Externe Authentifizierung konfigurieren

Dokumentation

Getting Started

Globale Funktionen

Lucanet Lume

Administration

Benutzerverwaltung

CFO Solution Platform verwalten

Lucanet-Lizenzen verwalten

Externe Authentifizierung konfigurieren

Lucanet bei Verwendung der OIDC-Methode als App in MS Entra ID registrieren

Lucanet SAML Single Sign-On mit Microsoft Entra ID/Azure konfigurieren

SEA-Zertifikate erzeugen und herunterladen

Kundenspezifische Anpassungen konfigurieren

Wechselkursverwaltung

Data Hub

Consolidation & Financial Planning

Lease Accounting

Extended Planning and Analysis (xP&A)

ESG Reporting

Disclosure Management

XBRL-Tagger

Tax Compliance & Reporting

Banking & Cash Management

Data Collection

Glossar

Im Arbeitsbereich Externe Authentifizierung der Lucanet CFO Solution Platform können Sie einen externen Identity-Provider aktivieren oder deaktivieren. Die separate Pflege eines Kennworts für den Zugriff auf die CFO Solution Platform kann dann entfallen.

Für die Lucanet CFO Solution Platform ist die externe Authentifizierung mit OIDC (OpenID Connect) und mit SAML (Security Assertion Markup Language) möglich, mit Identity-Providern wie Microsoft Entra ID, Okta oder einem benutzerdefinierten Provider.

So aktivieren Sie die externe Authentifizierung für die Lucanet CFO Solution Platform:

Klicken Sie auf Administration.

Öffnen Sie in der Platform-Verwaltung den Arbeitsbereich Externe Authentifizierung:

Zeigt den Arbeitsbereich 'Externe Authentifizierung' in der CFO Solution Platform mit dem Status 'Nicht aktiv' und dem Kontrollkästchen 'Externe Authentifizierung aktivieren'. Rot hervorgehoben ist der Eintrag 'Externe Authentifizierung' unter 'Platform-Verwaltung' im Menü 'Administration'. — Arbeitsbereich 'Externe Authentifizierung' öffnen

Aktivieren Sie das Kontrollkästchen Externe Authentifizierung aktivieren.

Wählen Sie unter Bitte wählen Sie das Authentifizierungsverfahren die Kombination aus Authentifizierungsprotokoll und Identity-Provider, die zu Ihrer Konfiguration passt:

Zeigt die geöffnete Dropdown-Liste 'Bitte wählen Sie das Authentifizierungsverfahren.' im Arbeitsbereich 'Externe Authentifizierung' in der CFO Solution Platform mit den Optionen 'OIDC - Entra', 'OIDC - Okta', 'OIDC - Custom', 'SAML - Entra', 'SAML - Okta' und 'SAML - Custom'. — Menü 'Bitte wählen Sie das Authentifizierungsverfahren'

Das Konfigurationsformular zeigt anschließend die Felder und providerspezifischen Hinweise für Ihre Auswahl an.

Konfigurieren Sie die angezeigten Felder:

OIDC

: Weitere Informationen finden Sie unter

OIDC konfigurieren

SAML

: Weitere Informationen finden Sie unter

SAML konfigurieren

Klicken Sie auf Anwenden, um Ihre Konfiguration zu speichern.

Die Optionen, die Sie in der CFO Solution Platform für die externe Authentifizierung konfigurieren, hängen vom gewählten Authentifizierungsprotokoll und Identity-Provider ab. Bewegen Sie den Mauszeiger über das Info-Symbol neben einem Feld, um providerspezifische Hinweise anzuzeigen.

Wenn Sie eine OIDC-Kombination gewählt haben, werden folgende Optionen angezeigt:

Zeigt die Konfiguration 'OIDC - Entra' im Arbeitsbereich 'Externe Authentifizierung' in der CFO Solution Platform mit den Feldern 'Client-ID', 'Geheimer Client-Schlüssel' und 'Aussteller-URL', dem Wert 'openid email' unter 'Autorisierte Bereiche', dem Wert unter 'Sign-in Umleitungs-URL(s)' und der Schaltfläche 'Anwenden'. — Optionen für die Konfiguration von 'OIDC'

Für die Konfiguration der externen Authentifizierung mit OIDC in der CFO Solution Platform sind die folgenden Optionen verfügbar:

