> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/de/administrator-bereich/account-and-endpoint-management/sso-field-guide.md).

# SSO-Feldleitfaden

## Einleitung

Die Integration von Single Sign-On (SSO) mit Zoom bietet Administratoren Benutzerverwaltung und Sicherheitsoptionen, die die Kontoverwaltung vereinfachen können. Nach der Konfiguration authentifizieren sich Benutzer mit ihren Unternehmensanmeldedaten bei Ihrem unternehmenseigenen Identitätsanbieter anstatt alternative Authentifizierungsmethoden wie Oauth über eine Drittanbieter-App oder einen direkten Benutzernamen und ein Passwort bei Zoom zu verwenden.

Dieses Dokument bietet einen umfassenden Überblick über SSO-Konfigurationen und Einstellungen innerhalb von Zoom sowie über Informationen zur Fehlerbehebung und Sicherheit.

## SSO konfigurieren

#### <mark style="color:blau;">SSO erfordert zum Start eine Vanity-URL</mark>

Ein Konto muss über eine genehmigte Vanity-URL verfügen, bevor SSO konfiguriert wird. Sobald die Vanity-URL genehmigt ist, können Zoom-Administratoren auf die [SSO-Konfiguration](https://zoom.us/account/sso) Seite über das Untermenü für erweiterte Optionen im Webportal zugreifen. Weitere Informationen finden Sie in unserem Support-Artikel zu [Vanity-URLs](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) für weitere Informationen.

#### <mark style="color:blau;">Zoom SSO funktioniert mit jedem SAML 2.0- oder OIDC-Identitätsanbieter</mark>

Zoom kann sich in jeden Identitätsanbieter integrieren, der Security Assertion Markup Language (SAML) 2.0 oder OpenID Connect (OIDC) Authentifizierung unterstützt.

#### <mark style="color:blau;">Zoom-Administratoren können Benutzerprofilinformationen und Lizenzierung über Response-Mapping oder SCIM-Integrationen verwalten</mark>

Administratoren können Benutzerprofilinformationen und Lizenzierung über Antwortzuordnung oder Anfragen an das System for Cross-Domain Identity Management (SCIM) Anwendungsprogrammierschnittstelle (API) verwalten, je nachdem, welche Funktionen vom Identitätsanbieter Verfügbar sind. Beide Methoden der Benutzerverwaltung bieten nahezu gleiche Funktionalität für die Zuordnung von Profilinformationen und die Lizenzverwaltung, aber einige SCIM-Zuordnungen erfordern eine manuelle Konfiguration.

Für eine umfassende Liste der SCIM-Funktionen siehe unsere [SCIM API-Dokumentation](https://developers.zoom.us/docs/api/?ampDeviceId=157cfe5d-7f7a-45eb-afb0-efde5a7d3feb\&ampSessionId=1778697171616).

#### <mark style="color:blau;">Zoom-Administratoren können den Status des Benutzer-Kontos über SCIM verwalten, aber nicht über SAML oder OIDC</mark>

Da SCIM es Identitätsanbietern jederzeit ermöglicht, direkt mit Zoom zu kommunizieren, können Benutzerkonten *aktiviert*, *deaktiviert*, *erstellt*, oder *gelöscht* durch SCIM-Integrationen automatisch. Wenn zum Beispiel ein Konto eines Benutzers in Active Directory deaktiviert ist oder wenn er der Anwendung nicht zugewiesen wurde, kann SCIM eine automatische Deaktivierungsanfrage für dessen Konto innerhalb von Zoom senden. Diese Funktion hängt von den Möglichkeiten der SCIM-Anwendung des Identitätsanbieters ab, und die Funktionalität kann je nach Anbieter variieren.

