Bei InfraNest mit einem anderen Identitätsanbieter anmelden

Verbinde InfraNest mit jedem Identitätsanbieter, der OpenID Connect unterstützt, damit dein Team sich mit den bereits verwendeten Zugangsdaten anmelden kann. Dies gilt für JumpCloud, OneLogin, Keycloak, Authentik, Auth0 und andere OpenID-Connect-Anbieter — für Okta, Microsoft Entra ID oder Google Workspace gibt es eigene Anleitungen.

NoteDies ist in Enterprise-Tarifen verfügbar. Du musst sowohl bei deinem Anbieter als auch in InfraNest Administrator sein.

Überblick

• Funktioniert mit jedem Anbieter, der eine OpenID-Connect-Anwendung für eine Web-App, einen Authorization-Code-Flow und eine Discovery-Adresse anbietet, die auf /.well-known/openid-configuration endet.
• InfraNest liest alles Notwendige — einschließlich der Anmeldeadresse — aus dieser Discovery-Adresse, sodass du selbst nur wenige Werte eingeben musst.
• Du bestimmst, wer Zugang erhält: neue Personen automatisch hinzufügen, eine Admin-Genehmigung verlangen oder Einladungen voraussetzen. Optional können Rollen automatisch anhand der Gruppen gesetzt werden, die dein Anbieter sendet.

Was dein Anbieter unterstützen muss

Die meisten modernen Anbieter unterstützen bereits alles davon, aber prüfe Folgendes:

• Eine OpenID-Connect-Anwendung für eine Web-App (manchmal confidential client oder regular web application genannt), mit einer Client-ID und einem Client-Secret.
• Eine Redirect-URL (auch Redirect-URI oder Callback-URL genannt), in die du die Redirect-URL von InfraNest einfügen kannst.
• Den Authorization-Code-Flow (manchmal Standard Flow genannt). InfraNest benötigt keine Implicit-, Refresh-Token- oder Client-Credentials-Flows.
• Eine Discovery-URL, die auf /.well-known/openid-configuration endet.
• Die E-Mail-Adresse jeder Person, enthalten in dem, was der Anbieter sendet. InfraNest fordert openid, profile und email an.
• Mit einem Schlüsselpaar signierte Anmeldetokens. Ein Anbieter, der stattdessen mit dem Client-Secret signiert, wird abgelehnt — das ist bei Authentik relevant (siehe unten).

Die Verbindung einrichten

Schritt 1: In InfraNest beginnen

1. Gehe zu Einstellungen → Anmeldung und wähle Single Sign-on einrichten.
2. Wähle Anderer Anbieter (OpenID Connect).
3. Prüfe unter E-Mail-Domain die von InfraNest vorgeschlagene Domain. Eine Verifizierung wird empfohlen, damit sich Personen mit ihrer Arbeitsadresse anmelden können und neue Personen automatisch beitreten können. Du kannst diesen Schritt überspringen — dein Team nutzt dann den Anmeldelink deiner Organisation, und neue Personen treten per Einladung bei. Falls die Domain noch nicht verifiziert ist, zeigt InfraNest den hinzuzufügenden DNS-Eintrag an. Verwaltet InfraNest diese DNS-Zone bereits, wähle Für mich hinzufügen; andernfalls füge den Eintrag dort hinzu, wo dein DNS gehostet wird, und wähle Jetzt prüfen.
4. Kopiere bei Create the app die oben in diesem Schritt angezeigte Redirect URL. Lass diesen Tab geöffnet.

Schritt 2: Die App bei deinem Anbieter erstellen

Erstelle in einem zweiten Tab die Anwendung bei deinem Anbieter und verwende die Redirect-URL von InfraNest als deren Redirect-URL. Die Anbieterabschnitte unten geben genau an, wo du diese Einstellung findest. Halte die Client-ID, das Client-Secret und die Discovery-URL bereit. Stelle sicher, dass du selbst auch berechtigt bist, die App zu nutzen, sonst schlägt der Test in Schritt 4 bei deinem Anbieter fehl.

