hmLoadTopic({
hmKeywords:"OIDC,OpenID Connect,Single Sign-on,SSO",
hmTitle:"OpenID Connect (OIDC)",
hmDescription:"OIDC-Integration (Single Sign-on) MDaemon Webmail unterstützt den Single Sign-on über OpenID Connect (OIDC). Bei Nutzung dieses Verfahrens melden sich die Benutzer nicht mithilf",
hmPrevLink:"onedrive.html",
hmNextLink:"wc--categories.html",
hmParentLink:"index.html",
hmBreadCrumbs:"Das Menü Einstellungen &gt; Web- &amp; IM-Dienste &gt; Webmail",
hmTitlePath:"Das Menü Einstellungen > Web- & IM-Dienste > Webmail > OIDC",
hmHeader:"<h1 class=\"p_Heading1\" style=\"page-break-after: avoid;\"><span class=\"f_Heading1\">OpenID Connect (OIDC)<\/span><\/h1>\n\r",
hmBody:"<p class=\"p_BodyText_Center\"><img style=\"margin:0 auto 0 auto;width:37.2500rem;height:25.6250rem;border:none\" src=\".\/images\/worldclient_oidc.png\"\/><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_Heading2\">OIDC-Integration (Single Sign-on)<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_List1_ContText\">MDaemon Webmail unterstützt den Single Sign-on über OpenID Connect (OIDC). Bei Nutzung dieses Verfahrens melden sich die Benutzer nicht mithilfe ihrer MDaemon-E-Mail-Adresse und Ihres MDaemon-Kennworts sondern über einen OIDC-Identitätsanbieter (etwa Google oder Microsoft Azure\/Entra ID) bei Webmail an. Sie müssen dazu die Schaltfläche <\/span><span class=\"f_List1_ContText\" style=\"font-weight: bold;\">Anmelden über SSO<\/span><span class=\"f_List1_ContText\"> anklicken. Webmail meldet die Benutzer dann an dem MDaemon-Benutzerkonto an, das mit ihrem Konto bei dem Identitätsanbieter verknüpft ist.<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_List1_ContText\">Um dieses Leistungsmerkmal einzurichten, erstellen Sie zunächst über die Managementschnittstelle Ihres Identitätsanbieters eine App. Sie müssen dabei den <\/span><span class=\"f_List1_ContText\" style=\"font-style: italic;\">Weiterleitungs-URI<\/span><span class=\"f_List1_ContText\"> (Redirect-URI) Ihrer Webmail-Installation angeben. Anschließend konfigurieren Sie das Webmail-Leistungsmerkmale OIDC mithilfe der nachfolgend beschriebenen Optionen.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">OIDC-Integration aktivieren<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Wenn diese Option aktiv ist, erscheint auf der Webmail-Anmeldeseite die Schaltfläche <\/span><span class=\"f_ControlIndent\" style=\"font-style: italic;\">Anmelden über SSO<\/span><span class=\"f_ControlIndent\">. Die Benutzer können zur Anmeldung an Webmail auf diese Schaltfläche klicken und sich dann mithilfe ihres Identitätsanbieters anmelden, ohne die MDaemon-E-Mail-Adresse und das MDaemon-Kennwort anzugeben.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">Issuer-URL<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">In dieses Textfeld tragen Sie den Basis-URL ein, den Sie von Ihrem OIDC-Identitätsanbieter erhalten. MDaemon verwendet diesen URL, um die Konfiguration des Identitätsanbieters und weitere Daten abzurufen, insbesondere die Benutzerinformationen und öffentliche Schlüssel. Geben Sie hier den Teil &quot;<\/span><span class=\"f_PlainText\">\/.well-known\/openid-configuration<\/span><span class=\"f_ControlIndent\">&quot; nicht mit an, der üblicherweise an den Aussteller-URL angehängt wird. Je nach dem verwendeten Identitätsanbieter sieht der URL etwa folgendermaßen aus: <\/span><span class=\"f_PlainText\">https:\/\/login.microsoftonline.com\/&lt;Tenant-ID&gt;\/v2.0<\/span><span class=\"f_ControlIndent\">, <\/span><span class=\"f_PlainText\">https:\/\/accounts.google.com<\/span><span class=\"f_ControlIndent\"> oder <\/span><span class=\"f_PlainText\">https:\/\/&lt;Ihre-Domäne&gt;.okta.com<\/span><span class=\"f_ControlIndent\"> .