--- title: "Single Sign-On (SSO)" description: "Orbit bietet Single Sign-On (SSO) für Operator-Nutzer in Orbit MissionControl und für Shipper-Nutzer in Orbit Hub. Das erhöht die Sicherheit und vereinfacht die Zugangsverwaltung." url: "https://support.pr-9.orbit.do/de/advanced-features/single-sign-on-sso" locale: "de" apps: ["mission", "hub"] lastReviewed: "2026-10-22" --- # Single Sign-On (SSO) Orbit bietet Single Sign-On (SSO) für Operator-Nutzer in Orbit MissionControl und für Shipper-Nutzer in Orbit Hub. Das erhöht die Sicherheit und vereinfacht die Zugangsverwaltung. ## Überblick Orbit bietet Single Sign-On (SSO) für Operator-Nutzer in Orbit MissionControl und für Shipper-Nutzer in Orbit Hub. Das erhöht die Sicherheit und vereinfacht die Zugangsverwaltung. Organisationen können damit ihre bestehenden Identitätsanbieter an Orbit anbinden, und ihre Nutzer melden sich ohne Umwege an. ## Wichtige Funktionen * Unterstützung mehrerer Identitätsanbieter * Funktioniert mit SAML-2.0-Identitätsanbietern wie Microsoft Entra ID (Azure Active Directory) oder PingOne * Anpassbare Nutzerattribute und Rollenzuordnung * Automatisches Anlegen von Nutzern bei der ersten SSO-Anmeldung * Optionale Zugangsbeschränkung: Nur Nutzer mit einem bestimmten Attributwert aus Ihrem Identitätsanbieter erhalten Zugang * In Orbit Hub: Neue Nutzer landen automatisch in ihrem Shipper-Team, und ihr Team folgt Ihrem Identitätsanbieter ## So funktioniert es in Orbit MissionControl Die SSO-Umsetzung von Orbit unterstützt das Protokoll SAML 2.0. Wenn sich ein Operator bei Orbit MissionControl anmelden will: 1. Auf der Anmeldeseite sieht er eine Option für Single Sign-On 2. Der Nutzer gibt seine E-Mail-Adresse ein 3. Orbit bestimmt anhand der E-Mail-Domain den passenden Identitätsanbieter 4. Der Nutzer wird zur SSO-Anmeldeseite seiner Organisation weitergeleitet 5. Nach erfolgreicher Anmeldung erhält der Nutzer Zugang zu Orbit ## SSO für Orbit MissionControl einrichten Um SSO für Ihre Organisation zu aktivieren, geben Sie Orbit folgende Informationen: * Die SAML-Metadaten-URL Ihres Identitätsanbieters (in Microsoft Entra ID: die App Federation Metadata URL) * Claim-Zuordnungen für Nutzerattribute (z. B. firstname, lastname, email) * Standardrolle und Standardteam für neue Nutzer * Liste der E-Mail-Domains Ihrer Organisation * Optional das Attribut und die Werte, die Zugang gewähren, wenn nur ein Teil Ihrer Nutzer mit Orbit MissionControl arbeiten soll Orbit gibt Ihnen dann: * Identifier (Entity ID) für Ihren Identitätsanbieter * Reply URL (Assertion Consumer Service URL) für die SAML-Konfiguration ## Nutzerverwaltung Meldet sich ein Nutzer zum ersten Mal per SSO an, legt Orbit automatisch ein Nutzerkonto an, auf Grundlage der Angaben Ihres Identitätsanbieters. So kommen neue Nutzer reibungslos an Bord. ### Zugang auf einen Teil der Nutzer beschränken Ihr Identitätsanbieter verwaltet vielleicht auch Personen, die nicht mit Orbit MissionControl arbeiten sollen, etwa Partner oder andere Unternehmen Ihrer Gruppe. Dann kann Orbit nur Nutzer zulassen, für die Ihr Identitätsanbieter einen bestimmten Attributwert sendet, zum Beispiel nur Nutzer, die als interne Mitarbeitende gekennzeichnet sind. Enthält das Attribut mehrere Werte, genügt ein zugelassener Wert. Ein Nutzer ohne Zugang sieht auf der Anmeldeseite diese Meldung, und für ihn wird kein Konto angelegt: > Ihr Konto ist für Mission nicht freigeschaltet. Bitte wenden Sie sich an Ihren Administrator. Die Beschränkung wird bei der ersten Anmeldung eines Nutzers geprüft. Besteht das Konto bereits, entfernt eine spätere Änderung des Attributs in Ihrem Identitätsanbieter es nicht. Um einem solchen Nutzer den Zugang zu entziehen, deaktivieren Sie ihn in Orbit MissionControl. ## Single Sign-On in Orbit Hub Auch ein Orbit Hub kann die Personen Ihrer Shipper mit dem Identitätsanbieter ihres Unternehmens anmelden lassen. Niemand muss ihre Konten vorab anlegen: Orbit legt jeden `ShipperUser` bei der ersten Anmeldung an und hält sein Team im Einklang mit dem Identitätsanbieter. ### Was Nutzer sehen Unter dem Anmeldeformular, nach **Passwort vergessen?