Hinzufügen eines Partnerverbunds mit SAML/WS-Fed Identitätsanbietern

Gilt für: Mitarbeitermandanten Externe Mandanten (weitere Informationen)

Ihr Microsoft Entra-Mandant kann direkt mit externen Organisationen verbunden werden, die einen SAML- oder WS-Verbund-Identitätsanbieter (IDP) verwenden. Benutzer aus der externen Organisation können dann ihre eigenen idP-verwalteten Konten verwenden, um sich bei Ihren Apps oder Ressourcen anzumelden, entweder während der Einladungseinlösung oder der Self-Service-Registrierung, ohne neue Microsoft Entra-Anmeldeinformationen erstellen zu müssen. Der Benutzer wird beim Registrieren oder Anmelden bei Ihrer App zu ihrem IdP umgeleitet und nach der erfolgreichen Anmeldung an Microsoft Entra zurückgegeben.

Voraussetzungen

• Überprüfen Sie die Konfigurationsdetails bei SAML/WS-Fed-Identitätsanbietern.
• Ein Mitarbeitermandant oder ein externer Mandant.

So konfigurieren Sie den SAML/WS-Fed IdP-Verbund

Schritt 1: Ermitteln, ob der Partner seine DNS-Textdatensätze aktualisieren muss

Führen Sie die folgenden Schritte aus, um zu ermitteln, ob der Partner seine DNS-Einträge aktualisieren muss, um den Partnerverbund mit Ihnen zu aktivieren.

1. Überprüfen Sie die passive IdP-Authentifizierungs-URL des Partners, um festzustellen, ob die Domäne mit der Zieldomäne oder einem Host innerhalb der Zieldomäne übereinstimmt. Anders ausgedrückt: Beim Einrichten eines Verbunds für fabrikam.com gilt Folgendes:

   • Wenn der passive Authentifizierungsendpunkt https://fabrikam.com oder https://sts.fabrikam.com/adfs (ein Host in derselben Domäne) lautet, sind keine DNS-Änderungen erforderlich.
   • Wenn der passive Authentifizierungsendpunkt https://fabrikamconglomerate.com/adfs oder https://fabrikam.co.uk/adfs lautet, stimmt die Domäne nicht mit der fabrikam.com-Domäne überein. Der Partner muss seiner DNS-Konfiguration daher einen Texteintrag für die Authentifizierungs-URL hinzufügen.

2. Wenn gemäß dem vorherigen Schritt DNS-Änderungen erforderlich sind, bitten Sie den Partner, den DNS-Einträgen seiner Domäne einen TXT-Eintrag hinzuzufügen, wie im folgenden Beispiel gezeigt:

   fabrikam.com.  IN   TXT   DirectFedAuthUrl=https://fabrikamconglomerate.com/adfs

Schritt 2: Konfigurieren des IdPs des Partnerunternehmens

Als Nächstes muss Ihr Partnerunternehmen ihren IdP mit den erforderlichen Ansprüchen und Vertrauensstellungen der vertrauenden Seite konfigurieren. Damit eine Föderation ordnungsgemäß funktioniert, erfordert Microsoft Entra External ID, dass der externe IdP bestimmte Attribute und Ansprüche sendet, die am externen IdP konfiguriert werden müssen.

So konfigurieren Sie einen SAML 2.0-Identitätsanbieter

Microsoft Entra External ID erfordert, dass die SAML 2.0-Antwort des externen IdP bestimmte Attribute und Claims enthält. Die erforderlichen Attribute und Ansprüche können im externen IdP entweder konfiguriert werden:

• Verknüpfung mit der XML-Datei des Online-Sicherheitstokens-Dienstes oder
• Manuelles Eingeben der Werte

In den folgenden Tabellen finden Sie die erforderlichen Werte.

Tabelle 1: Erforderliche Attribute für die SAML 2.0-Antwort vom IdP.

Tabelle 2: Erforderliche Ansprüche für das VOM IDP ausgestellte SAML 2.0-Token.