Schritt 3: Die Verbindung in InfraNest abschließen

Fülle in InfraNest im Schritt Create the app die Felder Discovery URL, Client ID und Client secret aus. InfraNest liest alles andere von deinem Anbieter. Kann die Discovery-URL nicht erreicht werden, wird nichts gespeichert, und die Meldung erklärt, was schiefgelaufen ist.

Die Verbindung wird nach deinem Anbieter benannt, und dein Team sieht diesen Namen auf der Anmeldeseite als Continue with …. InfraNest erkennt JumpCloud, OneLogin und Auth0 namentlich; bei jedem anderen Anbieter wird dessen Adresse verwendet, z. B. sso.acme.com.

Schritt 4: Testen, festlegen, wer Zugang erhält, und einschalten

1. Wähle im Schritt Try it die Option Sign in with dein Anbieter to test. Ein neuer Tab öffnet sich bei deinem Anbieter — melde dich mit deinem eigenen Konto an. Bei Erfolg wird der Schritt grün. Ein erfolgreicher Test ist erforderlich, bevor du die Verbindung einschalten kannst.
2. Lege im Schritt Who gets in fest, was When somebody new signs in passiert:
   • Add them straight away ist vorausgewählt. Neue Personen treten mit der Rolle unter Role for new members bei, die standardmäßig Member (nur Lesen) ist. Das ist nur sicher, wenn dein Anbieter ausschließlich den richtigen Personen den Zugriff auf die InfraNest-App erlaubt — mehrere Anbieter lassen standardmäßig jeden Nutzer zu, prüfe daher den Abschnitt für deinen Anbieter.
   • Ask an admin macht aus der Anmeldung jeder neuen Person eine Beitrittsanfrage, die ein Administrator genehmigen muss.
   • Do nothing bedeutet, dass Personen weiterhin eine Einladung benötigen.
3. Wähle Switch on. Die Statusliste der Verbindung sollte jetzt lauten: Connected to dein Anbieter · Email domain verified · Test sign-in passed · Switched on.

Optional: Rollen anhand von Gruppen vergeben

Wenn dein Anbieter die Gruppen jeder Person senden kann, kann InfraNest daraus automatisch Rollen setzen. Öffne die Verbindung, dann Credentials and claim names. Setze Groups claim auf den Namen des Feldes, in dem dein Anbieter die Gruppen sendet (der Anbieterabschnitt unten nennt dir welches), und füge für jede Gruppe eine Zeile hinzu: unter Group at your provider deren Name genau so, wie der Anbieter ihn sendet; unter Role here die Rolle, die sie erhalten soll. Rollen, die Dinge ändern oder löschen können, lassen sich nicht zuordnen.

JumpCloud verbinden

1. Gehe im JumpCloud Admin Portal zu Access → SSO Applications und wähle + Add New Application.
2. Wähle Custom Application, dann Next. Wähle Manage Single Sign-On (SSO) und Configure SSO with OIDC, dann Next.
3. Gib ein Display Label ein, z. B. InfraNest, und fahre mit dem Tab SSO fort.
4. Füge unter Redirect URIs die Redirect-URL von InfraNest ein.
5. Setze Client Authentication Type auf Client Secret Basic.
6. Gib bei Login URL die Adresse der InfraNest-Anmeldeseite ein, wie sie in deinem Browser erscheint.
7. Hake unter Attribute Mapping die Standard-Scopes Email und Profile an — ohne diese sendet JumpCloud keine E-Mail-Adressen mit.
8. Wähle im Tab User Groups die Gruppen aus, die InfraNest nutzen dürfen. Nur deren Mitglieder können sich anmelden.
9. Wähle Activate. JumpCloud zeigt Client ID und Client Secret einmalig an — kopiere beide sofort.

Discovery-URL: https://oauth.id.jumpcloud.com/.well-known/openid-configuration. Verwende bei Bedarf die EU-Region-Adresse https://oauth.id.eu.jumpcloud.com/.well-known/openid-configuration oder die Indien-Region-Adresse https://oauth.id.in.jumpcloud.com/.well-known/openid-configuration.

