OAuth 2.0 / OIDC
Anmeldung über einen externen Identity Provider wie Microsoft Entra, Keycloak oder Authentik konfigurieren.
Der Schalter OAuth 2.0 / OIDC ermöglicht die Anmeldung über einen externen Identity Provider — ohne eigenes DenkBox-Passwort.
Einrichtung
OAuth aktivieren
Aktiviere den Schalter OAuth 2.0 / OIDC. Danach zeigt die Seite die Redirect URI und die restlichen Felder an.
Redirect URI hinterlegen
Kopiere die angezeigte Redirect URI, z. B. https://<deine-denkbox>/auth/oauth/callback, und trage sie beim externen Identity Provider als erlaubte Redirect URI ein. Ohne diesen Eintrag schlägt die Anmeldung fehl.
Provider-Vorlage wählen (optional)
Für gängige Identity Provider gibt es Vorlagen, die Authorization-, Token- und Userinfo-URL automatisch anhand weniger Angaben vorausfüllen:
- Authentik: Basis-URL
- Keycloak: Basis-URL, Realm
- Authelia: Basis-URL
- Microsoft Entra: Tenant-ID
- Generisch: keine Vorlage — alle Felder werden manuell gefüllt
Wähle den passenden Provider, trage die geforderten Werte ein und klicke Felder vorausfüllen. Die Werte lassen sich danach noch manuell anpassen.
Anzeigename, Client ID und Client Secret eintragen
- Anzeigename des Providers: Beschriftung auf dem Login-Button, z. B.
MicrosoftoderGoogle. - Client ID: Client-Kennung, die der Identity Provider beim Anlegen der Anwendung vergibt.
- Client Secret: zugehöriges Geheimnis. Wird maskiert dargestellt.
URLs prüfen oder eintragen
Falls keine Provider-Vorlage verwendet wurde, trage die drei Endpunkte manuell ein:
- Authorization URL: Endpunkt, an den Nutzer:innen zur Anmeldung weitergeleitet werden.
- Token URL: Endpunkt, an dem DenkBox den Autorisierungscode gegen ein Token tauscht.
- Userinfo URL: Endpunkt, von dem DenkBox Profildaten der angemeldeten Person abruft.
Scopes und Benutzername-Claim setzen
- Scopes: Leerzeichen-getrennte OAuth-Scopes. Standard:
openid email profile. - Benutzername-Claim: Claim aus dem Userinfo-Endpunkt, der als Benutzername verwendet wird, z. B.
preferred_username. Leer lassen, um stattdessen den lokalen Teil der E-Mail-Adresse zu verwenden.
Admin-Gruppe konfigurieren (optional)
Trage im Feld Admin-Gruppe den Gruppennamen ein, den der Identity Provider im Claim groups oder roles führt. Nutzer:innen in dieser Gruppe erhalten automatisch Admin-Rechte. Leer lassen, um die Funktion zu deaktivieren.
Hinweise
- Alle Felder werden pro Eingabe automatisch gespeichert.
- Ohne korrekt hinterlegte Redirect URI beim Identity Provider funktioniert die Anmeldung nicht.
- Die Admin-Gruppe wird bei jeder Anmeldung neu ausgewertet — Änderungen am Identity Provider wirken sich beim nächsten Login aus.