Option	Beschreibung
Client-ID	Geben Sie die ID des OIDC-Clients ein. Hinweis: Der Client kann durch verschiedene Konzepte in verschiedenen Identity-Providern repräsentiert werden, z. B.: • App-Registrierung (Microsoft Entra ID) • OIDC-App-Integration (Okta)
Geheimer Client-Schlüssel	Geben Sie den geheimen Client-Schlüssel für den OIDC-Client ein. Hinweis: Aus Sicherheitsgründen kann der vollständige geheime Client-Schlüssel nach der Aktivierung nicht mehr angezeigt werden.
Aussteller-URL	Die Basisadresse, von der aus die bekannten OIDC-Metadaten-Endpunkte Ihres Identity-Providers (einschließlich der OIDC-Konfiguration und des JSON-Web-Key-Sets) bereitgestellt werden. Das erforderliche Format hängt von Ihrem Identity-Provider ab: • Microsoft Entra ID: https://sts.windows.net/{tenant-id}/ • Okta: https://{your-okta-domain}/oauth2/default Hinweis: Die Aussteller-URL wird in Echtzeit validiert. Entspricht der Wert nicht dem erwarteten Format für den gewählten Identity-Provider, wird eine Validierungsmeldung angezeigt, und Sie können erst nach der Korrektur speichern. Für einen benutzerdefinierten Provider (Custom) wird kein providerspezifisches Format erzwungen.
Autorisierte Bereiche	Die autorisierten Bereiche stellen die Ebene des Zugriffs auf die Profile Ihrer Benutzer dar, die von der Lucanet CFO Solution Platform angefordert wird. Konfigurieren Sie die autorisierten Bereiche korrekt in Ihrem OIDC-Client. Kopieren Sie die angezeigten autorisierten Bereiche und fügen Sie sie in die Konfiguration Ihres OIDC-Clients ein.
Sign-in Umleitungs-URL(s)	Die Sign-in Umleitungs-URL ist die Adresse, zu der die Benutzer nach der Authentifizierung bei Ihrem Identity-Provider weitergeleitet werden. Die Sign-in Umleitungs-URL muss im OIDC-Client konfiguriert werden. Kopieren Sie die angezeigte Sign-in Umleitungs-URL und fügen Sie sie in die Konfiguration Ihres OIDC-Clients ein.

Weitere Informationen zu den Konfigurationsschritten in Microsoft Entra ID/Azure finden Sie unter Lucanet OIDC-Authentifizierung mit Microsoft Entra ID/Azure konfigurieren.

Wenn Sie eine SAML-Kombination gewählt haben, werden folgende Optionen angezeigt:

Zeigt die Konfiguration 'SAML - Entra' im Arbeitsbereich 'Externe Authentifizierung' in der CFO Solution Platform mit dem Feld 'Metadaten-URL', dem mit 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' vorausgefüllten Feld 'Attribut', den Werten unter 'Antwort-URL' und 'Entity-ID' und der Schaltfläche 'Anwenden'. — Optionen für die Konfiguration von 'SAML'

Für die Konfiguration der externen Authentifizierung mit SAML in der CFO Solution Platform sind die folgenden Optionen verfügbar:

Option	Beschreibung
Metadaten-URL	Die Metadaten-URL ist die Adresse, über die das SAML-Konfigurationsdokument zugänglich ist. Geben Sie die Metadaten-URL für die SAML-Implementierung Ihres Identity-Providers an. Hinweis: Jeder Identity-Provider verwendet ein anderes Format für die Metadaten-URL, z. B.: • Microsoft Entra ID: https://login.microsoftonline.com/{tenant-id}/ FederationMetadata/2007-06/FederationMetadata.xml?appid=xxxxxx • Okta: https://{your-okta-domain}/app/{app-instance-id}/sso/saml/metadata
Attribut	• Der Name des E-Mail-Attributs, das von Ihrem Identity-Provider an die Lucanet CFO Solution Platform gesendet wird. • Der kanonische Name lautet: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress und ist standardmäßig vorausgefüllt.
Antwort-URL	• Die URL, an die die SAML-Antwort von Ihrem Identity-Provider gesendet wird. Konfigurieren Sie die Antwort-URL in der SAML-Integration, die den Service Provider der Lucanet CFO Solution Platform für Ihren Identity-Provider repräsentiert. • Die Antwort-URL ist auch bekannt als Assertion Consumer Service (ACS) URL oder Single Sign-On-URL. Hinweis: Die SAML-Integration kann durch verschiedene Konzepte in verschiedenen Identity-Providern repräsentiert werden, z. B.: • Microsoft Entra ID: App-Registrierung • Okta: SAML-App-Integration Kopieren Sie die angezeigte Antwort-URL und fügen Sie sie in Ihre SAML-Integration ein.
Entity-ID	Der eindeutige Bezeichner für den Service Provider der Lucanet CFO Solution Platform. Konfigurieren Sie die Entity-ID in der SAML-Integration, die die Lucanet CFO Solution Platform bei Ihrem Identity-Provider repräsentiert. Dies wird auch als Audience URI bezeichnet. Kopieren Sie die angezeigte Entity-ID und fügen Sie sie in die SAML-Konfiguration Ihres Service Providers ein.

