Orbit bietet Single Sign-On (SSO) für Operator-Nutzer in Orbit MissionControl und für Shipper-Nutzer in Orbit Hub. Das erhöht die Sicherheit und vereinfacht die Zugangsverwaltung.
War dieser Artikel hilfreich?
Keine Antwort gefunden?
Fragen Sie Luna oder schreiben Sie unserem Support-Team.
Orbit bietet Single Sign-On (SSO) für Operator-Nutzer in Orbit MissionControl und für Shipper-Nutzer in Orbit Hub. Das erhöht die Sicherheit und vereinfacht die Zugangsverwaltung. Organisationen können damit ihre bestehenden Identitätsanbieter an Orbit anbinden, und ihre Nutzer melden sich ohne Umwege an.
Die SSO-Umsetzung von Orbit unterstützt das Protokoll SAML 2.0. Wenn sich ein Operator bei Orbit MissionControl anmelden will:
Orbit bestimmt anhand der E-Mail-Domain den passenden Identitätsanbieter
Der Nutzer wird zur SSO-Anmeldeseite seiner Organisation weitergeleitet
Um SSO für Ihre Organisation zu aktivieren, geben Sie Orbit folgende Informationen:
Orbit gibt Ihnen dann:
Meldet sich ein Nutzer zum ersten Mal per SSO an, legt Orbit automatisch ein Nutzerkonto an, auf Grundlage der Angaben Ihres Identitätsanbieters. So kommen neue Nutzer reibungslos an Bord.
Ihr Identitätsanbieter verwaltet vielleicht auch Personen, die nicht mit Orbit MissionControl arbeiten sollen, etwa Partner oder andere Unternehmen Ihrer Gruppe. Dann kann Orbit nur Nutzer zulassen, für die Ihr Identitätsanbieter einen bestimmten Attributwert sendet, zum Beispiel nur Nutzer, die als interne Mitarbeitende gekennzeichnet sind. Enthält das Attribut mehrere Werte, genügt ein zugelassener Wert.
Ein Nutzer ohne Zugang sieht auf der Anmeldeseite diese Meldung, und für ihn wird kein Konto angelegt:
Ihr Konto ist für Mission nicht freigeschaltet. Bitte wenden Sie sich an Ihren Administrator.
Die Beschränkung wird bei der ersten Anmeldung eines Nutzers geprüft. Besteht das Konto bereits, entfernt eine spätere Änderung des Attributs in Ihrem Identitätsanbieter es nicht. Um einem solchen Nutzer den Zugang zu entziehen, deaktivieren Sie ihn in Orbit MissionControl.
Auch ein Orbit Hub kann die Personen Ihrer Shipper mit dem Identitätsanbieter ihres Unternehmens anmelden lassen. Niemand muss ihre Konten vorab anlegen: Orbit legt jeden ShipperUser bei der ersten Anmeldung an und hält sein Team im Einklang mit dem Identitätsanbieter.
Unter dem Anmeldeformular, nach Passwort vergessen?, zeigt Orbit Hub die Schaltfläche Mit … anmelden mit dem Namen des Identitätsanbieters. Ein Klick führt den Nutzer zur Anmeldeseite seines Unternehmens; seine E-Mail-Adresse gibt er in Orbit Hub vorher nicht ein. Nach erfolgreicher Anmeldung kehrt er zu Orbit Hub zurück, auf die Seite, von der er gestartet ist. Die Anmeldung mit Passwort bleibt für Nutzer mit Passwort verfügbar.
Bei der ersten Anmeldung legt Orbit den ShipperUser an und ordnet ihn dem ShipperTeam zu, dessen Team-Eigenschaft den Wert enthält, den der Identitätsanbieter sendet, zum Beispiel eine Filialnummer. Der neue Nutzer erhält die bei der Einrichtung vereinbarte Standardrolle und Sprache sowie Namen und E-Mail-Adresse aus dem Identitätsanbieter. Orbit verschickt keine Willkommens-E-Mail.
Enthält kein aktives Team den Wert, enthalten ihn mehrere Teams oder ist der Typ des Nutzers nicht zugelassen, lehnt Orbit die Anmeldung ab und legt kein Konto an.
Bei jeder Anmeldung über den Identitätsanbieter prüft Orbit die Werte erneut:
Shipper: Orbit verschiebt den Nutzer in dieses Team, und er arbeitet von da an in diesem einen Team.Shipper, kein Team enthält ihn, oder der Typ des Nutzers ist nicht mehr zugelassen: Orbit lehnt diese Anmeldung ab und lässt das Konto, wie es ist. Sobald der Identitätsanbieter wieder einen gültigen Wert sendet, klappt die nächste Anmeldung. Im selben Browser kann das eine Weile dauern: Kurz nach einer abgelehnten Anmeldung meldet die Schaltfläche ohne Besuch beim Identitätsanbieter erneut an, und Orbit lehnt auch diese Anmeldung ab, weil es nur die Werte annimmt, die der Identitätsanbieter bei jeder Anmeldung sendet. Ein neuer Browser übernimmt die Änderung sofort. Das gilt ebenso nach einer Korrektur in Orbit, etwa an der Team-Eigenschaft des richtigen Teams.Der Identitätsanbieter muss das Attribut, das das Team des Nutzers nennt, bei jeder Anmeldung senden, und ebenso das Attribut, das entscheidet, wer sich anmelden darf, falls Sie eines verwenden. Fehlt eines davon, lehnt Orbit die Anmeldung ab, genau wie bei einem Wert, der nicht erlaubt ist.
