Wiederherstellungscode wurde nicht akzeptiert	Prüfe, ob der E-Mail-Code zum aktuellen Wiederherstellungsversuch gehört. Prüfe auch, ob der Wiederherstellungscode unbenutzt ist und aus dem aktuellen Satz dieser Organisation stammt.
Seite nicht gefunden bei einem alten Link zu einer Organisation	Kläre mit dem Inhaber, ob der Link stimmt und ob Du noch Mitglied bist. Eine entfernte oder gelöschte Organisation ist über eine alte URL nicht erreichbar.

Zur Konfiguration des Identitätsanbieters siehe Keycloak, Okta oder Microsoft Entra ID.