Eine Organisation für betriebliche Schulungen in Aiyori lässt sich mit dem Identitätsanbieter Ihres Unternehmens verbinden. Teilnehmende melden sich mit ihrem Firmenkonto an (SSO mit OpenID Connect), und Eintritte, Wechsel und Austritte werden automatisch übernommen (SCIM 2.0).
Diese Seite und die Anleitungen für die einzelnen Identitätsanbieter richten sich an Ihre IT-Abteilung und an die Administratorin oder den Administrator der Organisation in Aiyori (die Person, die sie angelegt hat). So können Sie vorab prüfen, wie die Verbindung funktioniert.
Anleitungen nach Identitätsanbieter
- Okta: SSO (OpenID Connect) und SCIM.
- Microsoft Entra ID: SSO (OpenID Connect) und SCIM. Für SCIM ist Entra ID P1 oder höher nötig.
- Google Workspace: SSO (OpenID Connect). SCIM ist nicht verfügbar. Stattdessen nutzen Sie die automatische Registrierung und die Sammelregistrierung per Tabelle.
Andere Identitätsanbieter mit OpenID Connect lassen sich mit den Werten auf dieser Seite ebenfalls verbinden.
Vorab festlegen
- Wer Zugang erhält. Nur Personen und Gruppen, die Sie im Identitätsanbieter der App Aiyori zuweisen, kommen hinein (nicht automatisch alle). Mit SCIM werden die zugewiesenen Gruppen, etwa Abteilungen oder Eintrittsjahrgänge, unverändert zu Gruppen in Aiyori.
- Wie sich Personen anmelden. Nur mit Firmenkonto oder auch mit PIN. Großen Unternehmen empfehlen wir, nur Firmenkonten zuzulassen (wer ausgeschieden ist, kommt dann auch per PIN nicht mehr hinein).
- Wie Teilnehmende registriert werden. Automatisch per SCIM (Okta, Microsoft Entra ID), automatisch bei der ersten Anmeldung mit dem Firmenkonto oder jeden Monat per Sammelregistrierung aus einer Tabelle (CSV). Google Workspace hat kein SCIM und nutzt daher die beiden letzten Wege.
Werte von Aiyori für Ihren Identitätsanbieter
Die Redirect-URI und die SCIM-Basis-URL stehen auch in der Ansicht für Trainer unter „Einstellungen“ → „Identitätsanbieter des Unternehmens verbinden“, jeweils mit einer Schaltfläche zum Kopieren. Ändern kann diese Einstellungen nur die Administratorin oder der Administrator der Organisation (die Person, die sie angelegt hat).
- Redirect-URI
- https://app.aiyori.app/
api/ web/ sso/ callback
Tragen Sie sie in der App Aiyori in Ihrem Identitätsanbieter ein. Weicht auch nur ein Zeichen ab, schlägt die Anmeldung fehl. - SCIM-Basis-URL
- https://app.aiyori.app/
api/ scim/ v2
Tragen Sie sie in Okta als SCIM connector base URL ein, in Entra ID als Tenant URL. - SCIM-Schlüssel
- Erstellen Sie ihn in „Identitätsanbieter des Unternehmens verbinden“ mit „Schlüssel erstellen“. Er wird nur einmal angezeigt, beim Erstellen (bis zu 5 pro Organisation). Tragen Sie ihn in Okta als Bearer token ein, in Entra ID als Secret Token.
- Einstiegs-URL zur Anmeldung (für eine Kachel im Firmenportal)
- https://app.aiyori.app/
api/ web/ sso/ start?code=(Organisationscode)
Tragen Sie sie in Okta als Initiate login URI ein, in Entra ID als Home page URL. Dann führt eine Kachel im Firmenportal direkt zur Anmeldung Ihres Unternehmens, ohne dass jemand den Organisationscode eingeben muss.
