PDF Redaction
PDF schwärzenDocsAPIPreise
Kontakt
Login
Konto & Abrechnung

Single Sign-on (SSO)

Verbinden Sie Okta, Microsoft Entra ID, Google Workspace oder einen anderen SAML-2.0- bzw. OpenID-Connect-Identitätsanbieter mit Ihrem PDF Redaction-Workspace, verifizieren Sie Ihre Domain und erzwingen Sie SSO für Ihr Team.

Mit Single Sign-on (SSO) meldet sich Ihr Team über den Identitätsanbieter (IdP) Ihres Unternehmens bei PDF Redaction an, statt mit separaten Passwörtern oder privaten Google- und Microsoft-Konten. Verlässt jemand das Unternehmen und deaktivieren Sie die Person in Ihrem IdP, kann sie sich nicht mehr anmelden.

PDF Redaction unterstützt SAML 2.0 und OpenID Connect (OIDC). Damit funktionieren Okta, Microsoft Entra ID (Azure AD), Google Workspace, OneLogin, JumpCloud, Auth0, Keycloak und die meisten anderen Anbieter.

Voraussetzungen

  • Der Workspace nutzt den Plan Pro Plus. Siehe Pläne und Abrechnung.
  • Sie sind Inhaber oder Administrator des Workspace.
  • Sie können einen DNS-TXT-Eintrag für die E-Mail-Domain Ihres Unternehmens anlegen.
  • Sie können in Ihrem Identitätsanbieter eine Anwendung anlegen oder haben jemanden, der das übernimmt.

So funktioniert es

  1. Sie verbinden Ihren Identitätsanbieter und verifizieren Ihre E-Mail-Domain, zum Beispiel example.com.
  2. Auf der Anmeldeseite wählen die Personen Mit SSO fortfahren und geben ihre geschäftliche E-Mail-Adresse ein. Adressen auf Ihrer verifizierten Domain werden zu Ihrem Identitätsanbieter weitergeleitet.
  3. Nach der Anmeldung dort kehren sie angemeldet zu PDF Redaction zurück. Beim ersten Mal wird ein Konto angelegt, und die Person tritt Ihrem Workspace bei.

SSO wird pro Workspace eingerichtet. Jede E-Mail-Domain kann nur zu einem Workspace gehören.

SSO einrichten

Öffnen Sie Arbeitsbereiche verwalten, wählen Sie Ihren Workspace und öffnen Sie den Tab SSO. Die Checkliste oben zeigt Ihren Fortschritt.

Protokoll wählen und Werte des Dienstanbieters kopieren

Wählen Sie OpenID Connect oder SAML 2.0. Nehmen Sie das Protokoll, das der Administrator Ihres Identitätsanbieters bevorzugt; für Ihr Team funktionieren beide gleich.

Die Seite zeigt die Werte, die Sie in Ihrem Identitätsanbieter eintragen:

ProtokollWertWo er in Ihrem IdP eingetragen wird
OIDCRedirect-URI (Anmelde-Weiterleitungs-URL)Sign-in redirect URI, Reply URL oder Callback URL
SAMLACS-URL (Single-Sign-on-URL)Single sign-on URL, Reply URL oder Assertion Consumer Service URL
SAMLSP-Entity-ID (Audience)Audience URI, Identifier oder SP Entity ID
SAMLSP-Metadaten-URLNur wenn Ihr IdP Metadaten des Dienstanbieters importieren kann

Anwendung in Ihrem Identitätsanbieter anlegen

Folgen Sie den Schritten für Ihren Anbieter unter Anleitungen für Identitätsanbieter weiter unten. Am Ende haben Sie:

  • für OIDC: die Issuer-URL, eine Client-ID und ein Client-Secret;
  • für SAML: die IdP-Entity-ID (Issuer), die IdP-Single-Sign-on-URL und das IdP-Signaturzertifikat.

Tragen Sie diese Werte im Tab SSO ein und klicken Sie auf Speichern. Das Client-Secret wird verschlüsselt gespeichert und nie wieder angezeigt. Um es beizubehalten, lassen Sie das Feld leer, wenn Sie andere Änderungen speichern.