So konfigurieren Sie einen WS-Fed Identitätsanbieter

Microsoft Entra External ID erfordert, dass die WS-Fed-Nachricht des externen IdP bestimmte Attribute und Ansprüche enthält. Die erforderlichen Attribute und Ansprüche können im externen IdP entweder konfiguriert werden:

• Verknüpfung mit der XML-Datei des Online-Sicherheitstokens-Dienstes oder
• Manuelles Eingeben der Werte

Erforderliche WS-Verbund-Attribute und -Ansprüche

In den folgenden Tabellen sind die Anforderungen für bestimmte Attribute und Ansprüche aufgeführt, die bei dem Drittanbieter WS-Fed-IdP konfiguriert werden müssen. Die folgenden Attribute müssen in der WS-Fed-Nachricht vom Identitätsanbieter empfangen werden, um einen Verbund einzurichten. Diese Attribute können durch Verlinkung mit der XML-Datei des Online-Sicherheitstokendiensts oder durch manuelle Eingabe konfiguriert werden.

In den folgenden Tabellen finden Sie die erforderlichen Werte.

Tabelle 3: Erforderliche Attribute in der WS-Verbund-Nachricht vom Identitätsanbieter

Tabelle 4: Erforderliche Ansprüche für das vom IdP ausgestellte WS-Fed-Token.

Schritt 3: Konfigurieren des SAML/WS-Fed IdP-Verbunds in Microsoft Entra External ID

Konfigurieren Sie als Nächstes den Verbund mit dem in Schritt 1 konfigurierten IdP in Microsoft Entra External ID. Sie können entweder das Microsoft Entra Admin Center oder die Microsoft Graph-API verwenden. Es kann 5–10 Minuten dauern, bis die Verbundrichtlinie wirksam wird. Versuchen Sie während dieses Zeitraums nicht, die Self-Service-Registrierung abzuschließen oder eine Einladung für die Verbunddomäne einzulösen. Die folgenden Attribute sind erforderlich:

• Aussteller-URI des Partneridentitätsanbieters
• Passiver Authentifizierungsendpunkt des Partneridentitätsanbieters (nur HTTPS wird unterstützt)
• Zertifikat

So fügen Sie den IdP zu Ihrem Mandanten im Microsoft Entra Admin Center hinzu

1. Melden Sie sich mindestens in der Rolle eines Administrators für externe Identitätsanbieter im Microsoft Entra Admin Center an.

2. Wenn Sie Zugriff auf mehrere Mandanten haben, verwenden Sie das Symbol "Einstellungen" im oberen Menü, um über das Menü "Verzeichnisse" zu Ihrem Mandanten zu wechseln.

3. Navigieren Sie zu Microsoft Entra ID>Externe Identitäten>alle Identitätsanbieter.

4. Wählen Sie die Registerkarte "Benutzerdefiniert " und dann " Neue>SAML/WS-Fed hinzufügen" aus.

   

5. Geben Sie auf der Seite "Neues SAML/WS-Fed IdP " Folgendes ein:

   • Anzeigename – Geben Sie einen Namen ein, um den IdP des Partners zu identifizieren.
   • Identitätsanbieterprotokoll – Wählen Sie SAML oder WS-Fed aus.
   • Domänenlos – Durch die Auswahl von Domänenlosen wird keine Domänenüberprüfung der E-Mail-Adresse des Benutzers erzwungen. Weitere Informationen finden Sie unter Domainless SAML IdP federation.
   • Domänenname des Partnerverbund-IDP – Geben Sie den IdP-Zieldomänennamen Ihres Partners für den Partnerverbund ein. Geben Sie während dieser anfänglichen Konfiguration nur einen Domänennamen ein. Sie können später weitere Domänen hinzufügen.

   

6. Auswählen einer Methode zum Auffüllen von Metadaten. Wenn Sie über eine Datei verfügen, die die Metadaten enthält, können Sie die Felder automatisch auffüllen, indem Sie die Analysemetadatendatei auswählen und nach der Datei suchen. Alternativ können Sie Eingabemetadaten manuell auswählen und die folgenden Informationen eingeben:

   • Der Aussteller-URI des SAML-IdP des Partners oder die Entitäts-ID des WS-Fed-IdP des Partners.
   • Der Passive Authentifizierungsendpunkt des SAML-IdP des Partners oder der Passive Anfordererendpunkt des WS-Fed IdP des Partners.
   • Zertifikat – Die Signaturzertifikat-ID.
   • Metadaten-URL – Der Speicherort der IdP-Metadaten für die automatische Erneuerung des Signaturzertifikats.

