Copyright © 2022-2026 basebox GmbH, all rights reserved.
Licensed to be used in conjunction with basebox, only.

// admin

Anmeldung (LDAP / SSO)

Kurzbeschreibung

Ihre Mitarbeitenden können sich bei basebox mit ihrem bestehenden Firmenkonto anmelden: über ein Verzeichnis (LDAP / Active Directory) oder per Single Sign-on (SSO) über einen OpenID-Connect-Anbieter wie Microsoft Entra ID. Heute richten das basebox-Support bzw. Ihr Platform Operator in Keycloak ein, nicht Sie als Administrator in der basebox-Oberfläche. In einer künftigen Version richten Administratoren die Anmeldung selbst in basebox ein. Diese Seite beschreibt, was Sie vorbereiten, wen Sie ansprechen und was sich danach in basebox ändert.

Wofür nutze ich LDAP oder SSO

Ohne Anbindung laden Sie jede Person einzeln per E-Mail ein und pflegen Konten von Hand. Mit LDAP oder SSO:

• melden sich Mitarbeitende mit ihrem Firmenkonto an, ohne zusätzliches Passwort,
• gelten Ihre Passwort- und MFA-Richtlinien,
• verliert, wer im Verzeichnis bzw. beim Anbieter deaktiviert wird, den Zugang zu basebox,
• landen „Passwort vergessen“-Fälle bei Ihrer IT statt bei basebox.

LDAP oder SSO? LDAP übernimmt Konten aus einem Verzeichnis und prüft Passwörter dort. SSO (OpenID Connect) gibt die gesamte Anmeldung an Ihren Anbieter ab; Nutzer sehen dessen Anmeldeseite. Beides lässt sich kombinieren. Für basebox Cloud ist SSO meist der einfachere Weg, weil ein Verzeichnis dafür aus dem Rechenzentrum von basebox erreichbar sein müsste.

Wo finde ich die Einstellung

Nicht in der basebox-Administration. basebox meldet alle Personen über Keycloak an, den mitgelieferten Identitätsanbieter. LDAP wird dort unter User Federation, SSO unter Identity Providers eingerichtet.

Umgebung	Wer richtet ein	Ihr Ansprechpartner
basebox Cloud	basebox	support@basebox.ai
basebox Server, Betrieb durch basebox	basebox	support@basebox.ai
basebox Server, selbst betrieben	Ihr Platform Operator in der Keycloak Admin Console	Ihr Platform Operator

Die technischen Schritte stehen unter LDAP / OIDC.

Schritt für Schritt

Was Sie für SSO (OpenID Connect) vorbereiten:

1. Anbieter benennen – etwa Microsoft Entra ID oder Okta, mit dem betroffenen Mandanten.
2. Anwendung beim Anbieter registrieren lassen – Ihr Identitäts-Team legt dort eine Anwendung für basebox an und erhält Client-ID und Client-Secret. Die Redirect-URI, die dort einzutragen ist, erhalten Sie von basebox bzw. Ihrem Platform Operator.
3. Discovery-URL bereitstellen – die Adresse …/.well-known/openid-configuration Ihres Anbieters.
4. Personenkreis klären – alle Konten oder nur eine Gruppe? Die Einschränkung erfolgt beim Anbieter (Zuweisung der Anwendung) oder in Keycloak.

Was Sie für LDAP / Active Directory vorbereiten:

1. Zuständigkeiten klären – wer verwaltet das Verzeichnis, wer betreibt Keycloak (Ihre IT oder basebox)?
2. Verbindungsdaten – Adresse und Port des LDAP-Servers (389, für LDAPS 636) und den Basis-DN der Benutzer.
3. Servicekonto – ein Verzeichniskonto mit Lesezugriff auf die Benutzereinträge (Bind-DN und Passwort). Übermitteln Sie das Passwort auf einem sicheren Weg, nicht per unverschlüsselter E-Mail.
4. Personenkreis – alle Verzeichnisbenutzer oder nur Mitglieder einer bestimmten Gruppe (umgesetzt über einen Filter).
5. Gruppen – sollen Verzeichnisgruppen gespiegelt werden?

Übergabe: Schicken Sie die Angaben an basebox bzw. Ihren Platform Operator. Er richtet die Anbindung in Keycloak ein und testet sie mit einem Testkonto, das Sie bereitstellen.

Was danach in basebox passiert

• Bei LDAP erscheinen Verzeichnisbenutzer nach der Synchronisation unter Administration → Benutzer; einladen müssen Sie sie nicht. Bei SSO wird das basebox-Konto beim ersten Anmelden angelegt bzw. einem bestehenden Konto zugeordnet.
• Die Rolle (Administrator oder Nutzer) vergeben Sie weiterhin in basebox, siehe Benutzer. Neue Benutzer sind Nutzer.
• Gruppen für Freigaben legen Sie unter Administration → Gruppen an.
• Passwörter bleiben im Verzeichnis bzw. beim Anbieter; basebox speichert sie nicht. Keycloak schreibt nichts ins Verzeichnis zurück.
• Änderungen im Verzeichnis übernimmt Keycloak nach Zeitplan (empfohlen: stündlich geänderte Benutzer, täglich vollständig). Ein im Verzeichnis deaktiviertes Konto kann sich nicht mehr anmelden.

Hinweise

Hinweis

• Lizenzplätze: Jede synchronisierte oder per SSO angemeldete Person belegt einen Benutzerplatz. Grenzen Sie den Personenkreis ein, statt das ganze Verzeichnis zu übernehmen.
• Mischbetrieb ist möglich: Eingeladene lokale Konten und Verzeichnis- bzw. SSO-Konten bestehen nebeneinander.
• Der erste Administrator bleibt ein lokales Konto. Er ist Ihr Zugang, wenn Verzeichnis oder Anbieter nicht erreichbar sind. Bewahren Sie die Zugangsdaten sicher auf.
• API-Zugriffe laufen nicht über SSO, sondern über API-Schlüssel.

Häufige Fragen

Kann ich LDAP oder SSO selbst in basebox einrichten? Derzeit nicht. Die Einrichtung übernehmen basebox oder Ihr Platform Operator in Keycloak. In einer künftigen Version richten Administratoren die Anmeldung selbst in basebox ein.

Muss ich Verzeichnisbenutzer noch einladen? Nein. Sie erscheinen nach der Synchronisation und melden sich mit ihrem Verzeichniskonto an.

Kann ich einen Verzeichnisbenutzer in basebox löschen? Das Konto käme bei der nächsten Synchronisation zurück. Deaktivieren Sie es im Verzeichnis oder schließen Sie es per Filter aus.

Was passiert, wenn unser Verzeichnis oder Anbieter ausfällt? Anmeldungen über LDAP bzw. SSO scheitern, bis er wieder erreichbar ist. Lokale Konten funktionieren weiter.

Bekommt unser Anbieter Chat-Inhalte zu sehen? Nein. Er bestätigt nur die Identität; Inhalte bleiben in basebox.

Nächster Schritt: Gruppen · LDAP / OIDC (technisch)

Benötigen Sie Hilfe? Support kontaktieren