Wie funktioniert die Einrichtung von MS Entra ID und SSO?

ℹ️

Verfügbar ab dem Tarif Business. Dieser Artikel richtet sich an Administratoren.

📄

Kurzfassung: Mit Single Sign-on (SSO) melden sich deine Nutzer mit ihrem bestehenden Firmen-Login an, statt ein separates pixx.io-Passwort zu verwalten. Die Einrichtung erfolgt unter Einstellungen → Authentifizierung und erfordert volles Admin-Recht.

Welche Identity Provider werden unterstützt?

pixx.io unterstützt ausschließlich OIDC/OAuth2-basierte Identity Provider. Zur Auswahl stehen vordefiniert Microsoft Entra ID (Azure), Okta, OneLogin, MiniOrange und NetScaler, dazu lässt sich über die Option "Benutzerdefiniert" auch ein individueller, selbst betriebener OIDC-Provider anbinden (Authorization-Endpunkt, Token-Endpunkt und Benutzer-Endpunkt frei eintragbar).

ℹ️

Beachte: SAML wird nicht unterstützt – auch nicht gegen ein klassisches ADFS-SAML oder ein als SAML-Provider konfiguriertes Keycloak. Betreibt ihr Keycloak, konfiguriert es stattdessen als OIDC-Provider, dann funktioniert die Anbindung.

Voraussetzungen

Business-Paket oder höher

Volles Admin-Recht für die Einrichtung

Eine im Identity Provider registrierte Anwendung (App-Registrierung) mit Client-ID und Client Secret sowie der Tenant-ID, die du für den Metadaten-Endpunkt brauchst

Einrichtung

Navigiere im Microsoft Entra Admin Center (entra.microsoft.com) zu "Identität → Anwendungen → App-Registrierungen" und klicke auf "Neue Registrierung".

Vergib der Anwendung einen Namen (z. B. "pixx.io") und wähle als unterstützten Kontotyp "Nur Konten in diesem Organisationsverzeichnis". Hinterlege als Umleitungs-URI (Redirect-URI, Plattform "Web") die vollständige Adresse zu eurem pixx.io-System:

https://[eure-subdomain].px.media/auth/redirect

oder, falls ihr eine eigene Domain nutzt: https://[euer-hostname]/auth/redirect

Damit sich Nutzer auch über die pixx.io-Plugins (z. B. Adobe- oder Microsoft Office Plugin) per SSO einloggen können, hinterlegt zusätzlich diese vier URLs:

https://plugin.pixx.io/static/v1/de/login/redirect

https://plugin.pixx.io/static/v1/en/login/redirect

https://plugin.pixx.io/static/v2/de/login/redirect

https://plugin.pixx.io/static/v2/en/login/redirect

Nach dem Klick auf "Registrieren" gelangst du auf die App-Übersicht. Dort findest du die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant) – beide benötigt ihr für die Einrichtung in pixx.io.

Wähle die eben erstellte App unter "App-Registrierungen" aus, navigiere zu "Zertifikate & Geheimnisse" und klicke auf "Neuer geheimer Clientschlüssel". Vergib eine Beschreibung und ein Ablaufdatum.

ℹ️

Beachte: Kopiere den angezeigten Wert sofort und bewahre ihn sicher auf – sobald du die Seite verlässt, ist er nicht mehr einsehbar. Du benötigst ihn für die Einrichtung in pixx.io.

Navigiere zu "API-Berechtigungen" und klicke auf "Berechtigung hinzufügen". Wähle im Tab "Microsoft-APIs" die API "Microsoft Graph" und anschließend als Berechtigungsart "Anwendungsberechtigungen".

ℹ️

Beachte: Für die Rechte-Synchronisierung benötigt eure App-Registrierung die Microsoft-Graph-Berechtigungen User.Read.All und Group.Read.All (Anwendungsberechtigungen). Ist SSO aktiv, muss zusätzlich die Berechtigung User.Read mit dem Typ "Delegiert" erteilt werden. Nach dem Hinzufügen der Berechtigungen muss ein Administrator die Administratorzustimmung erteilen, damit sie wirksam werden.

Lege unter Einstellungen → Authentifizierung → SSO eine neue SSO-Anbindung vom Typ "Azure" an und trage Client ID, Client Secret und den Metadaten-Endpunkt ein – bei Microsoft Entra ID enthält dieser die Tenant-ID.

Aktiviere SSO in den Authentifizierungs-Einstellungen.

ℹ️

Beachte: Bei der Einrichtung werden keine Passwörter zwischen pixx.io und deinem Identity Provider übertragen – die Anmeldung läuft direkt gegen euren Identity Provider, pixx.io erhält nur die Bestätigung der erfolgreichen Anmeldung.

