Google Workspace verbinden (SSO)

Was geht und was nicht

SSO (OpenID Connect)

Ja. Personen melden sich mit dem Google-Konto ihres Unternehmens an.

SCIM

Nein. Google Workspace sendet Personen per SCIM nur an Apps aus dem Katalog von Google.

Statt SCIM

• Schalten Sie in Aiyori „Noch nicht registrierte Personen bei der Anmeldung als Teilnehmende registrieren“ ein. Personen mit der Domain Ihres Unternehmens werden bei der ersten Anmeldung zu Teilnehmenden.
• Um Personen in Gruppen wie Abteilungen einzuteilen oder vorab zu registrieren, exportieren Sie die Personenliste aus der Google Admin console und fügen sie in Aiyori über „Sammelregistrierung“ (CSV) hinzu (Abschnitt 4 unten).
• Scheidet jemand aus, verhindert das Sperren des Google-Kontos die Anmeldung. Die Teilnehmenden in Aiyori bleiben aber bestehen. Trainer sperren oder deaktivieren sie daher auf der Seite der Teilnehmenden, etwa beim monatlichen Import der Personenliste.
• Brauchen Sie es unbedingt automatisch, schalten Sie Okta oder Microsoft Entra ID vor Google und nutzen SCIM darüber.

Was Sie brauchen

• Eine Person, die in der Google Cloud console (https://console.cloud.google.com) ein Projekt innerhalb der Organisation Ihres Unternehmens anlegen kann.
• Super-Admin-Rechte in der Google Workspace Admin console sind nicht nötig (Aiyori fragt nur openid email profile an und nutzt keine sensiblen Scopes).
• Es entstehen keine Kosten (OAuth-Clients sind kostenlos).

1. Projekt und Zustimmungsbildschirm

1. Google Cloud console → Projektauswahl oben → New Project → Name aiyori-sso, unter Organization die Organisation Ihres Unternehmens wählen, dann Create.
2. Google Auth Platform (im Menü über APIs & Services → OAuth consent screen) → Get started. Als App name Aiyori eintragen, als User support email und Kontaktdaten die Adresse Ihrer IT-Abteilung, Audience auf Internal setzen, zustimmen, dann Create.
3. Unter Data Access nichts hinzufügen (openid, email und profile sind von Anfang an verfügbar).

Steht die Audience auf Internal, können sich nur Personen aus dem Google Workspace Ihres Unternehmens anmelden. Google-Konten außerhalb Ihres Unternehmens werden schon bei Google abgewiesen.

2. OAuth-Client

1. Google Auth Platform → Clients → + Create client.
2. Application type auf Web application setzen, als Name Aiyori.
3. Authorized redirect URIs → + Add URI → https://app.aiyori.app/api/web/sso/callback. Authorized JavaScript origins kann leer bleiben.
4. Create → notieren Sie Client ID und Client secret. Das Secret ist später unter Umständen nicht mehr sichtbar. Haben Sie es nicht notiert, fügen Sie auf der Seite des Clients ein neues Secret hinzu und tauschen es aus.

3. Werte in Aiyori eintragen

Gehen Sie in der Ansicht für Trainer von Aiyori zu „Einstellungen“ → „Identitätsanbieter des Unternehmens verbinden“ → „SSO“, tragen Sie die Werte ein und drücken Sie „Speichern“.

Aussteller-URL (Issuer)

https://accounts.google.com

Client-ID

Der in Abschnitt 2 notierte Wert (….apps.googleusercontent.com)

Client-Secret

Der in Abschnitt 2 notierte Wert

Zulässige E-Mail-Domains

Pflichtangabe (ohne sie lässt sich nicht speichern). Die primäre Domain des Google Workspace Ihres Unternehmens (z. B. example.com) und weitere Domains, die für die E-Mail-Adressen der Mitarbeitenden genutzt werden (sekundäre Domains), eine pro Zeile.

Automatische Registrierung

Schalten Sie „Noch nicht registrierte Personen bei der Anmeldung als Teilnehmende registrieren“ ein (weil es kein SCIM gibt).

Melden Sie sich nach dem Speichern zur Prüfung mit einem Firmenkonto an (Anmeldeseite → „Mit Firmenkonto anmelden“ → Organisationscode → Google-Konto wählen → zurück zu Aiyori). Administratorinnen und Administratoren können auch mit „Mit meinem Firmenkonto testen“ in „Selbst testweise anmelden“ testen.

Der Aussteller https://accounts.google.com ist für alle Google-Konten gleich. Wer hineinkommt, wird an zwei Stellen eingegrenzt: Internal auf dem Zustimmungsbildschirm und die zulässigen Domains in Aiyori. Richten Sie immer beides ein.

4. Personenliste und Gruppen

1. Google Admin console → Directory → Users → Download users (CSV).
2. Öffnen Sie die Datei in einer Tabellenkalkulation und behalten Sie drei Spalten: Name (Vor- und Nachname in einer Spalte), E-Mail-Adresse und Abteilung (etwa den Org Unit Path, umbenannt in etwas gut Lesbares). Ändern Sie die Überschriften in diese Namen. Die Überschriften von Google (etwa Email Address [Required]) können so nicht gelesen werden.
3. Seite der Teilnehmenden in Aiyori → Tabelle in „Sammelregistrierung“ einfügen oder die CSV-Datei wählen → „Prüfen“ → registrieren. Die Spalte Abteilung wird zu Gruppen (bis zu 1.000 Personen pro Durchgang).
4. Wiederholen Sie das bei jedem Eintritt und Wechsel (oder jeden Monat). Dieselbe Person wird nur aktualisiert, nie doppelt angelegt (erkannt an der Personalnummer, dann an der E-Mail-Adresse).

5. Am Tag der Verbindung prüfen

• Personen kommen mit dem Firmenkonto hinein. Wer sich zum ersten Mal anmeldet, wird als Teilnehmende registriert.
• Google-Konten außerhalb Ihres Unternehmens (private gmail.com) werden schon bei Google abgewiesen (weil der Zustimmungsbildschirm auf Internal steht). Selbst wenn nicht, lässt Aiyori sie nicht hinein (weil hd fehlt).
• Personen, deren Google-Konto gesperrt ist, kommen mit dem Firmenkonto nicht hinein.

So arbeitet Google Workspace mit Aiyori

Nach einer Anmeldung bei Google prüft Aiyori Folgendes.

• Der Aussteller des ID-Tokens (iss) ist https://accounts.google.com oder accounts.google.com (Google verwendet beides).
• hd (die primäre Google-Workspace-Domain der Person) ist eine der zulässigen Domains. Private Google-Konten (gmail.com usw., ohne hd) und Personen aus dem Workspace anderer Unternehmen kommen nicht hinein (das greift auch, wenn der Zustimmungsbildschirm versehentlich auf External gesetzt wurde).
• Auch die Domain der E-Mail-Adresse (email) ist eine der zulässigen Domains. Personen mit email_verified gleich false kommen nicht hinein.
• Wer sich zum ersten Mal anmeldet, wird als Teilnehmende registriert, wenn die automatische Registrierung eingeschaltet ist (die ID ist der Teil der E-Mail-Adresse vor dem @, der Name ist der Anzeigename bei Google). Ab dem zweiten Mal wird die Person am Wert sub von Google erkannt.