   

   Hinweis

   Metadaten-URL ist optional. Es wird jedoch dringend empfohlen. Wenn Sie die Metadaten-URL angeben, kann Microsoft Entra ID das Signaturzertifikat automatisch verlängern, wenn es abläuft. Wenn das Zertifikat aus irgendeinem Grund vor der Ablaufzeit gedreht wird oder Wenn Sie keine Metadaten-URL angeben, kann die Microsoft Entra-ID sie nicht verlängern. In diesem Fall müssen Sie das Signaturzertifikat manuell aktualisieren.

7. Wählen Sie "Speichern" aus. Der Identitätsanbieter wird der SAML/WS-Fed Identitätsanbieterliste hinzugefügt.

   

8. (Optional) So fügen Sie diesem Verbundidentitätsanbieter weitere Domänennamen hinzu:

   1. Wählen Sie den Link in der Spalte "Domänen" aus.

      

   2. Geben Sie neben dem Domänennamen des Partner-IDP den Domänennamen ein, und wählen Sie dann "Hinzufügen" aus. Wiederholen Sie diesen Schritt für jede Domäne, die Sie hinzufügen möchten. Wenn Sie fertig sind, wählen Sie "Fertig" aus.

      

So konfigurieren Sie den Verbund mit der Microsoft Graph-API

Sie können den Ressourcentyp samlOrWsFedExternalDomainFederation der Microsoft Graph-API verwenden, um einen Partnerverbund mit einem Identitätsanbieter einzurichten, der entweder das SAML- oder das WS-Fed-Protokoll unterstützt.

Schritt 4: Konfigurieren des Einlösungsauftrags (B2B-Zusammenarbeit in Mitarbeitermandanten)

Wenn Sie den Verbund in Ihrem Mitarbeitermandanten für B2B Collaboration mit einer überprüften Domäne konfigurieren, stellen Sie sicher, dass der Partneridentitätsanbieter zunächst beim Einlösen der Einladung verwendet wird. Konfigurieren Sie die Einstellungen für die Einlösereihenfolge in Ihren mandantenübergreifenden Zugriffseinstellungen für den eingehenden B2B Collaboration-Datenverkehr. Verschieben Sie SAML/WS-Fed Identitätsanbieter an den Anfang der Liste der primären Identitätsanbieter , um die Einlösung mit dem Verbund-IDP zu priorisieren.

Sie können das Partnerverbundsetup testen, indem Sie einen neuen B2B-Gastbenutzer einladen. Ausführliche Informationen finden Sie unter Hinzufügen von Microsoft Entra B2B-Benutzern für die Zusammenarbeit im Microsoft Entra Admin Center.

Domänenlose SAML-IdP-Föderation

Der herkömmliche Partnerverbund in Microsoft Entra ID erfordert, dass Sie eine benutzerdefinierte Domäne (z. B. contoso.com) überprüfen und diese Domäne so konfigurieren, dass Authentifizierungsanforderungen an einen externen SAML-Identitätsanbieter (IdP) umgeleitet werden. In diesem Setup wird die Domäne des vom externen IdP bereitgestellten E-Mail-Anspruchs nach der Authentifizierung anhand der Domäne überprüft, die dem konfigurierten SAML-IdP in Microsoft Entra ID zugeordnet ist.

Wenn sich die E-Mail-Domäne des Benutzers von der domäne unterscheidet, die auf dem SAML-IdP konfiguriert ist (z. B. yahoo.com oder gmail.com), tritt bei der Anmeldung möglicherweise der folgende Fehler auf:

AADSTS5000819: SAML Assertion ist ungültig. Der E-Mail-Adressanspruch fehlt oder stimmt nicht mit der Domäne aus einem externen Bereich überein.

Dieser Fehler tritt normalerweise in den folgenden Fällen auf:

• Der externe SAML-IdP sendet keinen E-Mail-Anspruch oder
• Die vom IdP bereitgestellte E-Mail-Adressdomäne stimmt nicht mit der Domäne überein, die auf dem externen IdP in Microsoft Entra ID konfiguriert ist.

Auch wenn ein E-Mail-Anspruch vorhanden ist, schlägt die Authentifizierung möglicherweise immer noch fehl, wenn die E-Mail-Domäne aufgrund der domänenbasierten Übereinstimmungsanforderungen nicht mit der konfigurierten IdP-Domäne übereinstimmt.