Werte für Aiyori
Geben Sie sie in „Identitätsanbieter des Unternehmens verbinden“ unter „SSO“ ein und drücken Sie „Speichern“.
- Aussteller-URL (Issuer)
- Hängt vom Identitätsanbieter ab: https://(ihre-org).okta.com für Okta, https://login.microsoftonline.com/
(Mandanten-ID)/ v2.0 für Microsoft Entra ID und https://accounts.google.com für Google Workspace. - Client-ID
- Die ID der App in Ihrem Identitätsanbieter.
- Client-Secret
- Das Secret der App in Ihrem Identitätsanbieter. Es wird verschlüsselt gespeichert und nach dem Speichern nicht mehr angezeigt.
- Zulässige E-Mail-Domains
- Die E-Mail-Domains Ihres Unternehmens (z. B. example.com), eine pro Zeile. Tragen Sie sie immer ein. Ohne sie kommt jede Person hinein, die Ihr Identitätsanbieter durchlässt (bei Google Workspace lässt sich ohne sie nicht speichern).
- Automatische Registrierung
- Wenn Sie kein SCIM nutzen (etwa bei Google Workspace), schalten Sie „Noch nicht registrierte Personen bei der Anmeldung als Teilnehmende registrieren“ ein. Registriert werden nur Personen mit passender Domain.
- PIN-Anmeldung ausschalten und nur Firmenkonten zulassen
- Schalten Sie dies erst ein, wenn eine Person bestätigt hat, dass sie mit dem Firmenkonto hineinkommt.
Beim Speichern liest Aiyori die OpenID-Konfiguration des Ausstellers (die Aussteller-URL gefolgt von /.well-known/openid-configuration). Ist sie nicht lesbar, lassen sich die Einstellungen nicht speichern. Der Aussteller muss eine öffentliche URL sein, die mit https beginnt (interne Namen und IP-Adressen sind nicht möglich).
Nach dem Speichern prüfen Sie mit „Mit meinem Firmenkonto testen“ in „Selbst testweise anmelden“, ob Sie sich als Administratorin oder Administrator mit Ihrem Firmenkonto anmelden und zu Aiyori zurückkommen können (Sie werden dabei nicht als Teilnehmende registriert).
So melden sich Teilnehmende an
- Auf der Anmeldeseite aus dem Schulungslink wählen sie „Mit Firmenkonto anmelden“ und geben den Organisationscode ein → Anmeldeseite Ihres Unternehmens → zurück zu Aiyori.
- Für eine Kachel im Firmenportal (Microsoft My Apps, Okta-Dashboard) verwenden Sie die Einstiegs-URL zur Anmeldung oben. Dann geht es ohne Organisationscode direkt hinein.
- Personen werden in dieser Reihenfolge zugeordnet: wer schon über ein Firmenkonto verknüpft ist → Teilnehmende mit derselben Firmen-E-Mail-Adresse (bei Entra ID auch Teilnehmende, deren userName aus SCIM dem UPN entspricht). Gibt es keines von beiden, wird eine Person nur registriert, wenn die automatische Registrierung eingeschaltet ist und ihre Domain passt.
- Kommt jemand nicht hinein, wird der Grund angezeigt (falsche Domain, noch nicht registriert, durch das Unternehmen gesperrt oder deaktiviert).