ℹ️

Beachte: Stimmt die im Identity Provider hinterlegte Redirect-URI nicht exakt mit der von pixx.io verwendeten überein, schlägt der Login fehl. Prüfe diesen Abgleich insbesondere dann noch einmal, wenn ein zuvor funktionierender SSO-Login plötzlich nicht mehr klappt.

Mediaspace und Portal Plus mit derselben Anwendung

Nutzt ihr sowohl SSO im Mediaspace als auch im Portal Plus, braucht ihr dafür keine zweite Anwendung oder einen zweiten Tenant – es genügt, der bestehenden Anwendung weitere Redirect-URLs hinzuzufügen.

ℹ️

Beachte: SSO im Portal Plus ist nicht im Self-Service einrichtbar und wird in der Regel gemeinsam mit Professional Services umgesetzt. Voraussetzung ist außerdem, dass zu jedem Portal-Nutzer ein passender, echter Mediaspace-Nutzer existiert (voll oder Read-Only) – eine reine Anmeldung ohne ein solches Mediaspace-Konto ist nicht möglich. Nur Nutzer mit diesem Mediaspace-Konto haben auch Zugriff auf die pixx.io-Plugins.

Lokaler Login bleibt zusätzlich bestehen

Auch bei aktivem SSO bleibt die lokale Login-Maske (E-Mail-Adresse und Passwort) standardmäßig zusätzlich zum SSO-Button sichtbar.

ℹ️

Beachte: Ihr könnt die lokale Login-Maske nicht selbst über die Oberfläche deaktivieren. Auf Anfrage kann pixx.io sie von der Anbieterseite aus ausblenden lassen. Wichtiger Nachteil dabei: Ist die lokale Maske ausgeblendet, kann sich auch der pixx.io-Support nicht mehr über seinen temporären lokalen Support-Zugang bei euch einloggen, um direkt zu helfen.

SSO und User Sync sind zwei unabhängige Funktionen

SSO regelt ausschließlich die Anmeldung: Nutzer melden sich mit ihrem Firmen-Login an, statt ein pixx.io-Passwort zu verwenden. User Sync regelt unabhängig davon die Nutzerverwaltung: Nutzer und ihre Rechtegruppen-Zugehörigkeit werden automatisch aus Entra übernommen, gepflegt und bei Bedarf entfernt (siehe Wie richte ich User Sync ein?).

Beide Funktionen treten in der Praxis häufig gemeinsam auf, sind aber grundsätzlich unabhängig voneinander nutzbar:

Nur SSO, ohne User Sync: Ihr legt Nutzer weiterhin manuell in pixx.io an und weist ihnen manuell Rechtegruppen zu, die Anmeldung selbst läuft aber über euren Identity Provider.

ℹ️

Beachte: In diesem Fall muss der Benutzername des manuell angelegten Nutzers exakt seiner E-Mail-Adresse entsprechen, sonst schlägt der SSO-Login fehl. Nutzt ihr zusätzlich User Sync, entfällt diese Einschränkung, da der Abgleich dann automatisch über die E-Mail-Adresse läuft.

Nur User Sync, ohne SSO: Nutzer und ihre Rechtegruppen-Zugehörigkeit werden automatisch aus Entra synchronisiert, die Anmeldung erfolgt aber weiterhin über das lokale pixx.io-Passwort.

Beides kombiniert: die häufigste Praxis, aber keine technische Voraussetzung füreinander.

Rechtevergabe bei SSO-Nutzern

Die Rechte von SSO-Nutzern werden genauso granular über Rechtegruppen vergeben wie bei lokal angelegten Nutzern – entweder manuell oder automatisiert über den unabhängigen User Sync.

Was SSO nicht abdeckt

Single Logout: Meldest du dich in pixx.io ab, meldet dich das nicht automatisch auch bei eurem Identity Provider ab – OAuth2 definiert das nicht direkt, und pixx.io bietet keine zusätzliche systemübergreifende Abmelde-Logik.

SCIM: Ein eigenständiges SCIM-Feature gibt es nicht. Die Nutzerverwaltung läuft stattdessen über den separaten User Sync.

Client Secret erneuern

Läuft euer Client Secret beim Identity Provider ab und wird erneuert, müsst ihr pixx.io darüber nicht informieren – ein Admin-Nutzer trägt das neue Secret einfach selbst unter Einstellungen → Authentifizierung ein.

ℹ️

Beachte: Eine häufige Fehlerquelle ist die Verwechslung von Client Secret und Client Secret ID – für die Einrichtung in pixx.io wird der eigentliche Client Secret-Wert benötigt, nicht dessen ID.