> ## Documentation Index
> Fetch the complete documentation index at: https://docs.langdock.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft Entra ID SAML Einrichtung

> Ermögliche deinen Nutzern, sich mit ihren Entra ID-Konten über SAML 2.0 bei Langdock anzumelden.

## Überblick

Diese Anleitung führt dich durch die Konfiguration von SAML Single Sign-On mit Microsoft Entra ID. Du erstellst eine Unternehmensanwendung in Entra ID, konfigurierst die SAML-Einstellungen und stellst eine sichere Verbindung zwischen deinem Identity Provider und Langdock her.

Nach Abschluss können sich deine Nutzer mit ihren Entra ID-Anmeldedaten bei Langdock anmelden.

## Setup Checkliste

Stelle sicher, dass du diese Schritte aus der [Setup Checkliste](/de/admin/security/saml/saml#setup-checkliste) abgeschlossen hast:

<Warning>
  * Du hast Zugriff auf ein Administratorkonto in deinem Langdock Workspace
  * "Beitritt per Domain" ist in deinen Langdock Sicherheitseinstellungen aktiviert
  * Deine Domain ist in deinen Langdock Sicherheitseinstellungen hinzugefügt und verifiziert
  * Du hast ein Entra ID-Konto mit der Möglichkeit, Unternehmensanwendungen zu erstellen und zu verwalten
</Warning>

## Erstellen einer neuen Unternehmensanwendung in Entra ID

Zunächst musst du eine neue Unternehmensanwendung in deinem Entra ID-Portal erstellen.\
Gehe dazu wie folgt vor:

1. Navigiere in deinem Entra ID-Portal zur Übersichtsseite und füge eine neue Unternehmensanwendung unter "+ Hinzufügen" -> "Unternehmensanwendung" hinzu.
2. Erstelle eine neue benutzerdefinierte Anwendung, indem du auf "+ Eigene Anwendung erstellen" klickst.
3. Benenne deine Anwendung (z.B. "Langdock")
4. Wähle die Option "Eine andere Anwendung integrieren, die nicht in der Galerie ist (Nicht-Galerie)"

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-1.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=59911b83dfb777b268b2e3da3e3c0ad0" alt="" width="3024" height="804" data-path="images/entra-id-1.png" />

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-2.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=e3842dc0dddc4c40284914a28bba564f" alt="" width="3024" height="1890" data-path="images/entra-id-2.png" />

## SAML-Konfiguration

Langdock verwendet SAML 2.0 als Standard für die SSO-Authentifizierung. Nach dem Erstellen der Anwendung musst du die SAML-Einstellungen konfigurieren, die es Langdock ermöglichen, Nutzer über SAML zu authentifizieren.

Navigiere zunächst zu den "Single Sign-On"-Einstellungen deiner neu erstellten Anwendung, indem du "Single Sign-On einrichten" auswählst und "SAML" als Single Sign-On-Methode wählst.

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-3.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=74b01eadc9d91578e85ab3f7f8bbe780" alt="" width="3024" height="1712" data-path="images/entra-id-3.png" />

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-4.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=d8a008ca4aa7ddcd1960bf0f0f641af5" alt="" width="3024" height="1608" data-path="images/entra-id-4.png" />

Als Nächstes musst du die SAML-Metadaten von Langdock abrufen, die du in deinen [Sicherheitseinstellungen](https://app.langdock.com/settings/workspace/security) findest, nachdem du den "SAML Aktiv"-Schalter aktiviert hast.

Hier musst du zwei Werte aus den SAML-Metadaten kopieren:

1. Den Wert "Audience URI (SP Entity ID)" (`langdock.com`)
2. Den Wert "Assertion Consumer Service (ACS) URL"

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-5.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=a8e02271ad78ef68ff457a96fe9505ce" alt="" width="3024" height="1816" data-path="images/entra-id-5.png" />

Jetzt kannst du die SAML-Einstellungen in deinem Entra ID-Portal konfigurieren, indem du zunächst auf "Bearbeiten" im Abschnitt "Basis-SAML-Konfiguration" klickst und dann die folgenden Werte einträgst:

1. "Kennung (Entitäts-ID)": Der Wert "Audience URI (SP Entity ID)" von Langdock
2. "Antwort-URL (Assertion Consumer Service URL)": Der Wert "Assertion Consumer Service (ACS) URL" von Langdock

Die anderen Felder kannst du leer lassen oder mit ihren Standardwerten belassen. Speichere abschließend die Konfiguration, indem du auf "Speichern" klickst.

