Optionen zum Single-Sign-On (SSO) in Zendesk Support

Neben der von Zendesk Support bereitgestellten Benutzerauthentifizierung können Sie auch den Single-Sign-On (SSO) verwenden. Dabei werden Benutzer außerhalb von Zendesk Support authentifiziert. Es gibt drei Arten von SSO: Social-Media-Konten, Business-Konten und Enterprise.

In diesem Beitrag werden folgende Themen behandelt:

• Grundlegende Fakten zu SSO
• SSO über Social-Media- und Business-Konten
• Enterprise-SSO

Verwandte Beiträge:

• Bereitstellen mehrerer Anmeldeoptionen für Teammitglieder und Endbenutzer
• Aktivieren von Single-Sign-On über JWT
• Aktivieren von Single-Sign-On über SAML

Grundlegende Fakten zu SSO

Nachfolgend einige grundlegende Fakten zur den verfügbaren SSO-Optionen. Diese werden in diesem Beitrag genauer behandelt.

• Administratoren und Agenten können sich über ihr Google-, Microsoft- oder Zendesk-Konto anmelden bzw. direkt zu ihrer Zendesk-URL gehen und dort ihren Benutzernamen und ihr Kennwort eingeben. Endbenutzer können sich über ihr Zendesk-Konto und über alle ihre Social-Media- und Business-Konten anmelden.
• Wenn Ihre Zendesk Support-Instanz geschlossen oder beschränkt ist und ein Benutzer versucht, sich mit einer anderen als der in Zendesk Support registrierten E-Mail-Adresse anzumelden, wird seine Authentifizierungsanforderung abgewiesen.
• Sie können jeweils bis zu zwei aktive JWT- und SAML-Authentifizierungskonfigurationen definieren.
• Wenn Endbenutzern oder Teammitgliedern mehrere SSO-Konfigurationen zugewiesen sind, müssen Sie eine davon als primäre Authentifizierungsmethode festlegen.
• Unabhängig davon, welche Authentifizierungsmethode Sie wählen, speichert Zendesk alle Benutzer in derselben Datenbank.
• Wenn Sie einen Drittanbieter zu Authentifizierungszwecken verwenden, müssen Sie die Zendesk-App mit dem Identity Provider konfigurieren.
• Die Anwendung individueller SSO-Optionen auf unterschiedliche Marken ist nur mit einem angepassten Skript für JWT möglich.
• Wenn Sie ein Platzhalterzeichen (*) in der Blockierliste eingeben, sind Benutzer nicht mehr in der Lage, sich über SSO zu authentifizieren oder ein Konto zu erstellen. Weitere Informationen finden Sie unter Verwenden der Zulassungsliste und Blockierliste zur Steuerung des Zugriffs auf Zendesk Support.

Wichtig: Wenn Sie JWT- oder SAML-basiertes SSO verwenden, sind Sie für die Überprüfung der Identität Ihrer Benutzer verantwortlich, einschließlich E-Mail-Adressen. Wenn Sie Benutzer und ihre E-Mail-Adressen nicht verifizieren, besteht das Risiko, dass Unbefugte auf Ihr Konto zugreifen. Zendesk kann die Sicherheit Ihres Kontos nicht garantieren.

SSO über Social-Media- und Business-Konten

SSO über Social-Media- und Business-Konten sind zusätzliche Anmeldeoptionen, die Sie für Ihre Kunden bereitstellen können. Sie können diese Optionen auf der Anmeldeseite Ihres Help Centers anbieten, damit Benutzer sich über ihr Zendesk Support-Konto oder über ein Social-Media- oder Business-Konto anmelden können. Teammitglieder können für die Authentifizierung nur Business-Konten verwenden, Endbenutzer auch Social-Media-Konten.

Social-Media-Konten sind Facebook und Twitter. Business-Konten sind Google und Microsoft.

Für SSO über Business-Konten gilt Folgendes:

• Google: Zur Anmeldung über Google wird sowohl Gmail als auch Google Apps unterstützt. Der Federated Login Service ist bei Google Apps für Business- und Education-Konten standardmäßig deaktiviert. Der Domänenadministrator kann den Federated Login Service vom Control Panel aus aktivieren: http://www.google.com/a/cpanel/yourdomain/SetupIdp, wobei yourdomain für Ihre Domäne steht. Die Business-Konto-Authentifizierung unterstützt vom Benutzer oder für die Google Apps-Domäne (Google Authenticator) aktivierte Zwei-Faktor-Authentifizierung.
• Microsoft: Die Anmeldung über Microsoft wird in der mobilen Zendesk Support-App für iPad nicht unterstützt.

Anweisungen zum Hinzufügen von SSO für Social-Media- und Business-Konten zu Ihrer Anmeldeseite finden Sie unter Aktivieren von Single-Sign-On (SSO) über Social-Media- und Business-Konten.

Enterprise-SSO

Sie können verlangen, dass sich Benutzer mit Enterprise-SSO anmelden, oder Sie können mehrere Anmeldeoptionen aktivieren (z. B. Enterprise-SSO und Zendesk-Authentifizierung), damit Benutzer selbst entscheiden können, wie sie sich anmelden möchten. (Der Begriff „Enterprise“ bezieht sich in diesem Zusammenhang nicht auf Zendesk Enterprise-Pläne.) Weitere Informationen finden Sie unter Bereitstellen mehrerer Anmeldeoptionen für Teammitglieder und Endbenutzer.