#### <mark style="color:blau;">Begrenzte Identitätsanbieter bieten SCIM für Zoom an</mark>

Viele Identitätsanbieter haben keine SCIM-Integration, die als Teil ihrer Dienste für Zoom entwickelt wurde. Konten, die einen Identitätsanbieter verwenden, der SCIM mit Zoom nicht unterstützt, müssen Response Mapping für die automatisierte Benutzerverwaltung verwenden.

#### <mark style="color:blau;">SCIM erfordert eine zugehörige Domäne, um Benutzer automatisch bereitzustellen</mark>

Konten, die SCIM verwenden, um Benutzer für SSO zu verwalten und bereitzustellen **muss** Ordnen Sie die E-Mail-Domäne Zoom zu. Wenn die Domäne nicht zugeordnet wird, führt dies zu Fehlern bei der Benutzerbereitstellung. Lesen Sie unseren Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen zum Prozess.

### SAML-Konfigurationsleitfaden

Die folgenden Links enthalten Leitfäden zur Konfiguration von SSO mit SAML.

{% hint style="success" %}
**Zoom-Tipp**

Klicken Sie auf das ✔ in der Spalte Provider oder Zoom-Dokumentation, um ein neues Fenster mit den Anweisungen zu öffnen.
{% endhint %}

<table><thead><tr><th width="211.5616455078125"></th><th align="center">Anbieterdokumentation</th><th align="center">Zoom-Dokumentation</th><th align="center">Unterstützt SCIM</th></tr></thead><tbody><tr><td>auth0</td><td align="center"><a href="https://marketplace.auth0.com/integrations/zoom-sso">✔</a></td><td align="center"><br></td><td align="center"><br></td></tr><tr><td>ADFS</td><td align="center"><br></td><td align="center"><a href="https://support.zoom.com/hc/en/article?id=zm_kb&#x26;sysparm_article=KB0062700">✔</a></td><td align="center">AD Sync-Tool</td></tr><tr><td>Clever</td><td align="center"><a href="https://support.clever.com/hc/s/articles/360040481852">✔</a></td><td align="center"><br></td><td align="center"><br></td></tr><tr><td>CyberArk</td><td align="center"><a href="https://docs.cyberark.com/Product-Doc/OnlineHelp/Idaptive/Latest/en/Content/Applications/AppsWeb/Zoom.htm">✔</a></td><td align="center"><br></td><td align="center"><br></td></tr><tr><td>Duo</td><td align="center"><a href="https://duo.com/docs/sso-zoom">✔</a></td><td align="center"><br></td><td align="center"><br></td></tr><tr><td>Entra ID (ehemals Azure)</td><td align="center"><a href="https://docs.microsoft.com/en-us/azure/active-directory/saas-apps/zoom-tutorial">✔</a></td><td align="center"><a href="https://support.zoom.com/hc/en/article?id=zm_kb&#x26;sysparm_article=KB0064121">✔</a></td><td align="center">✔</td></tr><tr><td>Google</td><td align="center"><a href="https://support.google.com/a/answer/7577316?hl=en">✔</a></td><td align="center"><a href="https://support.zoom.com/hc/en/article?id=zm_kb&#x26;sysparm_article=KB0066144">✔</a></td><td align="center"><br></td></tr><tr><td>JumpCloud</td><td align="center"><a href="https://support.jumpcloud.com/support/s/article/single-sign-on-sso-with-zoom1-2019-08-21-10-36-47">✔</a></td><td align="center"><br></td><td align="center">✔</td></tr><tr><td>miniOrange</td><td align="center"><a href="https://www.miniorange.com/iam/integrations/zoom-single-sign-on-sso">✔</a></td><td align="center"><br></td><td align="center"><br></td></tr><tr><td>Okta</td><td align="center"><a href="https://saml-doc.okta.com/SAML_Docs/How-to-Configure-SAML-2.0-for-Zoom.us.html">✔</a></td><td align="center"><a href="https://support.zoom.com/hc/en/article?id=zm_kb&#x26;sysparm_article=KB0063256">✔</a></td><td align="center">✔</td></tr><tr><td>OneLogin</td><td align="center"><a href="https://onelogin.service-now.com/support?id=kb_article&#x26;sys_id=a10d1e2f87bf6850247f4156cebb35d5">✔</a></td><td align="center"></td><td align="center">✔</td></tr><tr><td>Ping Identity</td><td align="center"><a href="https://docs.pingidentity.com/integrations/zoom/setup/pf_zoom_connector_configuring_single_sign_on_in_zoom.html">✔</a></td><td align="center"><br></td><td align="center">✔</td></tr></tbody></table>