Was SCIM bewirkt
| In Ihrem Identitätsanbieter | In Aiyori |
|---|---|
| Person der App zugewiesen | Die Person wird als Teilnehmende angelegt. Die ID ist der Teil der Firmen-E-Mail-Adresse vor dem @ (ist er vergeben, wird -2 angehängt). Der Name ist der Anzeigename oder wird aus Vor- und Nachname gebildet. |
| Name oder E-Mail-Adresse geändert | Name und Firmen-E-Mail-Adresse der Teilnehmenden ändern sich. |
| Gruppe zugewiesen, Mitglieder hinzugefügt oder entfernt | In Aiyori entsteht eine Gruppe, und Personen kommen hinzu oder werden entfernt. |
| Zuweisung entfernt, deaktiviert oder ausgeschieden | Die Person kann sich nicht mehr anmelden (gesperrt). Die Schulungsnachweise bleiben erhalten. Sie zählt nicht für die Nutzungsgebühr, und auf allen Geräten wird die Sitzung beendet. |
| Wiederhergestellt | Die Person kommt wieder hinein. |
| Zuweisung einer Gruppe entfernt | Die Gruppe wird archiviert (die Schulungsnachweise bleiben erhalten). |
Die Attribute Abteilung (department) und Personalnummer (employeeNumber) werden über SCIM nicht verwendet (nutzen Sie stattdessen Gruppen). Um Personen anhand der Personalnummer zuzuordnen, nutzen Sie die Sammelregistrierung per Tabelle (CSV).
Ob Teilnehmende deaktiviert werden (ihre Nachweise werden 30 Tage später gelöscht), entscheiden Trainer auf der Seite der Teilnehmenden, nicht Ihr Identitätsanbieter.
Gelangt ein Schlüssel an Unbefugte, widerrufen Sie ihn in Aiyori mit „Widerrufen“, erstellen einen neuen Schlüssel und tragen ihn erneut im Identitätsanbieter ein. Dabei stoppt nur die Synchronisierung. Teilnehmende können sich weiter anmelden.
Fehlerbehebung
| Was passiert | Was Sie prüfen |
|---|---|
| Die SSO-Einstellungen lassen sich in Aiyori nicht speichern | Der Grund wird angezeigt: ein Tippfehler in der Aussteller-URL (bei Entra ID das abschließende /v2.0 oder die Mandanten-ID), common oder organizations bei Entra ID (nicht möglich) oder keine zulässigen Domains bei Google Workspace (bitte eintragen). Prüfen Sie auch, ob sich die Aussteller-URL gefolgt von /.well-known/openid-configuration im Browser öffnen lässt. |
| Nach der Firmenanmeldung heißt es, das Konto konnte nicht bestätigt werden | Client-ID oder Secret falsch kopiert, Secret abgelaufen (bei Entra ID höchstens 2 Jahre gültig) oder eine Redirect-URI, die auch nur in einem Zeichen abweicht. |
| Es heißt, es wurde keine E-Mail-Adresse übermittelt | Für die Person ist im Identitätsanbieter keine E-Mail-Adresse hinterlegt. Bei Entra ID fügen Sie email unter Token configuration hinzu. |
| Es heißt, mit dieser Domain ist kein Zugang möglich | Prüfen Sie, ob die Domain Ihres Unternehmens unter den zulässigen Domains in Aiyori steht. Subdomains kommen in eine eigene Zeile. Bei Google Workspace ist auch die primäre Workspace-Domain nötig. Enthält das Token bei Entra ID keine email, wird die Domain des UPN geprüft. |
| Es heißt, das Konto ist noch nicht registriert | Prüfen Sie, ob die Zuweisung per SCIM erledigt ist, oder schalten Sie die automatische Registrierung ein. |
| Der SCIM-Verbindungstest liefert 401 | Der Schlüssel ist falsch kopiert oder widerrufen. Der Schlüssel wird mit und ohne vorangestelltes Bearer angenommen. |
| Der SCIM-Verbindungstest liefert 403 (ein 403 Forbidden als HTML) | Der vorgelagerte Schutz von Aiyori (WAF) blockiert die Anfrage. Bitte melden Sie sich über die Kontaktseite. |
| Über SCIM kommen keine Personen hinzu | Prüfen Sie, ob die Personen der App zugewiesen sind (Entra ID synchronisiert standardmäßig nur zugewiesene Benutzerkonten und Gruppen). Entra ID synchronisiert etwa alle 40 Minuten. Wenn es eilt, senden Sie Personen per Provision on demand. |