<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">Client-ID<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">In dieses Textfeld tragen Sie die eindeutige Client-ID ein, die Sie während der Registrierung Ihrer App von Ihrem Identitätsanbieter erhalten haben.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">Client-Schlüssel<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">In dieses Textfeld tragen Sie den Client-Schlüssel ein, den der Identitätsanbieter während der Registrierung erstellt hat. Er wird auch als &quot;Client Secret&quot; bezeichnet. Er wird zusammen mit der Client-ID verwendet, um MDaemon beim Austausch von Autorisierungskodes für Zugriffstoken mit dem Identitätsanbieter als vertrauenswürdigen Client zu identifizieren. Bei manchen Identitätsanbietern haben die Client-Schlüssel nur eine zeitlich begrenzte Gültigkeit. Sie müssen in diesem Fall den Schlüssel rechtzeitig austauschen.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"redirect_uri\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">Weiterleitungs-URI<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Bei der Registrierung Ihrer OIDC-App bei Ihrem Identitätsanbieter müssen Sie einen Weiterleitungs- oder Redirect-URI angeben. Dieser Redirect-URI wird auch als Umleitungs-URI bezeichnet. Der Redirect-URI, der hier angezeigt wird, wird aus dem <a href=\"domain-manager_host_name_ip.html\" class=\"topiclink\">SMTP-Hostnamen<\/a> der <a href=\"domain-manager.html\" class=\"topiclink\">Standard-Domäne<\/a> erstellt. Ein Beispiel hierzu: <\/span><span class=\"f_PlainText\">https:\/\/mail.example.com\/WorldClient.dll?View=OIDC<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">Scopes<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Der Eintrag im Feld Scopes bestimmt, welche Datensätze der Identitätsanbieter übermittelt. Die Voreinstellung entspricht hier dem Standard für OIDC: <\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">openid<\/span><span class=\"f_ControlIndent\"> ermöglicht den OIDC-Datenaustausch und ist erforderlich. <\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">profile<\/span><span class=\"f_ControlIndent\"> übermittelt grundlegende Benutzerinformationen (z.B. preferred_username für den bevorzugten Namen des Benutzers). <\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">email<\/span><span class=\"f_ControlIndent\"> übermittelt die E-Mail-Adresse des Benutzers. Sie können Scopes hinzufügen und bearbeiten, je nach Ihrer individuellen Konfiguration und den Anforderungen des Identitätsanbieters.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">E-Mail-Claim<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">In dieses Feld tragen Sie den Namen des Claims (also des Paars aus Schlüssel und Inhalt) ein, der die Daten enthält, die Sie zur Identifizierung des sich anmeldenden MDaemon-Benutzers benötigen. In den meisten Fällen wird hier eingetragen <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">email<\/span><span class=\"f_ControlIndent\">, <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">preferred_username<\/span><span class=\"f_ControlIndent\">, <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">sub<\/span><span class=\"f_ControlIndent\"> oder <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">oid<\/span><span class=\"f_ControlIndent\"> (Azure\/Entra ID). Die einfachste Möglichkeit ist, einen Claim anzugeben, von dem Sie wissen, dass er die MDaemon-E-Mail-Adresse des Benutzers enthält. Ein solcher Claim ist beispielsweise <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">email<\/span><span class=\"f_ControlIndent\">. Sie können aber auch, sofern möglich, einen benutzerdefinierten Claim verwenden. Fall Sie hier &quot;<\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">sub<\/span><span class=\"f_ControlIndent\">&quot; oder &quot;<\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">oid<\/span><span