Wenn der Identitätsanbieter, den Ihr Business verwendet, oben nicht aufgeführt ist, empfehlen wir, in der Wissensdatenbank des Anbieters nach einem Zoom-spezifischen Integration-Leitfaden zu suchen. Falls keiner Verfügbar ist, kann SSO weiterhin konfiguriert werden, indem die wichtigsten Kennungen aus Ihrem IdP auf dem Zooms SSO-Konfigurationsbildschirm abgeglichen werden. Verweisen Sie auf das Support-Center von Zoom für weitere Informationen zu einem [schnellen Startleitfaden für SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0060673) und welche Informationen erforderlich sind, um diesen Prozess abzuschließen.

### OIDC-Konfigurationsleitfaden

Zoom unterstützt OIDC-Discovery, das gängige Details des Identitätsanbieters wie den Issuer, den Autorisierungs-Endpunkt, den Token-Endpunkt und die Signierschlüssel automatisch ausfüllen kann. Da OIDC auf standardisierten Konfigurationswerten basiert, ist eine anbieterbezogene Zoom-Dokumentation in der Regel nicht erforderlich; wenn Discovery nicht verfügbar ist, können die erforderlichen Werte manuell eingegeben werden.

Daher können standardkonforme OIDC-Identitätsanbieter im Allgemeinen mit Zoom konfiguriert werden, selbst wenn kein anbieterspezifischer Leitfaden zur Integration verfügbar ist. Weitere Informationen finden Sie im Support-Center von Zoom zu [der Konfiguration von OIDC-SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0083701).

### Zusätzliche Konfigurationsoptionen

#### <mark style="color:blau;">Zoom kann mehrere Vanity-URLs und/oder mehrere Anwendungen für Identitätsanbieter unterstützen</mark>

Zoom-Konten können mehrere Vanity-URLs, mehrere Identitätsanbieter-(IdP)-Konfigurationen oder eine Kombination aus beidem unterstützen. Zu den unterstützten Konfigurationen gehören:

* Mehrere Vanity-URLs, die sich eine gemeinsame IdP-Konfiguration teilen.
* Mehrere Vanity-URLs, jeweils mit einer unabhängigen IdP-Konfiguration.
* Eine einzelne Vanity-URL, die mit mehreren IdP-Konfigurationen verknüpft ist.

Diese Konfigurationen werden über Zoom-Support aktiviert und nicht über die Standard-SSO-Verwaltungsoberfläche konfiguriert. Reichen Sie eine [Support-Anfrage](https://support.zoom.com/hc/en/contact?id=contact_us) zum Aktivieren dieser Funktion, zusammen mit der gewünschten Vanity-URL und der IdP-Konfiguration sowie dem beabsichtigten Authentifizierungsergebnis.

{% hint style="info" %}
**Hinweis**

OIDC-Authentifizierung unterstützt derzeit keine mehreren Vanity-URLs oder IdPs. Wenn Sie nicht sicher sind, ob dieser Fall auf Sie zutrifft, wenden Sie sich für weitere Informationen an Ihr Zoom-Konto-Team.
{% endhint %}

#### <mark style="color:blau;">On-Premises Active Directory kann das AD Sync-Tool statt SCIM verwenden</mark>

Konten, die die Automatisierung der Benutzerbereitstellung über SCIM vornehmen möchten, aber keinen Cloud-basierten Identitätsanbieter haben, können das Active Directory (AD) Synchronisieren-Tool Anwendung verwenden, das von Zoom für die Verwaltung ihrer Benutzer entwickelt wurde. Diese Anwendung läuft auf Oracle JDK 8 und simuliert SCIM-Bereitstellung, indem sie Benutzer über API-Befehle verwaltet. Siehe unseren Support-Artikel zu der [AD Sync-Tool](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) für weitere Informationen.