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-6.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=4d9b562a15d7802f8181c4324cd3a062" alt="" width="3024" height="1608" data-path="images/entra-id-6.png" />

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-7.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=8ad9fe4523a860a0b0c86f659306f43e" alt="" width="3024" height="1816" data-path="images/entra-id-7.png" />

Wenn du in Langdock **SAML-Anfragen signieren** aktivierst, konfiguriere in Entra ID auch die Verifizierung signierter Anfragen. Öffne unter **"SAML-Zertifikate"** die **"Verifizierungszertifikate"**, aktiviere **"Verifizierungszertifikate erforderlich"** und lade das SP-Zertifikat hoch, das du in Langdock über **SP-Zertifikat herunterladen** heruntergeladen hast.

Du musst auch die Standard-SAML-Zertifikatskonfiguration ändern, indem du auf "Bearbeiten" im Abschnitt "SAML-Zertifikate" > "Token-Signaturzertifikat" klickst und:

1. Die "Signaturoptionen" auf "SAML-Antwort und -Assertion signieren" setzen
2. Den "Signaturalgorithmus" auf "SHA-256" setzen

Speichere abschließend die SAML-Zertifikatskonfiguration, indem du auf "Speichern" klickst.

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-8.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=a7309600a9244b204eaa87bfdc7a6f92" alt="" width="3024" height="1552" data-path="images/entra-id-8.png" />

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-9.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=48d5838f0b1c4e724df98fc0353dc473" alt="" width="3024" height="1552" data-path="images/entra-id-9.png" />

Um die SAML-Einrichtung abzuschließen, musst du die Anmelde-URL und das SAML-Signaturzertifikat von Entra ID zu Langdock kopieren.

1. Klicke im Abschnitt "SAML-Signaturzertifikat" deines Entra ID-Portals auf "Herunterladen" neben dem Link "Zertifikat (Base64)", um das Zertifikat herunterzuladen. Kopiere das gesamte Zertifikat, sodass Anfang und Ende mit dem folgenden Beispiel übereinstimmen:

```
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
```

2. Kopiere den Wert "Anmelde-URL" aus dem Abschnitt "Langdock einrichten" in deinem Entra ID-Portal.

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-10.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=5baeba97fec40bad3ff22ef1edbf1cfc" alt="" width="3024" height="1816" data-path="images/entra-id-10.png" />

Navigiere in deinem Langdock Workspace zu den [Sicherheitseinstellungen](https://app.langdock.com/settings/workspace/security) und füge die kopierten Werte in die entsprechenden Felder ein:

1. Fülle das Feld "Aussteller" mit der zuvor angegebenen Audience URI (`langdock.com`).
2. Füge den Wert "Anmelde-URL" von Entra ID in das Feld "Anmelde-URL" ein.
3. Füge den Inhalt des SAML-Signaturzertifikats in das Feld "Zertifikat" ein.

<img src="https://mintcdn.com/langdock-34/2n8cHgwWLBL0mAFJ/images/entra-id-11.png?fit=max&auto=format&n=2n8cHgwWLBL0mAFJ&q=85&s=97c133ad46808676f2c9f22e56791592" alt="" width="3024" height="1816" data-path="images/entra-id-11.png" />

## Nutzer der Anwendung zuweisen

Bevor sich Nutzer über SAML bei Langdock anmelden können, müssen sie der Enterprise-Anwendung in Entra ID zugewiesen werden.

Standardmäßig verlangt Entra ID eine explizite Nutzerzuweisung, um unbefugten Zugriff zu verhindern. Gehe so vor, um Nutzern Zugang zu gewähren:

1. Navigiere in deinem Entra ID-Portal zur **Langdock** Enterprise-Anwendung
2. Wähle im linken Menü **"Benutzer und Gruppen"**
3. Klicke auf **"+ Benutzer/Gruppe hinzufügen"**
4. Klicke unter **"Benutzer"** auf **"Keine ausgewählt"** und suche nach den Nutzern, denen du Zugriff geben möchtest
5. Wähle die Nutzer oder Gruppen aus, die Zugriff auf Langdock erhalten sollen
6. Klicke auf **"Auswählen"** und dann auf **"Zuweisen"**

<Note>
  **Best Practice**: Für Organisationen mit mehreren Nutzern empfehlen wir, eine dedizierte Entra ID-Sicherheitsgruppe zu erstellen (z.B. "Langdock Users") und diese Gruppe der Anwendung zuzuweisen. Das erleichtert die Zugriffsverwaltung, wenn dein Team wächst.
</Note>

### Alternative: Alle Nutzer zulassen

Wenn alle Nutzer in deiner Organisation automatisch Zugriff auf Langdock erhalten sollen, ohne explizite Zuweisung:

1. Navigiere in deinem Entra ID-Portal zur **Langdock** Enterprise-Anwendung
2. Wähle im linken Menü **"Eigenschaften"**
3. Setze **"Zuweisung erforderlich?"** auf **"Nein"**
4. Klicke auf **"Speichern"**