Der domänenlose SAML-Partnerverbund mit einem SAML-Identitätsanbieter ermöglicht externen Benutzern, sich mit ihren idP-verwalteten Anmeldeinformationen unabhängig von ihrer E-Mail-Domäne bei Ihren Apps oder Personalressourcen zu authentifizieren. Die domänenlose Verbundauthentifizierung macht einen Domänenabgleich zwischen der E-Mail-Adresse des Benutzers und vorkonfigurierten IdP-Domänen bei der Anmeldung oder beim Einlösen einer Einladung überflüssig.

Konfigurieren eines domänenlosen SAML-IdP-Partnerverbunds

Um die Einschränkung für den Domänenvergleich zu beheben, können Sie den SAML-IdP als domänenlos konfigurieren. Wenn domänenloser Partnerverbund aktiviert ist:

• Microsoft Entra ID leitet Authentifizierungsanforderungen basierend auf der Aussteller-URI-Zuordnung an die konfigurierte SAML-IDP weiter.
• Die E-Mail-Adressdomäne des Benutzers wird nicht mit der für den IdP konfigurierten Domäne abgeglichen.

Benutzer können sich dann erfolgreich mithilfe von E-Mail-Adressen aus einer beliebigen Domäne (z. B. yahoo.com oder gmail.com) authentifizieren, wenn Sie sich mit dem externen SAML-IdP anmelden.

Führen Sie die folgenden Schritte aus, um einen domänenlosen Partnerverbund für einen neuen SAML-IdP zu aktivieren:

• Wählen Sie auf der Seite "Neue SAML/WS-Fed IdP" die Option "Domänelos" aus. Wenn Sie "Domainless" auswählen, wird keine Domänenüberprüfung der E-Mail-Adresse des Benutzers erzwungen.

  

Benutzerfluss für domänenlosen SAML-IdP-Verbund

Nach dem Konfigurieren des domänenlosen Partnerverbunds können Sie Gastbenutzer aus der Partnerorganisation einladen, indem Sie die folgenden Schritte ausführen:

1. Navigieren Sie im Microsoft Entra Admin Center zu Identity>Users>All users.
2. Wählen Sie +Neuer Benutzer und dann "Externen Benutzer einladen" aus.
3. Geben Sie die E-Mail-Adresse des Gastbenutzers ein. Die E-Mail-Domäne muss nicht mit einer überprüften Domäne in Ihrem Mandanten übereinstimmen.
4. Fügen Sie in der Einladungsumleitungs-URL einen domain_hint Parameter hinzu, um sicherzustellen, dass der Benutzer basierend auf dem konfigurierten Aussteller-URI an den entsprechenden IDP weitergeleitet wird. Der wert domain_hint muss mit dem in der SAML IdP-Konfiguration definierten Aussteller-URI übereinstimmen.
5. Schließen Sie die Einladung ab, und senden Sie sie.
6. Wenn der eingeladene Benutzer die Einladung einlöst, leitet Microsoft Entra ID die Authentifizierungsanforderung mithilfe des Aussteller-URI im Parameter domain_hint an den konfigurierten SAML-IdP weiter.
7. Der Benutzer authentifiziert sich mit dem externen SAML-IdP. Die E-Mail-Adressdomäne des Benutzers wird nicht mit der für den IdP konfigurierten Domäne abgeglichen, und der Benutzer kann auf den Ressourcenmandanten zugreifen.
8. Bei nachfolgenden Anmeldungen kann der Benutzer direkt auf die Ressourcenmandantenanwendung zugreifen, indem er sich mit dem externen SAML-IdP authentifiziert, da das Benutzerobjekt mit der externen IdP-Zuordnung aktualisiert wird.

Bekannte Probleme

Das folgende bekannte Problem wird aktiv behoben, und dieser Abschnitt wird aktualisiert, nachdem der Fix verfügbar ist.

• Die IdP-Konfiguration wird gelöscht, wenn ein ungültiger Domänenname eingegeben wird, auch wenn die IdP-Konfiguration nicht gespeichert wird.

So aktualisieren Sie die Zertifikat- oder Konfigurationsdetails

Auf der Seite „Alle Identitätsanbieter“ können Sie die Liste der konfigurierten SAML/WS-Fed-Identitätsanbieter und deren Zertifikatsablaufdaten anzeigen. In dieser Liste können Sie Zertifikate verlängern und andere Konfigurationsdetails ändern.