{% hint style="success" %}
**Zoom-Empfehlung**

Das AD Sync-Tool erfordert eine präzise Konfiguration für Benutzerverwaltung. Um eine Unterbrechung des Dienstes zu vermeiden, sind gründliche Tests und eine Überprüfung der Konfiguration des Tools erforderlich, bevor die vollständige Implementierung erfolgt.
{% endhint %}

#### <mark style="color:blau;">Identitätsanbieter können sogar Meeting-Teilnehmer authentifizieren, die kein Zoom-Konto haben</mark>

Kunden, die von Benutzern verlangen möchten, ihre Identität zu authentifizieren, aber keine Zoom-Konten bereitstellen möchten, können mit ihrem Identitätsanbieter ein externes Authentifizierungsprofil konfigurieren. Wenn es für ein Meeting aktiviert ist, müssen Benutzer, die versuchen beizutreten, ihre Anmeldedaten bei Ihrem Identitätsanbieter authentifizieren, um Access zu erhalten. Dies ist eine häufige Konfiguration für Schulen, die nicht allen Schülern Konten bereitstellen, aber für die Teilnahme an Klassen Authentifizierung verlangen. Weitere Informationen finden Sie in unserem Support-Artikel zu [Konfigurieren externer Authentifizierung](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) für weitere Informationen.

#### <mark style="color:blau;">Das Ändern des Identitätsanbieters erfordert das erneute Konfigurieren von SSO in Zoom</mark>

Konten, die den Identitätsanbieter Ändern, müssen ihre SSO-Konfiguration in Zoom erneut durchführen. Dazu gehört, alle Felder auf der Konfigurationsseite zu aktualisieren, damit sie ihrem neuen Identitätsanbieter entsprechen. Konten wird empfohlen zu bestätigen, dass sich die Antwortzuordnungen mit dem neuen Identitätsanbieter nicht ändern.

Es sollten keine zusätzlichen Konfigurationen oder Änderungen erforderlich sein, sofern es keine weiteren Änderungen gibt.

#### <mark style="color:blau;">Kunden mit Unterkonten können SSO vom Hauptkonto oder Unterkonto aus konfigurieren</mark>

Kunden mit Unterkonten haben zwei Möglichkeiten, SSO zu konfigurieren:

1. Alle Benutzer authentifizieren sich über die Vanity-URL des Hauptkontos und werden über erweiterte Antwortzuordnung automatisch beim Unterkonto angemeldet ([es gelten einige Zuordnungsbeschränkungen](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons))
2. Jedes Unterkonto hat eine eindeutige Vanity-URL und eine unabhängige SSO-Konfiguration, die ausschließlich von Mitgliedern dieses Unterkontos verwendet wird

Jede Konfiguration bietet einzigartige Vorteile, wobei die zweite Option die größte Flexibilität bietet. Kunden, die die Implementierung einer der beiden Konfigurationen in Betracht ziehen, sollten mit ihrem Konto-Team besprechen, welche Konfiguration am besten für ihre Bedürfnisse geeignet ist.