In diesem Abschnitt werden folgende Themen behandelt:

• Übersicht über das Enterprise-Single-Sign-On
• Optionen für das Enterprise-Single-Sign-On

Überblick über Enterprise-SSO

Wenn Sie Benutzer zu Enterprise-SSO umleiten, wird Zendesk ganz umgangen, und die Benutzerauthentifizierung findet extern statt. Wenn Benutzer zu Ihrer Zendesk-Anmeldeseite navigieren oder auf einen Link klicken, um auf Ihr Zendesk-Konto zuzugreifen, können sie sich authentifizieren, indem sie sich bei einem Unternehmensserver oder einem Identitätsanbieter eines Drittanbieters, wie OneLogin oder Okta, anmelden. Wenn Sie Enterprise-SSO aktivieren, wirkt sich dies auch auf die iOS- und Android-Versionen der mobilen Zendesk Support-App aus.

Hinweis: Die Aktivierung von Enterprise-SSO für eine einzelne Marke ist nur mit einem angepassten Skript für JWT SSO möglich.

Bei Enterprise-SSO durchläuft ein Benutzer bei der Anmeldung folgende Schritte:

1. Der Benutzer geht zu einer Zendesk-Seite oder ‑Subdomäne.
2. Wenn der Benutzer noch nicht authentifiziert ist, wird er zur Anmeldeseite Ihres Unternehmensservers oder eines externen Identity Providers weitergeleitet (je nach ausgewählter Option für Enterprise-SSO).
3. Der Benutzer gibt seine Anmeldeinformationen ein.
4. Wenn sie gültig sind, kehrt der Benutzer zur ursprünglichen Zendesk-Seite zurück.

Hinweis: Der Benutzer kann den Anmeldevorgang auch auf der Anmeldeseite Ihres Unternehmensservers oder eines externen Identity Providers beginnen. Er wird dann beim Zugriff auf Zendesk automatisch authentifiziert.

Sowohl Endbenutzer als auch Teammitglieder können sich per Enterprise-SSO bei Ihrer Zendesk Support-Instanz anmelden. Sie können Enterprise-SSO wahlweise nur für Endbenutzer, nur für Teammitglieder oder für beide Gruppen konfigurieren.

Der Vorteil von Enterprise-SSO ist, dass Sie hinter Ihrer Firewall vollständige Kontrolle über Ihre Benutzer haben. Sie brauchen Ihre Benutzer nur einmal zu authentifizieren – anhand Ihres eigenen Benutzerauthentifizierungssystems – und können ihnen dann Zugriff auf zahlreiche Ressourcen inner- und außerhalb der Firewall gewähren. Die Benutzerverwaltung erfolgt zwar außerhalb von Zendesk, aber das Benutzerauthentifizierungssystem Ihres Unternehmens wird dennoch mit Zendesk synchronisiert. Wenn Sie ein Benutzerkonto für einen neuen Mitarbeiter hinzufügen, kann dieser sofort auf Zendesk zugreifen. Analog dazu kann ein Mitarbeiter nicht mehr auf Zendesk zugreifen, wenn Sie sein Benutzerkonto löschen.

Standardmäßig speichert Zendesk für einen Benutzer nur den Namen und die E-Mail-Adresse. Es ist aber möglich, weitere Benutzerdaten mit Zendesk zu synchronisieren, wie z. B. die Organisation des Benutzers.

Sie haben die Möglichkeit, die Zendesk-Authentifizierung neben Ihrer Enterprise-SSO-Authentifizierung beizubehalten. Wenn Sie sich entschließen, die Zendesk-Authentifizierung zu deaktivieren, werden alle Zendesk-Benutzerkennwörter innerhalb von 24 Stunden dauerhaft gelöscht.

Wenn Ihr SSO-Dienst vorübergehend nicht verfügbar ist, können Sie trotzdem auf Ihr Zendesk-Konto zugreifen. Weitere Informationen finden Sie unter Zugreifen auf Ihr Zendesk-Konto, wenn Ihr SSO-Dienst nicht verfügbar ist.

Enterprise-SSO-Optionen

In Zendesk gibt es zwei Optionen für Enterprise-SSO:

• JSON Web Token (JWT): Anmeldedaten und Benutzerinformationen werden anhand eines Zendesk Shared Secret verschlüsselt und im JSON-Format übertragen. Weitere Informationen zum Konfigurieren von Single-Sign-On über JWT finden Sie unter Aktivieren von Single-Sign-On über JWT
• Secure Assertion Markup Language (SAML): SAML wird von vielen Identity Providern unterstützt, darunter Okta, OneLogin, Active Directory und LDAP. Weitere Informationen zum Konfigurieren von Single-Sign-On über SAML finden Sie unter Aktivieren von Single-Sign-On über SAML.

Sie können dieselbe Option für alle Benutzer oder verschiedene Optionen für unterschiedliche Benutzergruppen verwenden. Dies ist ideal, wenn es verschiedene Benutzergruppen an separaten Standorten gibt, die nicht zusammengeführt werden sollen. Wenn Sie mehrere Enterprise-SSO-Konfigurationen verwenden möchten, müssen Sie eine von ihnen als primäre Authentifizierungsmethode festlegen. Wenn ein Benutzer sich anmeldet, wird er zur Anmeldeseite für die primäre Authentifizierungsmethode weitergeleitet. Der Benutzer kann alternative Methoden verwenden, indem er die Anmeldeseite für die sekundäre Methode aufruft. Weitere Informationen finden Sie unter Verwenden unterschiedlicher SSO-Methoden (SAML und JWT) für Agenten und Endbenutzer.