Ein in Orbit MissionControl von Hand gesetztes Team ändert sich deshalb bei der nächsten Anmeldung wieder, wenn der Identitätsanbieter ein anderes Team desselben Shippers nennt.
Orbit prüft die Werte nur bei der Anmeldung, nicht, solange ein Nutzer angemeldet bleibt. Um den Zugang sofort zu entziehen, deaktivieren Sie den ShipperUser in Orbit MissionControl.
Entfernen Sie den Orbit-Hub-Zugang eines Nutzers in Orbit MissionControl, kann er sich nicht mehr über den Identitätsanbieter anmelden, und Orbit legt seinen Zugang nicht erneut an. Um einem solchen Nutzer wieder Zugang zu geben, wenden Sie sich an den Orbit-Support.
Lehnt Orbit eine Anmeldung ab, zeigt Orbit Hub auf seiner Anmeldeseite den Grund. Die ersten beiden Meldungen nennen Ihr Unternehmen, hier Spaceport Shipping Co.:
| Situation | Orbit Hub zeigt |
|---|---|
| Der Typ des Nutzers ist nicht zugelassen | „Ihr Konto ist für diesen Hub nicht freigeschaltet. Bitte wenden Sie sich an Spaceport Shipping Co.“ |
| Kein Team, mehrere Teams oder ein Team eines anderen Shippers enthält den Wert | „Für Ihre Organisation ist in diesem Hub noch kein Zugang eingerichtet. Bitte wenden Sie sich an Spaceport Shipping Co.“ |
| Alles andere | „Die Anmeldung per SSO ist fehlgeschlagen. Bitte versuchen Sie es erneut.“ |
Orbit kann festlegen, wie viele Tage eine Anmeldung in Ihrem Orbit Hub gilt. Die Einstellung gilt für alle Nutzer dieses Orbit Hub, auch für Nutzer, die sich mit Passwort anmelden. Ohne sie gilt eine Anmeldung bis zu zehn Jahre. Eine geänderte Einstellung gilt für Anmeldungen nach der Änderung; bereits angemeldete Nutzer behalten die Dauer, mit der ihre Sitzung begonnen hat. Eine kürzere Sitzung bedeutet auch, dass eine Änderung in Ihrem Identitätsanbieter Orbit Hub früher erreicht.
Orbit richtet SSO für einen Orbit Hub ein; selbst einschalten können Sie es noch nicht. Sie liefern:
Orbit gibt Ihnen dann den Identifier (Entity ID) und die Reply URL (Assertion Consumer Service URL) für Ihren Identitätsanbieter. Der Identitätsanbieter muss für jede Person eine dauerhafte Kennung senden, die sich nie ändert, keine E-Mail-Adresse, die sich ändern kann: Eine neue Kennung legt ein neues Konto an.
Wählen Sie die Standardrolle mit Bedacht, denn jeder Nutzer, den der Identitätsanbieter anlegt, erhält sie. Eine Rolle, die Kollegen einladen darf, lässt Nutzer Personen hinzufügen, die sich mit Passwort statt über den Identitätsanbieter anmelden.
ACME Ltd bucht Transporte über Ihren Orbit Hub. Jede seiner Filialen ist ein ShipperTeam mit einer Filialnummer. Julia arbeitet in der Filiale Paris. Sie klickt auf Mit … anmelden (ACME ID), meldet sich bei ihrem Unternehmen an, und Orbit legt ihr Konto im Team Paris an. Ein Jahr später wechselt sie in die Filiale Tokio, und ihr Unternehmen ändert ihre Filialnummer. Bei ihrer nächsten Anmeldung verschiebt Orbit sie in das Team Tokio, und ihre neuen Buchungen gehören zu diesem Team.
SSO erhöht die Sicherheit, weil es:
Wenn Sie Hilfe bei der SSO-Einrichtung brauchen oder die Funktion für Ihre Organisation aktivieren möchten, wenden Sie sich an den Orbit-Support. Unser Team führt Sie durch die Einrichtung und sorgt dafür, dass sich SSO sauber in Ihre bestehende Identitätsverwaltung einfügt.
Jeden Identitätsanbieter, der SAML 2.0 unterstützt, zum Beispiel Microsoft Entra ID oder PingOne.
Die Anmeldeseite zeigt, dass sein Konto keinen Zugang hat, und in Orbit wird kein Konto angelegt. Sobald der Attributwert in Ihrem Identitätsanbieter gesetzt ist, kann sich der Nutzer erneut anmelden.
In Orbit MissionControl nicht. Die Beschränkung wird nur bei der ersten
Anmeldung geprüft. Um einem bestehenden Nutzer den Zugang zu entziehen,
deaktivieren Sie ihn in Orbit MissionControl. In Orbit Hub wird die nächste
Anmeldung abgelehnt, ein noch angemeldeter Nutzer bleibt aber angemeldet,
bis seine Sitzung endet. Deaktivieren Sie den ShipperUser, um den Zugang
sofort zu entziehen.
Ja. Die Anmeldung mit Passwort bleibt auf derselben Seite. Eine Person mit einem Passwortkonto, die sich dann über den Identitätsanbieter anmeldet, erhält ein zweites, eigenes Konto.
Bei seiner nächsten Anmeldung in Orbit Hub verschiebt Orbit den Nutzer in das Team, das der Identitätsanbieter nun nennt, sofern es ein Team desselben Shippers ist. Nennt er ein Team eines anderen Shippers, lehnt Orbit die Anmeldung ab.
Noch nicht. Der Orbit-Support richtet es mit Ihnen ein.