## Bereitstellungsmethoden

#### <mark style="color:blau;">Bereitstellungsmodi und SCIM sind zwei unterschiedliche Mechanismen und können zusammen verwendet werden</mark>

Bereitstellung *Beim Anmelden* und *Vor der Anmeldung* sind die zwei verfügbaren Werte einer einzelnen SSO-Einstellung. Sie bestimmen, ob Zoom für einen Benutzer im Moment, in dem er sich authentifiziert, ein Konto anlegt oder ob das Konto bereits vorhanden sein muss. SCIM ist kein dritter Wert dieser Einstellung – es ist ein separater, API-gesteuerter Mechanismus, der Benutzer unabhängig von der Authentifizierung bereitstellt und parallel zu dem jeweils ausgewählten Bereitstellungsmodus funktioniert.

| Bereitstellungsmethode                                             | Wie es funktioniert                                                                        | Voraussetzungen                                                                  | Erstellt Konten                           | Deaktiviert Konten                        |
| ------------------------------------------------------------------ | ------------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------- | ----------------------------------------- | ----------------------------------------- |
| <p><strong>Beim Anmelden</strong><br>(Just-in-time)</p>            | Erstellt das Konto, wenn sich der Benutzer zum ersten Mal authentifiziert                  | Keine                                                                            | Ja                                        | Nein                                      |
| <p><strong>Vor der Anmeldung</strong><br>(Vorabbereitstellung)</p> | Überprüft, ob ein Benutzer zum Anmelden über SSO berechtigt ist                            | Ein Konto mit dem SSO-Anmeldetyp. Wird häufig mit SCIM-Bereitstellung verwendet. | Nein, wird aber häufig mit SCIM verwendet | Nein, wird aber häufig mit SCIM verwendet |
| **SCIM**                                                           | Synchronisiert Benutzerdaten vom Identitätsanbieter nach seinem eigenen Zeitplan über APIs | IdP-SCIM-Unterstützung und eine zugehörige Domäne                                | Ja                                        | Ja, wenn vom IdP unterstützt              |

### Beim Anmelden

#### <mark style="color:blau;">Die Bereitstellung bei der Anmeldung erstellt das Konto und den SSO-Anmeldetyp in einem einzigen Schritt</mark>

Mit der *Beim Anmelden* Einstellung (auch bekannt als Just-in-time-Bereitstellung) wird für einen Benutzer, dem innerhalb des Identitätsanbieters die Zoom-Anwendung zugewiesen wurde und der eine unterstützte Zoom-Lizenz erhält, beim ersten Mal, wenn er sich authentifizieren, ein Konto erstellt. Vorher muss in Zoom nichts vorhanden sein. Dadurch ist dies die einfachste Option zum Einrichten und der Grund, warum sie bei der ersten Konfiguration von SSO auf einem Konto empfohlen wird.

Provisionierung bei der Anmeldung ist auch mit SCIM kompatibel — beide können gleichzeitig ausgeführt werden. In der Praxis macht SCIM dies jedoch meist überflüssig, da die Konten bereits existieren, wenn sich ein Benutzer zum ersten Mal authentifiziert.

### Vor der Anmeldung

#### <mark style="color:blau;">Provisionierung vor der Anmeldung hängt davon ab, dass etwas anderes zuvor das Konto oder den Anmeldetyp erstellt hat</mark>

Die *Vor der Anmeldung* Einstellung (auch als Pre-Provisioning bekannt) provisioniert nichts automatisch. Stattdessen erzwingt sie eine Bedingung: Ein Benutzer darf sich nur authentifizieren, wenn sein Zoom-Konto bereits existiert und den SSO-Anmeldetyp trägt. Daher muss etwas anderes für die Erstellung dieser Konten verantwortlich sein, und es gibt zwei praktische Optionen.

* **SCIM-Provisionierung**, wodurch Konten automatisch vom Identitätsanbieter erstellt werden, wenn Benutzern die Anwendung zugewiesen wird.
* **Massen-CSV-Upload** mit dem *SSO-Benutzer* ausgewählt, wodurch Konten erstellt und der SSO-Anmeldetyp in einem einzigen Import angewendet wird.

Deshalb werden Vorabbereitstellung und SCIM so häufig kombiniert. Die Vorabbereitstellung formuliert eine Anforderung; SCIM ist der Mechanismus, der sie in großem Maßstab erfüllt.