class=\"f_ControlIndent\">&quot; eintragen, dann enthalten diese Claims keine E-Mail-Adressen. Sie enthalten stattdessen eindeutige Kodes oder Identifizierungsdaten für die sich anmeldenden Benutzer, und Sie müssen dann mithilfe der Optionen im Abschnitt <a href=\"oidc.html#oidc_email_claims\" class=\"topiclink\">OIDC-E-Mail-Claims<\/a> die Daten aus <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">sub<\/span><span class=\"f_ControlIndent\"> oder <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">oid<\/span><span class=\"f_ControlIndent\"> mit den richtigen MDaemon-Benutzern verknüpfen.<\/span><\/p>\n\r<div style=\"text-align: left; text-indent: 0; padding: 0 0 0 0; margin: 0 3.0625rem 0.8750rem 3.0000rem;\"><table style=\"background-color:#ffffe6; border:solid thin #000000; border-spacing:0;\">\n\r<tr>\n\r<td style=\"vertical-align:top; width:3.1250rem; height:3.1250rem; padding:0.3125rem; border:none\"><p class=\"p_NoFormat\"><img style=\"margin:0;width:3.1250rem;height:3.1250rem;border:none\" src=\".\/images\/forbidden_50_yback.gif\"\/><\/p>\n\r<\/td>\n\r<td style=\"vertical-align:top; width:35.6250rem; padding:0.3125rem; border:none\"><p class=\"p_Notes\"><span class=\"f_Notes\">Wenn Sie den <\/span><span class=\"f_Notes\" style=\"font-style: italic;\">E-Mail-Claim<\/span><span class=\"f_Notes\"> festlegen, dann dürfen Sie keinen Claim verwenden, dessen zugrundeliegende Daten die Benutzer selbst ändern können. Ein Beispiel hierzu: In der Konfiguration Ihres Identitätsanbieters sei ein Datenfeld &quot;sekundäre_email&quot; enthalten, dessen zugrundeliegende Daten die Benutzer selbst ändern können, weil sie eigene sekundäre E-Mail-Adressen konfigurieren und ändern dürfen. Falls Sie diesen Schlüssel als <\/span><span class=\"f_Notes\" style=\"font-style: italic;\">E-Mail-Claim<\/span><span class=\"f_Notes\"> verwenden, dann kann ein beliebiger Benutzer Zugriff auf das Konto eines beliebigen anderen Benutzers auf Ihrem Server erhalten, indem er dessen E-Mail-Adresse als seine eigene sekundäre E-Mail-Adresse einträgt. Sie müssen daher stets sicherstellen, dass Sie einen Claim verwenden, dessen zugrundeliegende Daten nur ein Administrator ändern kann.<\/span><\/p>\n\r<\/td>\n\r<\/tr>\n\r<\/table>\n\r<\/div>\n\r<p class=\"p_DialogSectionHeading\" style=\"page-break-after: avoid;\"><a id=\"oidc_email_claims\" class=\"hmanchor\"><\/a><span class=\"f_DialogSectionHeading\">OIDC-E-Mail-Claims<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">Die Optionen in diesem Abschnitt dienen der Zuordnung benutzerdefinierter Werte aus den Claims des Identitätsanbieters zu bestimmten E-Mail-Adressen in MDaemon. Dies ist hilfreich, wenn manche der oder alle E-Mail-Adressen aus dem Claim <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">email<\/span><span class=\"f_BodyText\"> des Identitätsanbieters nicht mit den E-Mail-Adressen Ihrer MDaemon-Benutzer übereinstimmen. In diesem Fall können Sie die Optionen für die Zuordnung anderer, außerhalb MDaemon liegender E-Mail-Adressen zu den E-Mail-Adressen der einzelnen Benutzer verwenden. Dies trifft beispielsweise auch zu, wenn Sie <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">preferred_username<\/span><span class=\"f_BodyText\"> als Ihren <\/span><span class=\"f_BodyText\" style=\"font-style: italic;\">E-Mail-Claim<\/span><span class=\"f_BodyText\"> verwenden, aber der zugehörige Benutzername nicht immer mit der E-Mail-Adresse in MDaemon übereinstimmt. Sie müssen dieses Leistungsmerkmale auch nutzen, falls Sie den Claim <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">sub<\/span><span class=\"f_BodyText\"> (oder <\/span><span class=\"f_PlainText\" style=\"font-weight: bold;\">oid<\/span><span class=\"f_BodyText\"> in Azure\/Entra ID) als Claim im Textfeld <\/span><span class=\"f_BodyText\" style=\"font-style: italic;\">E-Mail-Claim<\/span><span class=\"f_BodyText\"> eintragen, da Sie dann die eindeutigen Identifizierungsdaten aller Benutzer deren E-Mail-Konten in MDaemon zuordnen müssen.