Gruppen: Hake unter Attribute Mapping include group attribute an und benenne es groups. Setze Groups claim in InfraNest auf groups.

NoteDer Start von InfraNest aus dem JumpCloud User Portal wird nicht unterstützt — Personen melden sich über die InfraNest-Anmeldeseite an.

OneLogin verbinden

1. Gehe in OneLogin zu Applications → Applications und wähle Add App.
2. Suche nach OpenId Connect, wähle OpenId Connect (OIDC), gib einen Display Name wie InfraNest ein und wähle Save.
3. Füge im Tab Configuration die Redirect-URL von InfraNest unter Redirect URI's ein. Lasse Login Url leer — InfraNest unterstützt keinen Anmeldestart aus dem OneLogin-Portal. Wähle Save.
4. Setze im Tab SSO Application Type auf Web und die Authentifizierungsmethode des Token-Endpunkts auf Basic. Wähle Show client secret und kopiere Client ID und Client Secret.
5. Gib Personen Zugriff auf die App, üblicherweise über eine Rolle, die sie enthält. Nur Personen mit der App können sich anmelden.

Discovery-URL: https://<deine Subdomain>.onelogin.com/oidc/2/.well-known/openid-configuration, wobei der erste Teil deiner OneLogin-Adresse als Subdomain verwendet wird.

Gruppen: Öffne im Tab Parameters der App Groups. Setze Default if no value auf User Roles und wähle Semicolon Delimited input (Multi-value output). Setze Groups claim in InfraNest auf groups und ordne Rollennamen zu.

Keycloak verbinden

1. Wähle in der Keycloak Admin Console das Realm, in dem sich deine Personen befinden, gehe zu Clients und wähle Create client.
2. Belasse Client type bei OpenID Connect, gib eine Client ID wie infranest ein und fahre fort.
3. Schalte Client authentication ein und lasse Standard flow angehakt.
4. Füge unter Valid redirect URIs die Redirect-URL von InfraNest exakt ein, ohne Platzhalter. Speichern.
5. Kopiere im Tab Credentials des Clients das Client Secret.

Discovery-URL: https://<deine Keycloak-Adresse>/realms/<Realm-Name>/.well-known/openid-configuration. Ältere Keycloak-Versionen haben /auth vor /realms.

Gruppen: Öffne im Tab Client scopes des Clients den Scope, der auf -dedicated endet, und wähle Configure a new mapper → Group Membership. Gib ihm einen Namen, setze Token Claim Name auf groups, schalte Full group path aus und stelle sicher, dass Add to ID token aktiviert ist. Setze Groups claim in InfraNest auf groups.

WarningKeycloak lässt standardmäßig jeden Nutzer im Realm bei jedem Client anmelden, sofern du keine eigene Einschränkung hinzufügst. Wähle ohne eine solche Einschränkung im Schritt Who gets in lieber Ask an admin statt Add them straight away.

Authentik verbinden

1. Gehe in der Authentik Admin-Oberfläche zu Applications → Applications und wähle New Application.
2. Gib unter Application einen Namen wie InfraNest ein und notiere den Slug.
3. Wähle unter Choose a Provider type die Option OAuth2/OpenID Connect.
4. Wähle unter Configure the Provider einen Authorization-Flow und kopiere Client ID und Client Secret. Füge eine Redirect URI vom Typ Strict, Authorization, mit der Redirect-URL von InfraNest hinzu (bei Authentik-Versionen vor 2026.5 gibt es keinen Typ zur Auswahl). Wähle unter Signing Key einen Schlüssel aus — das ist erforderlich, sonst signiert Authentik mit dem Client-Secret und InfraNest lehnt dies ab.
5. Binde unter Configure Bindings die Gruppen oder Personen ein, die InfraNest nutzen dürfen. Ohne Bindungen kann sich jeder Authentik-Nutzer anmelden.
6. Wähle Submit.

Discovery-URL: https://<deine Authentik-Adresse>/application/o/<Slug>/.well-known/openid-configuration, mit dem Slug aus Schritt 2.