**, zeigt Orbit Hub die Schaltfläche **Mit … anmelden** mit dem Namen des Identitätsanbieters. Ein Klick führt den Nutzer zur Anmeldeseite seines Unternehmens; seine E-Mail-Adresse gibt er in Orbit Hub vorher nicht ein. Nach erfolgreicher Anmeldung kehrt er zu Orbit Hub zurück, auf die Seite, von der er gestartet ist. Die Anmeldung mit Passwort bleibt für Nutzer mit Passwort verfügbar. ### Erste Anmeldung Bei der ersten Anmeldung legt Orbit den `ShipperUser` an und ordnet ihn dem `ShipperTeam` zu, dessen Team-Eigenschaft den Wert enthält, den der Identitätsanbieter sendet, zum Beispiel eine Filialnummer. Der neue Nutzer erhält die bei der Einrichtung vereinbarte Standardrolle und Sprache sowie Namen und E-Mail-Adresse aus dem Identitätsanbieter. Orbit verschickt keine Willkommens-E-Mail. Enthält kein aktives Team den Wert, enthalten ihn mehrere Teams oder ist der Typ des Nutzers nicht zugelassen, lehnt Orbit die Anmeldung ab und legt kein Konto an. ### Spätere Anmeldungen Bei jeder Anmeldung über den Identitätsanbieter prüft Orbit die Werte erneut: * Der Wert nennt das Team des Nutzers: Der Nutzer meldet sich wie gewohnt an. * Der Wert nennt ein anderes Team desselben `Shipper`: Orbit verschiebt den Nutzer in dieses Team, und er arbeitet von da an in diesem einen Team. * Der Wert nennt ein Team eines anderen `Shipper`, kein Team enthält ihn, oder der Typ des Nutzers ist nicht mehr zugelassen: Orbit lehnt diese Anmeldung ab und lässt das Konto, wie es ist. Sobald der Identitätsanbieter wieder einen gültigen Wert sendet, klappt die nächste Anmeldung. Im selben Browser kann das eine Weile dauern: Kurz nach einer abgelehnten Anmeldung meldet die Schaltfläche ohne Besuch beim Identitätsanbieter erneut an, und Orbit lehnt auch diese Anmeldung ab, weil es nur die Werte annimmt, die der Identitätsanbieter bei jeder Anmeldung sendet. Ein neuer Browser übernimmt die Änderung sofort. Das gilt ebenso nach einer Korrektur in Orbit, etwa an der Team-Eigenschaft des richtigen Teams. Der Identitätsanbieter muss das Attribut, das das Team des Nutzers nennt, bei jeder Anmeldung senden, und ebenso das Attribut, das entscheidet, wer sich anmelden darf, falls Sie eines verwenden. Fehlt eines davon, lehnt Orbit die Anmeldung ab, genau wie bei einem Wert, der nicht erlaubt ist. Ein in Orbit MissionControl von Hand gesetztes Team ändert sich deshalb bei der nächsten Anmeldung wieder, wenn der Identitätsanbieter ein anderes Team desselben Shippers nennt. Orbit prüft die Werte nur bei der Anmeldung, nicht, solange ein Nutzer angemeldet bleibt. Um den Zugang sofort zu entziehen, deaktivieren Sie den `ShipperUser` in Orbit MissionControl. Entfernen Sie den Orbit-Hub-Zugang eines Nutzers in Orbit MissionControl, kann er sich nicht mehr über den Identitätsanbieter anmelden, und Orbit legt seinen Zugang nicht erneut an. Um einem solchen Nutzer wieder Zugang zu geben, wenden Sie sich an den Orbit-Support. ### Meldungen auf der Anmeldeseite Lehnt Orbit eine Anmeldung ab, zeigt Orbit Hub auf seiner Anmeldeseite den Grund. Die ersten beiden Meldungen nennen Ihr Unternehmen, hier Spaceport Shipping Co.: | Situation | Orbit Hub zeigt | | ------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------ | | Der Typ des Nutzers ist nicht zugelassen | „Ihr Konto ist für diesen Hub nicht freigeschaltet. Bitte wenden Sie sich an Spaceport Shipping Co.“ | | Kein Team, mehrere Teams oder ein Team eines anderen Shippers enthält den Wert | „Für Ihre Organisation ist in diesem Hub noch kein Zugang eingerichtet. Bitte wenden Sie sich an Spaceport Shipping Co.“ | | Alles andere | „Die Anmeldung per SSO ist fehlgeschlagen. Bitte versuchen Sie es erneut.