Domain verifizieren

Fügen Sie unter Domains Ihre E-Mail-Domain hinzu, zum Beispiel example.com, und klicken Sie auf Hinzufügen. Fügen Sie jede Domain hinzu, die Ihr Team nutzt, etwa example.de oder example.co.uk.

Für jede Domain zeigt die Seite einen TXT-Eintrag. Legen Sie ihn bei Ihrem DNS-Anbieter an:

TypHost / NameWert
TXTexample.com (oft als @ geschrieben)pdf-redaction-verification=…

Klicken Sie dann auf Verifizieren. DNS-Änderungen dauern meist einige Minuten, manchmal bis zu einer Stunde. Nach der Verifizierung können Sie den TXT-Eintrag entfernen, er schadet aber auch nicht, wenn er bleibt.

Öffentliche E-Mail-Domains wie gmail.com oder outlook.com sind nicht möglich.

Testanmeldung durchführen

Klicken Sie auf Testanmeldung. Sie werden zu Ihrem Identitätsanbieter weitergeleitet. Melden Sie sich mit einem Konto auf Ihrer verifizierten Domain an. Wenn Sie zurückkehren, zeigt die Seite Test erfolgreich und die E-Mail-Adresse, die Ihr Identitätsanbieter übermittelt hat.

Der Test meldet Sie nicht als diese Person an und ändert nichts für Ihr Team.

SSO aktivieren

Aktivieren Sie unter Anmeldeoptionen die Option SSO aktivieren. Ab jetzt können Personen mit einer Adresse auf Ihren verifizierten Domains Mit SSO fortfahren nutzen. Ihre anderen Anmeldeoptionen funktionieren weiterhin, bis Sie SSO erzwingen.

Anmeldeoptionen

OptionFunktion
SSO aktivierenSchaltet SSO für Ihre verifizierten Domains ein oder aus.
Konten automatisch anlegenStandardmäßig aktiv. Personen aus Ihren Domains erhalten bei der ersten SSO-Anmeldung ein Konto und treten diesem Workspace bei. Deaktivieren Sie die Option, damit sich nur bestehende Mitglieder per SSO anmelden können. Weitere Personen fügen Sie mit Einladen im Tab Mitglieder hinzu.
Rolle für neue MitgliederDie Rolle, die Personen beim Beitritt über SSO erhalten: Mitglied oder Administrator. Rollen können Sie später im Tab Mitglieder ändern.
SSO erzwingenPersonen auf Ihren verifizierten Domains können sich nur noch per SSO anmelden. Siehe unten.

SSO erzwingen

Ist SSO erzwingen aktiv, können Personen mit einer Adresse auf Ihren verifizierten Domains keine E-Mail-Codes, Anmeldelinks, Passwörter, Google, Microsoft oder LinkedIn mehr nutzen. Versuchen sie es, werden sie zu Ihrem Identitätsanbieter weitergeleitet.

  • Sie können die Option erst aktivieren, wenn SSO aktiviert, mindestens eine Domain verifiziert und eine Testanmeldung erfolgreich war.
  • Der Inhaber des Workspace kann immer die anderen Anmeldeoptionen nutzen. Ist Ihr Identitätsanbieter ausgefallen oder falsch konfiguriert, kann sich der Inhaber trotzdem anmelden und die Einstellungen korrigieren.
  • Bereits offene Sitzungen bleiben angemeldet, bis sie ablaufen.
  • Wenn Sie Ihre letzte verifizierte Domain entfernen, wird SSO erzwingen deaktiviert.

Wo SSO funktioniert

ProduktSSO
Online-Editor und Kontoseiten auf pdf-redaction.comJa
Redaction Studio im BrowserJa
Studio DesktopNoch nicht. Wenn Sie SSO erzwingen, können sich Mitglieder Ihrer Domains nicht bei Studio Desktop anmelden.
APIAPI-Schlüssel funktionieren weiterhin. Sie nutzen kein SSO.

Die Anmeldung beginnt immer bei PDF Redaction. PDF Redaction über eine Kachel im Dashboard Ihres Identitätsanbieters zu öffnen (IdP-initiierte Anmeldung), wird noch nicht unterstützt.