Gruppen: Die Standard-Profilinformationen von Authentik enthalten die Gruppen der Person in einem Feld namens groups. Setze Groups claim in InfraNest auf groups und ordne Gruppennamen zu.

Auth0 verbinden

1. Gehe im Auth0 Dashboard zu Applications → Applications und wähle Create Application.
2. Gib einen Namen wie InfraNest ein, wähle Regular Web Applications und wähle Create.
3. Füge im Tab Settings die Redirect-URL von InfraNest unter Allowed Callback URLs ein und wähle Save Changes. Kopiere Domain, Client ID und Client Secret aus demselben Tab.
4. Setze im Tab Credentials die Authentifizierungsmethode auf Client Secret (Basic).

Discovery-URL: https://<deine Auth0-Domain>/.well-known/openid-configuration, mit der Domain aus Schritt 3 (oder deiner benutzerdefinierten Domain, falls verwendet).

Gruppen: Auth0 sendet standardmäßig keine Rollen oder Gruppen. Wer deinen Auth0-Tenant verwaltet, kann diese mit einer kleinen Post-Login-Action hinzufügen, die die Rollen der Person als benutzerdefinierten Claim einfügt. Setze Groups claim in InfraNest genau auf den Namen dieses Claims, wie in der Action geschrieben — oft eine vollständige Adresse wie https://example.com/roles.

Wer sich anmelden kann: Jeder, der sich über die für diese Anwendung aktivierten Auth0-Connections anmelden kann, kann sich bei InfraNest anmelden. Beschränke die Connections der Anwendung oder wähle im Schritt Who gets in die Option Ask an admin.

Tipps

• Beginne bei InfraNest. InfraNest aus dem Portal oder Dashboard deines Anbieters zu starten, wird nicht unterstützt. Personen melden sich über die InfraNest-Anmeldeseite mit ihrer Arbeitsadresse an.
• Keine Abmeldeadresse. InfraNest verwendet keine Abmelde- (Post-Logout-)Redirect-URL — lasse dieses Feld leer.
• Rotation des Client-Secrets: Füge das neue Secret in der Verbindung unter Credentials and claim names ein und wähle Replace. Bis dahin kann sich niemand über deinen Anbieter anmelden.
• Wechsel zu einem anderen Anbieter oder Tenant erfordert eine neue Verbindung, da die Verbindung an den Anbieter gebunden ist, mit dem sie eingerichtet wurde.
• Nicht standardmäßige Feldnamen: Wenn dein Anbieter die E-Mail-Adresse oder den Namen unter einem ungewöhnlichen Namen sendet, trage dies unter Credentials and claim names → Claim names ein.

Problembehandlung

• Beim Eingeben der Discovery-URL wird nichts gespeichert: InfraNest konnte sie nicht lesen. Öffne die Adresse in deinem Browser — sie sollte eine Textseite anzeigen, die "issuer" und die Adresse deines Anbieters enthält. Wenn nicht, ist die Adresse falsch.
• Der Anbieter zeigt einen Redirect- oder Callback-Fehler: Die Redirect-URL bei deinem Anbieter stimmt nicht mit der Redirect-URL von InfraNest überein. Kopiere sie erneut — sie muss exakt übereinstimmen.
• Der Test schlägt nach der Anmeldung bei deinem Anbieter fehl: Prüfe, ob das Client-Secret aktuell ist, und bei JumpCloud, OneLogin und Auth0, ob die App das Secret auf die Basic-Weise sendet. Prüfe bei Authentik, ob ein Signing Key ausgewählt ist.
• Jemand meldet sich beim Anbieter an, aber InfraNest lässt die Person nicht hinein: Die E-Mail-Adresse fehlt in dem, was der Anbieter sendet, oder sie liegt nicht auf einer in InfraNest verifizierten Domain.
• Alle landen in der Standardrolle, obwohl du Gruppen zugeordnet hast: Prüfe, ob Groups claim genau dem Feldnamen deines Anbieters entspricht und ob Gruppennamen exakt so geschrieben sind, wie der Anbieter sie sendet.
• Administratoren können jeden fehlgeschlagenen Versuch mit Grund unter Einstellungen → Audit-Log einsehen.