<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">Um die Daten aus einem Claim einem bestimmten Benutzer zuzuordnen, gehen Sie folgendermaßen vor:<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">1.<\/span><span class=\"f_List1\">Rufen Sie in der Verwaltungsoberfläche oder in einem Verwaltungsprogramm des Identitätsanbieters den betreffenden Benutzer auf.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">2.<\/span><span class=\"f_List1\">Suchen Sie den Inhalt des Datenfeldes auf, das Sie oben als <\/span><span class=\"f_List1\" style=\"font-style: italic;\">E-Mail-Claim<\/span><span class=\"f_List1\"> angegeben haben.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">3.<\/span><span class=\"f_List1\">Kopieren Sie den Inhalt dieses Claims in die Zwischenablage, und fügen Sie ihn in das Feld <\/span><span class=\"f_List1\" style=\"font-weight: bold;\">Claim-Wert<\/span><span class=\"f_List1\"> ein.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">4.<\/span><span class=\"f_List1\">Geben Sie die <\/span><span class=\"f_List1\" style=\"font-weight: bold;\">E-Mail-Adresse<\/span><span class=\"f_List1\"> des zugehörigen MDaemon-Benutzers in MDaemon ein.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">5.<\/span><span class=\"f_List1\">Klicken Sie auf <\/span><span class=\"f_List1\" style=\"font-weight: bold;\">Hinzufügen<\/span><span class=\"f_List1\">.<\/span><\/p>\n\r<p class=\"p_List1_LastItem\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">6.<\/span><span class=\"f_List1_LastItem\">Klicken Sie auf <\/span><span class=\"f_List1_LastItem\" style=\"font-weight: bold;\">Speichern<\/span><span class=\"f_List1_LastItem\">.<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">Um einen Eintrag zu bearbeiten, gehen Sie folgendermaßen vor:<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">1.<\/span><span class=\"f_List1\">Klicken Sie den Eintrag an, den Sie bearbeiten wollen.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">2.<\/span><span class=\"f_List1\">Klicken Sie auf <\/span><span class=\"f_List1\" style=\"font-weight: bold;\">Bearbeiten<\/span><span class=\"f_List1\">.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">3.<\/span><span class=\"f_List1\">Nehmen Sie die gewünschten Änderungen vor.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">4.<\/span><span class=\"f_List1\">Klicken Sie auf <\/span><span class=\"f_List1\" style=\"font-weight: bold;\">Aktualisieren<\/span><span class=\"f_List1\">.<\/span><\/p>\n\r<p class=\"p_List1_LastItem\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">5.<\/span><span class=\"f_List1_LastItem\">Klicken Sie auf <\/span><span class=\"f_List1_LastItem\" style=\"font-weight: bold;\">Speichern<\/span><span class=\"f_List1_LastItem\">.<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">Um einen Eintrag zu löschen, gehen Sie folgendermaßen vor:<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">1.<\/span><span class=\"f_List1\">Klicken Sie auf den Eintrag, den Sie löschen wollen.<\/span><\/p>\n\r<p class=\"p_List1\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">2.<\/span><span class=\"f_List1\">Klicken Sie auf <\/span><span class=\"f_List1\" style=\"font-weight: bold;\">Löschen<\/span><span class=\"f_List1\">.<\/span><\/p>\n\r<p class=\"p_List1_LastItem\" style=\"text-indent: 0; padding-left: 1.6875rem; margin-left: 2.0625rem;\"><span class=\"f_List1\" style=\"display:inline-block;width:1.6875rem;margin-left:-1.6875rem\">3.<\/span><span class=\"f_List1_LastItem\">Klicken Sie auf <\/span><span class=\"f_List1_LastItem\" style=\"font-weight: bold;\">Speichern<\/span><span class=\"f_List1_LastItem\">.<\/span><\/p>"
})
