> ## Documentation Index
> Fetch the complete documentation index at: https://docs.anny.co/llms.txt
> Use this file to discover all available pages before exploring further.

# OpenID Connect (OIDC) SSO

> Richte einen Unternehmenslogin über OpenID Connect in Admin 3.0 selbst ein. anny liest die Endpunkte aus dem Discovery-Dokument.

anny unterstützt Unternehmenslogins über OpenID Connect (OIDC). Damit funktioniert grundsätzlich jeder Identity Provider, der OpenID Connect Discovery anbietet, zum Beispiel Entra ID, Okta, Keycloak, Auth0 oder Authentik.

Du hinterlegst die Adresse deines Identity Providers und die Zugangsdaten der Anwendung. Alle weiteren Endpunkte liest anny automatisch aus, auch wenn dein Identity Provider sie später ändert.

> [!NOTE]
>
> Unterstützt dein Identity Provider SAML 2.0, empfehlen wir diesen Weg, da mehr Funktionen wie SCIM und föderierte Anmeldungen zur Verfügung stehen. Eine Anleitung findest du unter [Generisches SAML 2.0 SSO](https://docs.anny.co/generic-saml-sso.md).

## Einrichtung in Admin 3.0

Die Verbindung legst du in Admin 3.0 selbst an, unter **Account > Einstellungen > SSO & Sicherheit**. Neben den anny Admin-Rechten brauchst du administrativen Zugang zu deinem Identity Provider.

> [!NOTE]
>
> In Admin v2.0 fehlt die Kachel **OpenID Connect**. Schreib uns dann an [support@anny.co](mailto:support@anny.co), dann legen wir die Verbindung für dich an.

Lege zuerst in deinem Identity Provider eine vertrauliche Anwendung an, je nach Anbieter auch "Client" oder "App" genannt. Du brauchst die Issuer-URL, die Client ID und das Client Secret.

**1. OpenID Connect wählen**

Öffne die [SSO-Einstellungen](https://app.anny.co/organization/settings/sso?o=). Ist schon ein Identity Provider verbunden, klicke zuerst auf **IDP hinzufügen**. Wähle die Kachel **OpenID Connect**.

**2. Zugangsdaten eintragen**

Trage **Issuer-URL**, **Client ID**, **Client Secret** und **Scopes** ein. Üblich ist `openid profile email`. Klicke auf **Verbinden**.

**3. URLs beim Identity Provider hinterlegen**

Nach dem Verbinden zeigt anny die **Weiterleitungs-/Callback-URL**. Kopiere sie und trage sie als erlaubte Redirect-URL ein. Liegt eine **Post-Logout-URL** daneben, trage sie ein, wenn sich Nutzer:innen beim Abmelden auch beim Identity Provider abmelden sollen.

**4. Aktivieren und testen**

Aktiviere den Anbieter danach und teste den Login über **Login testen & Benutzer verbinden**.

> [!WARNING]
>
> Solange die Callback-URL bei deinem Identity Provider nicht hinterlegt ist, bricht der Login mit einer Fehlermeldung wie "redirect\_uri mismatch" ab.

## Pflichtfelder

| Feld in anny | Beschreibung |
| - | - |
| **Issuer-URL** | Die Basisadresse deines Identity Providers, zum Beispiel `https://login.example.com`. anny liest die Endpunkte aus dem Discovery-Dokument unter dieser Adresse. |
| **Client ID** | Die Kennung der Anwendung. |
| **Client Secret** | Das zugehörige Geheimnis. anny speichert es verschlüsselt. |
| **Scopes** | Die angefragten Berechtigungen. Üblich ist `openid profile email`. |

## Erweiterte Optionen

Die erweiterten Optionen brauchst du nur, wenn dein Identity Provider vom Standard abweicht.

| Feld in anny | Beschreibung |
| - | - |
| **Discovery-URL** | Nur nötig, wenn das Discovery-Dokument nicht unter der Issuer-URL mit `/.well-known/openid-configuration` liegt. |
| **Bestätigte E-Mail-Adresse verlangen** | Ist eingeschaltet. anny lehnt Anmeldungen ab, deren E-Mail-Adresse der Anbieter als nicht bestätigt meldet. Anbieter, die `email_verified` nicht mitsenden, sind nicht betroffen. |
| **PKCE verwenden** | Ist eingeschaltet. Aktiviert Proof Key for Code Exchange, wenn der Anbieter das verlangt. |
| **Benutzer-ID-Attribut** | Standard `sub`. |
| **E-Mail-Attribut** | Standard `email`. |
| **Vorname-Attribut** | Standard `given_name`. |
| **Nachname-Attribut** | Standard `family_name`. |

## Anforderungen an deinen Identity Provider

anny fragt die Scopes `openid profile email` an und erwartet diese Claims:

| Claim | Zweck |
| - | - |
| `sub` | Dauerhafte Kennung der Person. Der Wert muss stabil bleiben, auch wenn sich Name oder E-Mail-Adresse ändern. |
| `email` | Wird für die Zuordnung zum anny Konto verwendet. |
| `given_name` und `family_name` | Vor- und Nachname. Liefert dein Identity Provider nur `name`, genügt das ebenfalls. |
| `email_verified` | Optional. Ist **Bestätigte E-Mail-Adresse verlangen** eingeschaltet und meldet der Anbieter hier `false`, lehnt anny den Login ab. Fehlt der Claim, bleibt die Anmeldung möglich. |

## Verwandte Artikel

> **[SSO Übersicht](https://docs.anny.co/sso-overview.md)**
>
> Welche Anmeldeverfahren anny unterstützt und wann sich welches eignet.

> **[Attribute Mapping](https://docs.anny.co/attribute-mapping.md)**
>
> Nutzer:innen anhand der Angaben deines Identity Providers automatisch Communities zuordnen.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.