Wenn sich Ihr Plan ändert

SSO ist Teil von Pro Plus. Wechselt der Workspace in einen anderen Plan, funktionieren SSO und SSO erzwingen sofort nicht mehr, und alle melden sich wieder mit den anderen Optionen an. Ihre SSO-Einstellungen und verifizierten Domains bleiben gespeichert. Sie sind wieder aktiv, sobald der Workspace wieder Pro Plus nutzt.

Anleitungen für Identitätsanbieter

Die Menünamen unten können je nach Version der jeweiligen Admin-Konsole leicht abweichen. Wir geben sie auf Englisch an, wie sie in den meisten Konsolen erscheinen.

Okta

OIDC

  1. Gehen Sie in der Okta Admin Console zu Applications → Applications → Create App Integration.
  2. Wählen Sie OIDC - OpenID Connect und Web Application.
  3. Fügen Sie unter Sign-in redirect URIs die Redirect-URI aus dem Tab SSO ein. Entfernen Sie die Standard-Sign-out-URI.
  4. Legen Sie unter Assignments fest, wer die App nutzen darf, und speichern Sie.
  5. Kopieren Sie Client ID und Client secret. Die Issuer-URL ist Ihre Okta-Domain, zum Beispiel https://example.okta.com.

SAML

  1. Gehen Sie zu Applications → Applications → Create App Integration und wählen Sie SAML 2.0.
  2. Single sign-on URL: die ACS-URL. Audience URI (SP Entity ID): die SP-Entity-ID.
  3. Name ID format: EmailAddress. Application username: Email.
  4. Optionale Attribute Statements: firstName → user.firstName, lastName → user.lastName.
  5. Schließen Sie die Einrichtung ab, weisen Sie Personen zu und öffnen Sie dann den Tab Sign On und View SAML setup instructions. Kopieren Sie Identity Provider Single Sign-On URL, Identity Provider Issuer und X.509 Certificate.

Microsoft Entra ID (Azure AD)

OIDC

  1. Gehen Sie im Entra Admin Center zu App registrations → New registration.
  2. Wählen Sie, wer sich anmelden darf (meist Accounts in this organizational directory only). Wählen Sie unter Redirect URI die Option Web und fügen Sie die Redirect-URI ein.
  3. Kopieren Sie Application (client) ID und Directory (tenant) ID.
  4. Erstellen Sie unter Certificates & secrets ein New client secret und kopieren Sie dessen Value.
  5. Die Issuer-URL lautet https://login.microsoftonline.com/<tenant-id>/v2.0, mit Ihrer Directory (tenant) ID.

SAML

  1. Gehen Sie zu Enterprise applications → New application → Create your own application und wählen Sie Integrate any other application you don't find in the gallery.
  2. Öffnen Sie Single sign-on und wählen Sie SAML.
  3. Setzen Sie in Basic SAML Configuration den Identifier (Entity ID) auf die SP-Entity-ID und die Reply URL auf die ACS-URL.
  4. Laden Sie unter SAML Certificates das Certificate (Base64) herunter und fügen Sie seinen Inhalt ein.
  5. Kopieren Sie aus dem Abschnitt Set up die Login URL (IdP-Single-Sign-on-URL) und den Microsoft Entra Identifier (IdP-Entity-ID).
  6. Weisen Sie unter Users and groups die Personen zu, die PDF Redaction nutzen dürfen.

Die Standard-Claims enthalten bereits E-Mail-Adresse, Vorname und Nachname.

Google Workspace

SAML (empfohlen)

  1. Gehen Sie in der Google Admin Console zu Apps → Web and mobile apps → Add app → Add custom SAML app.
  2. Kopieren Sie auf der Seite Google Identity Provider details die SSO URL, die Entity ID und das Certificate.
  3. Fügen Sie auf der Seite Service provider details die ACS-URL und die SP-Entity-ID ein. Setzen Sie Name ID format auf EMAIL und Name ID auf Basic Information → Primary email.
  4. Optionale Attributzuordnung: First name → firstName, Last name → lastName.
  5. Schalten Sie die App für die Organisationseinheiten oder Gruppen, die sie nutzen sollen, auf ON.

