---
title: "Entra ID & SSO"
url: https://doorjames.com/de/integrationen/entra-id-sso/
language: de
updated: 2026-09-22
type: integration
section: integration
description: "Anmeldung über OpenID Connect mit Microsoft Entra ID, Google oder anderen OIDC-Providern. Gruppen steuern Rechte, Domains steuern den Zugang, HTTPS und TLS sind durchgängig erzwungen."
translations: en=https://doorjames.com/integrations/entra-id-sso/
formats: https://doorjames.com/de/integrationen/entra-id-sso/index.md https://doorjames.com/de/integrationen/entra-id-sso/index.json https://doorjames.com/de/integrationen/entra-id-sso/index.jsonld
bookDemo: https://meet.doorjames.app/public-schedule/75ca93c02d82d5ffd035db0f05ca9480 (30 min, Microsoft Teams)
---

# Single Sign-on mit Ihrem Identity Provider

> Door James authentifiziert Nutzende über OpenID Connect gegen den Identity Provider Ihrer Organisation. Microsoft Entra ID und Google sind vorkonfigurierte Muster; weitere OIDC-Provider lassen sich einrichten. Gruppenmitgliedschaften aus dem Verzeichnis steuern Whitelists, Rollen und Buchungsrechte; zugelassene Domains regeln, wer überhaupt in die Organisation gelangt.

Ein Konto weniger: Empfohlen ist Ihr eigener Identity Provider, damit Door James kein weiteres Benutzerverzeichnis wird, das gepflegt werden muss.

## Auf einen Blick

- **Protokoll:** OpenID Connect
- **Vorkonfiguriert:** Microsoft Entra ID, Google
- **Rechte:** Gruppen aus dem Verzeichnis
- **Transport:** HTTPS und TLS erzwungen

## Funktionen

- **OIDC-Anmeldung** – Der Login läuft beim Identity Provider; Door James erhält nur die benötigten Ansprüche.
- **Gruppen und Rollen** – Verzeichnisgruppen werden auf Bereichszugriffe, Rollen und Buchungsregeln abgebildet.
- **Domains und Whitelists** – Eine Organisation kann mehrere zugelassene Domains führen; nicht zugelassene Adressen kommen nicht hinein.
- **Rollenbasierte Rechte** – Vom Organisations-Admin bis zur eingeschränkten Empfangsrolle – Rechte werden pro Rolle und Standort vergeben.

## Warum kein eigenes Login

Ein separates Nutzerkonto pro Anwendung ist in Organisationen ab einigen hundert Mitarbeitenden keine Bequemlichkeitsfrage mehr, sondern ein Sicherheitsrisiko: Vergessene Deaktivierungen beim Austritt, doppelte Stammdaten, eigene Passwortregeln. Die Anbindung eines Identity Providers vermeidet alle drei Punkte – deshalb ist sie der empfohlene Weg und der, den wir in den meisten Rollouts einrichten. Wo kein Identity Provider zur Verfügung steht, lassen sich stattdessen ein Einmalcode per E-Mail oder ein Passcode nutzen: bewusst, je Organisation, statt als Schattenverzeichnis, das von selbst wächst.

## Gruppen als Steuerungsinstrument

Der zweite, oft unterschätzte Effekt betrifft die Pflege: Wenn Bereichszugriffe an Verzeichnisgruppen hängen, wandert ein Teamwechsel automatisch in die Buchungsrechte. Ohne diese Kopplung müsste jede Umstrukturierung in Door James nachgepflegt werden – ein Aufwand, der in der Praxis unterbleibt und dann zu falschen Berechtigungen führt.

## Häufige Fragen

### Unterstützt Door James Keycloak?

Door James spricht OIDC generisch, sodass Keycloak technisch kompatibel ist. Eine produktionsbezogene Zusage machen wir erst nach Bestätigung des aktuellen Entwicklungs- und Teststands.

### Und SAML?

Die SAML-Anmeldung wird unterstützt und ist im Admin Panel konfigurierbar: IdP-Zertifikat, Entity-ID, NameID-Format, Clock Skew, Signaturpflichten und getrennte Service-Provider-Zugänge für Member-App und Panel. Ohne erfolgreichen Verbindungstest lässt sich die Konfiguration nicht speichern. Für eine Ausschreibung stimmen Sie das konkrete Szenario mit uns ab – SAML selbst ist aber gebaut, nicht geplant.

### Brauchen wir SCIM für die Nutzerbereitstellung?

Nutzende entstehen beim ersten Login über OIDC; Profildaten und Gruppen kommen über Graph. Für abweichende Bereitstellungsszenarien sprechen wir über die verfügbaren Wege.

### Gibt es lokale Konten?

Empfohlen und in den meisten Rollouts eingerichtet ist die Anbindung Ihres Identity Providers. Daneben unterstützt Door James einen Einmalcode per E-Mail und einen Passcode als Anmeldeverfahren – nützlich für Standorte ohne Identity Provider und die Voreinstellung einer neuen Organisation, bis ein IdP konfiguriert ist. Welches Verfahren gilt, wird je Organisation festgelegt; wenn Ihre Richtlinie lokale Anmeldung ausschließt, wird sie bewusst abgeschaltet.

## Verwandte Seiten

- [Microsoft 365](https://doorjames.com/de/integrationen/microsoft-365/)
- [Sicherheit & Hosting](https://doorjames.com/de/sicherheit/)
- [API & Drittsysteme](https://doorjames.com/de/integrationen/api-und-drittsysteme/)

---
Door James by CGI · https://doorjames.com · doorjames.support@cgi.com