Zoom Administratoren können bestätigen, ob ein Konto einen SSO-Anmeldetyp hat, indem sie das Benutzerkonto auf der [Benutzerverwaltung](https://zoom.us/account/user#/) Seite im Webportal anzeigen und nach dem „SSO“-Symbol unter der E-Mail des Benutzers suchen.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcreMLZApFm8ejVa0ka9Z8eqYuNxu79PNBLNRQMSXiYuhd7i_yVll8yuREcJto4NqP1PWcodZJcONRGl97_uQx7fIg7XIaESAtwqFmtg94DGrwzWgJJSPITSivg8XydSZEJPGMY7Q?key=ug1dFE_WGWGnyMfD5tJnNw" alt="A user profile showing an SSO login type" width="375"><figcaption><p>Standort des SSO-Symbols unter der E-Mail eines Benutzers.</p></figcaption></figure></div>

Wenn das Symbol präsentieren ist, ist der Benutzer für SSO bereitgestellt; fehlt das Symbol, kann der Benutzer sich nicht über SSO anmelden, solange die Vorabbereitstellung aktiviert ist, bis es durch Hinzufügen ergänzt wird. Ein Zoom Administrator kann diesen Anmeldetyp durch das Hinzufügen von Benutzern in großen Mengen über eine CSV-Datei und die Auswahl der Option „SSO-Benutzer“ hinzufügen oder den Benutzer dazu veranlassen, sich zu authentifizieren, während die Bereitstellung bei der Anmeldung aktiviert ist.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcoPrIr5MH76SjZUpz7giqvgeI20rLRN6ZRT__7ltUhhuaWNyH4nM0EePcE7V3aFx1tbMqPICLZ_9dHs7Gc3_tXWOGZ4KOKQzPCdb4meMTpRxcBvNOJ2QwQmAisWT-KtWUzl_B1gQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="375"><figcaption><p>Beispiel mit der Option „SSO-Benutzer“ für den Massen-Upload.</p></figcaption></figure></div>

### SCIM

#### <mark style="color:blau;">SCIM stellt Benutzer über APIs bereit und behauptet niemals Identitätswerte wie SAML oder OIDC</mark>

SCIM unterscheidet sich vom Response-Mapping auf eine Weise, die klar benannt werden sollte. Response-Mapping – ob durch SAML-Assertions oder OIDC-Claims – übermittelt Benutzerinformationen *als Teil eines Events zur Authentifizierung*. Nichts wird angewendet, bis sich der Benutzer anmeldet, und die Informationen werden innerhalb der Assertion übertragen.

SCIM enthält überhaupt keine Assertions oder Claims. Der Identitätsanbieter ruft Zooms API direkt nach seinem eigenen planen auf und sendet Benutzerinformationen, unabhängig davon, ob sich der Benutzer jemals angemeldet hat. Dadurch kann SCIM Konten erstellen, aktualisieren, deaktivieren und löschen, ohne Beteiligung des Benutzers, und deshalb kann SCIM den Kontostatus verwalten, während die Antwortzuordnung dies nicht kann.

SCIM ist mit beiden Bereitstellungsmodi kompatibel und wird am häufigsten zusammen mit der Vorabbereitstellung eingesetzt.

{% hint style="success" %}
**Zoom-Empfehlung**

Beim Konfigurieren von SSO und SCIM zusammen auf einem neuen Konto, Aktivieren *Bereitstellung bei der Anmeldung* zuerst. Es hilft sicherzustellen, dass sich Benutzer authentifizieren können, während die SCIM-Integration noch validiert wird. Sobald Sie bestätigt haben, dass SCIM Konten mit dem angewendeten SSO-Anmeldetyp erstellt, wechseln Sie zu *Vor der Anmeldung* wenn die strengere Kontrolle gewünscht ist.
{% endhint %}