Halten Sie Ihr SAML-Signaturzertifikat gültig. Lucanet liest das SAML-Signaturzertifikat aus der von Ihnen konfigurierten Metadaten-URL. Bevor dieses Zertifikat abläuft, sendet Lucanet Ihnen eine Erinnerungs-E-Mail. Erneuern oder rotieren Sie das Zertifikat rechtzeitig bei Ihrem Identity-Provider und stellen Sie sicher, dass das unter Ihrer URL bereitgestellte Metadatendokument das neue Zertifikat enthält, bevor das aktuelle abläuft. Andernfalls können sich Benutzer möglicherweise nicht mehr per SAML anmelden.

Weitere Informationen zu den Konfigurationsschritten in Microsoft Entra ID/Azure finden Sie unter Lucanet SAML Single Sign-On mit Microsoft Entra ID/Azure konfigurieren.

Damit Benutzer die externe Authentifizierung verwenden können, aktivieren Sie die externe Authentifizierung in einem weiteren Schritt in den Eigenschaften der gewünschten Benutzer.

Navigieren Sie dazu in den Arbeitsbereich Benutzer und bearbeiten Sie dort die Eigenschaften der Benutzer, die sich mithilfe von externer Authentifizierung in der Lucanet CFO Solution Platform anmelden sollen. Weitere Informationen dazu finden Sie unter Benutzer für die Lucanet CFO Solution Platform anlegen und bearbeiten.

Wenn Sie die externe Authentifizierung für einen Benutzer aktivieren, erhält der Benutzer eine Einladungs-E-Mail mit einer Schaltfläche Anmelden, die direkt auf die Anmeldeseite verweist.

Im Bereich Globale Authentifizierungseinstellungen des Arbeitsbereichs Externe Authentifizierung können Sie festlegen, wie sich die Benutzer der Lucanet CFO Solution Platform authentifizieren.

Der Bereich wird wie folgt angezeigt:

Zeigt den Bereich 'Globale Authentifizierungseinstellungen' des Arbeitsbereichs 'Externe Authentifizierung' in der CFO Solution Platform mit den deaktivierten Einstellungen 'Standardmäßig externe Authentifizierung' und 'Externe Authentifizierung erzwingen'. — Bereich 'Globale Authentifizierungseinstellungen'

Im Bereich Globale Authentifizierungseinstellungen sind folgende Optionen verfügbar:

Option	Beschreibung
Standardmäßig externe Authentifizierung	Wählt beim Anlegen eines Benutzers Externe Authentifizierung als Authentifizierungsmethode vor, sodass der Benutzer keine Lucanet-Anmeldedaten erhält. Wenn sich ein Benutzer stattdessen mit Benutzernamen und Kennwort anmelden soll, deaktivieren Sie beim Anlegen des Benutzers Externe Authentifizierung. Die Einstellung wirkt sich nicht auf bestehende Benutzer aus. Die Authentifizierungsmethode bestehender Benutzer können Sie weiterhin ändern.
Externe Authentifizierung erzwingen	Erfordert, dass alle Benutzer die externe Authentifizierung verwenden. Die Lucanet CFO Solution Platform stellt alle bestehenden Benutzer, die sich mit Benutzernamen und Kennwort anmelden, automatisch um. Weitere Informationen finden Sie unter Externe Authentifizierung erzwingen.