1. Melden Sie sich mindestens in der Rolle eines Administrators für externe Identitätsanbieter im Microsoft Entra Admin Center an.

2. Navigieren Sie zu Microsoft Entra ID>Externe Identitäten>alle Identitätsanbieter.

3. Wählen Sie die Registerkarte "Benutzerdefiniert" aus.

4. Scrollen Sie zu einem Identitätsanbieter in der Liste, oder verwenden Sie das Suchfeld.

5. So aktualisieren Sie die Zertifikats- oder Konfigurationsdetails

   • Wählen Sie in der Spalte "Konfiguration" für den Identitätsanbieter den Link "Bearbeiten" aus.
   • Ändern Sie auf der Konfigurationsseite nach Bedarf die folgenden Details:
     • Anzeigename – Name der Organisation des Partners.
     • Identitätsanbieterprotokoll – Wählen Sie SAML oder WS-Fed aus.
     • Passiver Authentifizierungsendpunkt – Der passive Anfordererendpunkt des Partner-IdP.
     • Zertifikat – Die ID des Signaturzertifikats. Um das Zertifikat zu verlängern, geben Sie eine neue Zertifikat-ID ein.
     • Metadaten-URL – Die URL, die die Metadaten des Partners enthält, wird für die automatische Erneuerung des Signaturzertifikats verwendet.
   • Wählen Sie "Speichern" aus.

   

6. Um die dem Partner zugeordneten Domänen zu bearbeiten, wählen Sie den Link in der Spalte "Domänen" aus. Im Bereich „Domänendetails“:

   • Wenn Sie eine Domäne hinzufügen möchten, geben Sie den Domänennamen neben dem Domänennamen des Partner-IdP ein, und wählen Sie dann "Hinzufügen" aus. Wiederholen Sie diesen Schritt für jede Domäne, die Sie hinzufügen möchten.
   • Um eine Domäne zu löschen, wählen Sie das Symbol „Löschen“ neben der Domäne aus.
   • Wenn Sie fertig sind, wählen Sie "Fertig" aus.

   

7. Wenn Sie zu einem domänenlosen Partnerverbund wechseln möchten, aktivieren Sie das Kontrollkästchen "Domänenlos ", und wählen Sie dann "Fertig" aus.

   

   Hinweis

   Wenn Sie einen Partnerverbund entfernen möchten, löschen Sie zuerst alle Domänen mit Ausnahme eines, und führen Sie dann die Schritte im nächsten Abschnitt aus.

So entfernen Sie die Föderation

Sie können Ihre Verbundkonfiguration entfernen. Wenn Sie dies tun, können sich Partnerverbund-Gastbenutzer, die ihre Einladungen bereits eingelöst haben, nicht mehr anmelden. Sie können ihnen jedoch erneut Zugriff auf Ihre Ressourcen gewähren, indem Sie den Einlösungsstatus zurücksetzen. So entfernen Sie eine Konfiguration für einen IdP im Microsoft Entra Admin Center:

1. Melden Sie sich mindestens in der Rolle eines Administrators für externe Identitätsanbieter im Microsoft Entra Admin Center an.

2. Navigieren Sie zu Microsoft Entra ID>Externe Identitäten>alle Identitätsanbieter.

3. Wählen Sie die Registerkarte "Benutzerdefiniert " aus, und scrollen Sie dann in der Liste zum Identitätsanbieter, oder verwenden Sie das Suchfeld.

4. Wählen Sie den Link in der Spalte "Domänen " aus, um die Domänendetails des IdP anzuzeigen.

5. Löschen Sie alle Domänen außer einer der Domänen in der Domänennamenliste .

6. Wählen Sie "Konfiguration löschen" und dann " Fertig" aus.

   

7. Wählen Sie 'OK' aus, um den Löschvorgang zu bestätigen.

Sie können den Partnerverbund auch mithilfe des Ressourcentyps samlOrWsFedExternalDomainFederation der Microsoft Graph-API entfernen.

Nächste Schritte

• Externe Mandanten:Fügen Sie den SAML/WS-Fed Identitätsanbieter einem Benutzerablauf hinzu.
• Belegschaftsmieter: Erfahren Sie mehr über den Ablauf der Einladungseinlösung, wenn sich externe Benutzer mit verschiedenen Identitätsanbietern anmelden.