OIDC

  1. Öffnen Sie in der Google Cloud Console APIs & Services → Credentials → Create credentials → OAuth client ID und wählen Sie Web application.
  2. Fügen Sie unter Authorized redirect URIs die Redirect-URI ein.
  3. Kopieren Sie Client ID und Client secret. Die Issuer-URL lautet https://accounts.google.com.

Andere Anbieter

Jeder Anbieter, der SAML 2.0 oder OpenID Connect unterstützt, funktioniert.

  • OIDC: Legen Sie eine Webanwendung mit dem Authorization Code Flow an, tragen Sie die Redirect-URI ein und erlauben Sie die Scopes openid email profile. Die Issuer-URL ist die Adresse, unter der Ihr Anbieter /.well-known/openid-configuration veröffentlicht.
  • SAML: Tragen Sie ACS-URL und SP-Entity-ID ein, nutzen Sie HTTP-POST für die Antwort und signieren Sie die Antwort oder die Assertion. Übermitteln Sie die E-Mail-Adresse als Name ID oder als Attribut email. Vor- und Nachname sind optional (firstName/lastName, givenName/surname oder die Standard-Claim-URIs).

Fehlerbehebung

MeldungWas Sie prüfen sollten
Für diese E-Mail-Domain ist kein Single Sign-on eingerichtet.Die Domain ist nicht verifiziert, SSO ist deaktiviert oder der Workspace nutzt nicht Pro Plus.
Ihr Identitätsanbieter hat eine E-Mail-Adresse außerhalb der verifizierten Domains Ihrer Organisation übermittelt.Der IdP hat eine andere Adresse übermittelt als die eingegebene, zum Beispiel einen Alias auf einer anderen Domain. Verifizieren Sie auch diese Domain oder korrigieren Sie das E-Mail-Attribut in Ihrem IdP.
Ihr Konto ist noch kein Mitglied dieses Workspaces.Konten automatisch anlegen ist deaktiviert. Laden Sie die Person im Tab Mitglieder ein.
Die Antwort Ihres Identitätsanbieters konnte nicht verifiziert werden.OIDC: Prüfen Sie Issuer-URL, Client-ID und Client-Secret. Der Issuer muss exakt übereinstimmen, bei Entra ID einschließlich /v2.0.
Die SAML-Antwort Ihres Identitätsanbieters konnte nicht verifiziert werden.SAML: Prüfen Sie das Zertifikat (es ändert sich, wenn Ihr IdP es erneuert), die ACS-URL und die SP-Entity-ID.
Ihr Identitätsanbieter hat keine E-Mail-Adresse übermittelt.Ordnen Sie die E-Mail-Adresse der Name ID oder einem Attribut email zu. Fügen Sie in Entra ID mit OIDC den optionalen Claim email hinzu.
Die Anmeldesitzung ist abgelaufen.Beim Identitätsanbieter sind mehr als 10 Minuten vergangen, oder die Anmeldung wurde im IdP-Dashboard gestartet. Starten Sie erneut über die Anmeldeseite von PDF Redaction.

Kommen Sie nicht weiter? Kontaktieren Sie den Support und nennen Sie uns den Namen des Workspace und den Zeitpunkt Ihres Versuchs.

Nächste Schritte

Konto und Workspaces

Mitglieder, Rollen und Projekte.

Pläne und Abrechnung

Auf Pro Plus upgraden.

Nutzung und Limits

So zählt der Online-Editor Seiten auf Ihr Monatskontingent, wann der Zeitraum neu beginnt, wo Sie Ihre Nutzung sehen und welche Limits pro Dokument gelten.

OCR-Sprachunterstützung

Von der browserinternen OCR unterstützte Sprachen – Web, Studio, Studio Desktop und das einbettbare Widget

On this page

VoraussetzungenSo funktioniert esSSO einrichtenProtokoll wählen und Werte des Dienstanbieters kopierenAnwendung in Ihrem Identitätsanbieter anlegenDomain verifizierenTestanmeldung durchführenSSO aktivierenAnmeldeoptionenSSO erzwingenWo SSO funktioniertWenn sich Ihr Plan ändertAnleitungen für IdentitätsanbieterOktaMicrosoft Entra ID (Azure AD)Google WorkspaceAndere AnbieterFehlerbehebungNächste Schritte