Option

Beschreibung

Standardmäßig externe Authentifizierung

Wählt beim Anlegen eines Benutzers

Externe Authentifizierung

als Authentifizierungsmethode vor, sodass der Benutzer keine Lucanet-Anmeldedaten erhält. Wenn sich ein Benutzer stattdessen mit Benutzernamen und Kennwort anmelden soll, deaktivieren Sie beim Anlegen des Benutzers

Externe Authentifizierung

.

Die Einstellung wirkt sich nicht auf bestehende Benutzer aus. Die Authentifizierungsmethode bestehender Benutzer können Sie weiterhin ändern.

Externe Authentifizierung erzwingen

Erfordert, dass alle Benutzer die externe Authentifizierung verwenden. Die Lucanet CFO Solution Platform stellt alle bestehenden Benutzer, die sich mit Benutzernamen und Kennwort anmelden, automatisch um.

Weitere Informationen finden Sie unter

Externe Authentifizierung erzwingen

Es kann jeweils nur eine der beiden Einstellungen aktiviert sein. Beide Einstellungen setzen voraus, dass die externe Authentifizierung aktiviert und erfolgreich konfiguriert ist.

So aktivieren oder deaktivieren Sie in der CFO Solution Platform eine der globalen Authentifizierungseinstellungen:

Öffnen Sie in der Platform-Verwaltung den Arbeitsbereich Externe Authentifizierung.

Aktivieren oder deaktivieren Sie im Bereich Globale Authentifizierungseinstellungen die gewünschte Einstellung.

Es wird ein Dialog angezeigt, der die Folgen der Änderung beschreibt.

Bestätigen Sie die Änderung.

Wenn die externe Authentifizierung erzwungen wird, gilt Folgendes:

Die Lucanet CFO Solution Platform stellt alle bestehenden Benutzer, die sich mit Benutzernamen und Kennwort anmelden, auf die externe Authentifizierung um und sendet ihnen die Einladungs-E-Mail für die externe Authentifizierung. Diese Benutzer können sich danach nur noch über Ihren Identity-Provider anmelden.

Benutzer, die bereits die externe Authentifizierung verwenden, bleiben unverändert.

Ein gesperrter Benutzer wird erst umgestellt, wenn Sie den Benutzer entsperren.

Wenn Sie einen neuen Benutzer anlegen, ist

Externe Authentifizierung

als Authentifizierungsmethode vorausgewählt und kann nicht geändert werden.

Die Authentifizierungsmethode

TOTP MFA (Authenticator-App-Code)

kann nicht aktiviert oder deaktiviert werden. Weitere Informationen finden Sie unter

Benutzer für die Lucanet CFO Solution Platform anlegen und bearbeiten | Authentifizierungsmethoden

Stellen Sie sicher, dass die externe Authentifizierung korrekt funktioniert, bevor Sie die Einstellung Externe Authentifizierung erzwingen aktivieren. Andernfalls können sich Benutzer möglicherweise nicht mehr anmelden.

Die Umstellung läuft im Hintergrund. Benutzer, die zu diesem Zeitpunkt angemeldet sind, werden nicht abgemeldet. Solange die Umstellung läuft, können Sie die globalen Authentifizierungseinstellungen nicht ändern und die externe Authentifizierung nicht deaktivieren.

Wenn die Umstellung fehlschlägt, deaktiviert die Lucanet CFO Solution Platform die Einstellung Externe Authentifizierung erzwingen wieder und setzt alle bereits umgestellten Benutzer auf ihre vorherige Authentifizierungsmethode zurück.

Die Einstellung Externe Authentifizierung erzwingen kann nicht direkt deaktiviert werden. Um die Erzwingung aufzuheben, deaktivieren Sie die externe Authentifizierung. Dabei werden die Optionen im Bereich Globale Authentifizierungseinstellungen deaktiviert. Danach können Sie die externe Authentifizierung ggf. erneut aktivieren.

Wenn Sie die externe Authentifizierung deaktivieren, während die Einstellung Externe Authentifizierung erzwingen aktiviert ist, stellt die Lucanet CFO Solution Platform alle Benutzer auf die Anmeldung mit Benutzernamen und Kennwort um: Jeder Benutzer erhält eine neue Einladungs-E-Mail mit einem temporären Kennwort und kann sich nicht mehr über Ihren Identity-Provider anmelden.