<Warning>
  Wenn du die Zuweisungspflicht deaktivierst, kann jeder Nutzer in deinem Entra ID-Mandanten auf Langdock zugreifen. Nutze diese Option nur, wenn du organisationsweiten Zugriff gewähren möchtest.
</Warning>

## Testen der SAML-Einrichtung

<Info>
  Um die Einrichtung zu testen, bleibe bitte in der aktuellen Browsersitzung angemeldet und öffne einen separaten Browser oder ein Inkognito-Fenster und navigiere zu [https://app.langdock.com](https://app.langdock.com).
</Info>

Gib eine E-Mail-Adresse eines Nutzers in deinem Entra ID-Konto ein und klicke auf "Fortfahren".\
Du wirst zur Entra ID-Anmeldeseite weitergeleitet, wo du deine Anmeldedaten eingeben kannst.\
Nach erfolgreicher Authentifizierung wirst du zu Langdock zurückgeleitet und angemeldet.

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-12.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=70f18477ceffdc061a35432323150633" alt="" width="3024" height="1816" data-path="images/entra-id-12.png" />

<img src="https://mintcdn.com/langdock-34/n3Mlc6DLTZAKfh4q/images/entra-id-13.png?fit=max&auto=format&n=n3Mlc6DLTZAKfh4q&q=85&s=b69fe586b3b120bb327f37ad4b7b389e" alt="" width="3024" height="1816" data-path="images/entra-id-13.png" />

## Mehrere Entra ID-Mandanten mit demselben Workspace

Langdock unterstützt pro Workspace nur einen Identity Provider, sodass das direkte Verbinden mehrerer Entra-Mandanten nicht möglich ist.

Der empfohlene Ansatz ist, die gesamte Authentifizierung über einen zentralen Hub-Mandanten zu führen und Microsofts B2B, mandantenübergreifende Synchronisierung sowie mandantenübergreifende Zugriffsrichtlinien zu nutzen, um Nutzer aus anderen Mandanten automatisch einzubinden.

## Mehrere Workspaces mit demselben Entra ID-Mandanten

<Note>
  Wenn du mehrere Langdock Workspaces mit demselben Entra ID-Mandanten verbinden möchtest, ist das möglich – erfordert aber eine manuelle Konfiguration durch das Langdock-Team.
</Note>

Für jeden weiteren Workspace musst du folgende Schritte durchführen:

1. **Frage das Langdock-Team** unter [support@langdock.com](mailto:support@langdock.com), ob sie einen neuen Workspace für dich erstellen und dir die **Assertion Consumer Service (ACS) URL zur Verfügung** stellen können
2. **Erstelle eine separate Unternehmensanwendung** in Entra ID für jeden Workspace, den du anbinden möchtest (nach demselben Ablauf wie oben beschrieben)
3. **Verwende eine eindeutige Kennung (Entity ID)** für jede App-Registrierung. Statt `langdock.com` verwendest du eine eindeutige Kennung wie z.B. `deinefirma.langdock.com` oder `workspace-name.langdock.com`
4. Gib die vom Langdock Support bereitgestellte Assertion Consumer Service (ACS) URL ein.
5. **Kontaktiere den Langdock-Support** unter [support@langdock.com](mailto:support@langdock.com) mit folgenden Informationen für jeden zusätzlichen Workspace:
   * Der **Aussteller** (deine eindeutige Entity ID)
   * Die **Anmelde-URL** (Sign-on URL)
   * Das **Zertifikat** (Base64)
   * Alle **E-Mail Domains** der User, die den neuen Workspace beitreten werden. Mehr Infos dazu [hier](https://docs.langdock.com/de/settings/security/scim/entra#voraussetzungen-2).

<Warning>
  Du kannst nicht selbst mehrere SAML-Workspaces konfigurieren. Das Langdock-Team muss die zusätzlichen Workspaces manuell im Backend konfigurieren. Wir bieten dies nur für unsere Enterprise-Kunden an. Beachte außerdem, dass wir Benutzer / Chats / Agenten nicht in andere Workspaces migrieren können.
</Warning>

### Verhalten beim Workspace-Wechsel

Wenn Nutzer Zugriff auf mehrere SAML-aktivierte Workspaces mit derselben Domain haben:

* Nach Eingabe ihrer E-Mail-Adresse beim Login erscheint eine **Workspace-Auswahl**, über die sie den gewünschten Workspace auswählen können
* Der reguläre "Workspace wechseln"-Button ist für SAML-Nutzer **nicht verfügbar**
* Um zwischen Workspaces zu wechseln, müssen sich Nutzer **abmelden und erneut anmelden** – anschließend können sie den gewünschten Workspace aus der Auswahl wählen

## Fehlerbehebung

Wenn du während der Einrichtung auf Probleme stößt, wende dich bitte an [support@langdock.com](mailto:support@langdock.com) für Unterstützung.