“ | ### Sitzungsdauer Orbit kann festlegen, wie viele Tage eine Anmeldung in Ihrem Orbit Hub gilt. Die Einstellung gilt für alle Nutzer dieses Orbit Hub, auch für Nutzer, die sich mit Passwort anmelden. Ohne sie gilt eine Anmeldung bis zu zehn Jahre. Eine geänderte Einstellung gilt für Anmeldungen nach der Änderung; bereits angemeldete Nutzer behalten die Dauer, mit der ihre Sitzung begonnen hat. Eine kürzere Sitzung bedeutet auch, dass eine Änderung in Ihrem Identitätsanbieter Orbit Hub früher erreicht. ### SSO für Orbit Hub einrichten Orbit richtet SSO für einen Orbit Hub ein; selbst einschalten können Sie es noch nicht. Sie liefern: * Die SAML-Metadaten-URL des Identitätsanbieters * Die Attribute, die er sendet: E-Mail-Adresse, Vor- und Nachname, das Attribut, das das Team des Nutzers nennt, und optional ein Attribut, dessen Werte entscheiden, wer sich anmelden darf * Die Team-Eigenschaft in Orbit MissionControl, die den Wert jedes Teams enthält, ausgefüllt für jedes Team, dessen Personen sich anmelden sollen * Die Standardrolle und Sprache für neue Nutzer und optional die Sitzungsdauer in Tagen Orbit gibt Ihnen dann den Identifier (Entity ID) und die Reply URL (Assertion Consumer Service URL) für Ihren Identitätsanbieter. Der Identitätsanbieter muss für jede Person eine dauerhafte Kennung senden, die sich nie ändert, keine E-Mail-Adresse, die sich ändern kann: Eine neue Kennung legt ein neues Konto an. Wählen Sie die Standardrolle mit Bedacht, denn jeder Nutzer, den der Identitätsanbieter anlegt, erhält sie. Eine Rolle, die Kollegen einladen darf, lässt Nutzer Personen hinzufügen, die sich mit Passwort statt über den Identitätsanbieter anmelden. ### Beispiel ACME Ltd bucht Transporte über Ihren Orbit Hub. Jede seiner Filialen ist ein `ShipperTeam` mit einer Filialnummer. Julia arbeitet in der Filiale Paris. Sie klickt auf **Mit … anmelden** (ACME ID), meldet sich bei ihrem Unternehmen an, und Orbit legt ihr Konto im Team Paris an. Ein Jahr später wechselt sie in die Filiale Tokio, und ihr Unternehmen ändert ihre Filialnummer. Bei ihrer nächsten Anmeldung verschiebt Orbit sie in das Team Tokio, und ihre neuen Buchungen gehören zu diesem Team. ## Sicherheit SSO erhöht die Sicherheit, weil es: * die Anmeldung der Nutzer an einer Stelle bündelt * die Passwortrichtlinien und die Mehr-Faktor-Authentifizierung Ihrer Organisation durchsetzt * das Offboarding vereinfacht, weil Sie den Zugang an einer einzigen Stelle entziehen können ## Support und Einrichtung Wenn Sie Hilfe bei der SSO-Einrichtung brauchen oder die Funktion für Ihre Organisation aktivieren möchten, wenden Sie sich an den Orbit-Support. Unser Team führt Sie durch die Einrichtung und sorgt dafür, dass sich SSO sauber in Ihre bestehende Identitätsverwaltung einfügt. ## Häufige Fragen **Q: Welche Identitätsanbieter kann ich nutzen?** Jeden Identitätsanbieter, der SAML 2.0 unterstützt, zum Beispiel Microsoft Entra ID oder PingOne. **Q: Was passiert, wenn sich ein Nutzer ohne den nötigen Attributwert anmeldet?** Die Anmeldeseite zeigt, dass sein Konto keinen Zugang hat, und in Orbit wird kein Konto angelegt. Sobald der Attributwert in Ihrem Identitätsanbieter gesetzt ist, kann sich der Nutzer erneut anmelden. **Q: Entfernt eine Änderung des Attributs in meinem Identitätsanbieter den Zugang eines Nutzers?** In Orbit MissionControl nicht. Die Beschränkung wird nur bei der ersten Anmeldung geprüft. Um einem bestehenden Nutzer den Zugang zu entziehen, deaktivieren Sie ihn in Orbit MissionControl. In Orbit Hub wird die nächste Anmeldung abgelehnt, ein noch angemeldeter Nutzer bleibt aber angemeldet, bis seine Sitzung endet. Deaktivieren Sie den `ShipperUser`, um den Zugang sofort zu entziehen. **Q: Können sich Nutzer von Orbit Hub weiter mit Passwort anmelden, wenn SSO eingerichtet ist?** Ja. Die Anmeldung mit Passwort bleibt auf derselben Seite. Eine Person mit einem Passwortkonto, die sich dann über den Identitätsanbieter anmeldet, erhält ein zweites, eigenes Konto. **Q: Was passiert, wenn sich das Team eines Nutzers in meinem Identitätsanbieter ändert?** Bei seiner nächsten Anmeldung in Orbit Hub verschiebt Orbit den Nutzer in das Team, das der Identitätsanbieter nun nennt, sofern es ein Team desselben Shippers ist. Nennt er ein Team eines anderen Shippers, lehnt Orbit die Anmeldung ab. **Q: Kann ich SSO für Orbit Hub selbst einrichten?** Noch nicht. Der Orbit-Support richtet es mit Ihnen ein.