## Sicherheitseinstellungen

#### <mark style="color:blau;">Zoom-Administratoren können ein automatisches Abmelden nach einer festgelegten Zeitdauer erzwingen</mark>

Zoom-Administratoren können Zoom Konfigurieren, sodass Benutzer nach festgelegten Zeitspannen automatisch aus aktiven Sitzungen abgemeldet werden, anpassbar von 15 Minuten bis 180 Tagen. Dieser Prozess setzt das Zoom-Access-Token so, dass es nach der vorher festgelegten Dauer abläuft, sobald das Token generiert wurde. Dieses Token steht in keiner Beziehung zu einem Identitätsanbieter und ist einzigartig für Zoom.

#### <mark style="color:blau;">Eine Domain muss zugeordnet und verwaltet werden, um SSO-Authentifizierung zu erzwingen</mark>

Zoom-Administratoren können SSO-Authentifizierung erzwingen *nur* wenn die E-Mail-Domain in Zoom zugeordnet und verwaltet wird. Wenn dies aktiviert ist, werden alle Benutzer, die sich mit Ihrer Unternehmensdomain bzw. Ihren Unternehmensdomains authentifizieren, automatisch zur Authentifizierungsseite Ihres Identitätsanbieters weitergeleitet, unabhängig von der Plattform.

Sobald die Domain genehmigt und verwaltet wurde, kann ein Zoom-Administrator SSO-Authentifizierung über die Sicherheitsseite Ihres Kontos [Sicherheitsseite](https://zoom.us/account/setting/security) unter **Anmeldemethoden**. Siehe unseren Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen zum Zuordnen und Verwalten einer Domain.

#### <mark style="color:blau;">Bestimmte Benutzer können von der erzwungenen SSO-Authentifizierung ausgenommen werden</mark>

Zoom-Administratoren können bestimmte Benutzer von erzwungener SSO-Authentifizierung ausschließen. Das Ausschließen bestimmter Benutzer (z. B. eines Administrator-Kontos) kann hilfreich sein, wenn eine SSO-Konfiguration nicht funktioniert und ein Kontoadministrator einen Nicht-SSO-Zugriff auf das Zoom-Konto benötigt. Von der Regel ausgenommenen Administratoren können sich bei Administrator.zoom.us jederzeit anmelden, falls es zu einer Kontosperrung oder zu einer defekten SSO-Konfiguration kommt (Benutzer muss über den Standard **Administrator** Rolle). Wenn ein Zoom Administrator nicht auf das Konto zugreifen kann, muss er Kontakt zum Zoom-Support aufnehmen, um Unterstützung zu erhalten.

Um eine Benutzer-Ausnahme zu Aktivieren, navigieren Sie zum Konto [Sicherheitsseite](https://zoom.us/account/setting/security) im Webportal unter den erweiterten Optionen die Liste der erzwungenen Domains suchen und über die Bearbeitungsliste das Hinzufügen einer Ausnahme ausführen.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXe23kx3YxMdjE3_CZSecp2CF3HA42tOP80rwvDJo5JApEYW3sPKjo4p2qyJFQ912BHysKjQ51M5p04hb_ODjApxTyL3bh9-PooZZ1lrf1odC8z1n8xtOcDjROAjCO-45Idn5nVglw?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="375"><figcaption><p>Beispiel einer Domänenliste für SSO.</p></figcaption></figure></div>

#### <mark style="color:blau;">Mobile und Desktop-Clients können so konfiguriert werden, dass Benutzer sich per SSO-Authentifizierung anmelden müssen</mark>

Zoom-Clients können vorkonfiguriert werden, um SSO-Funktionalität zu automatisieren, einschließlich automatischer Anmeldung, automatischer Abmeldung, ausschließlicher SSO-Authentifizierung auf dem Gerät und mehr mithilfe von Gruppe-Richtlinien, Mobile-Gerät-Verwaltungsdiensten (MDM) und Clients für Massenbereitstellung.

Eine vollständige Liste der Konfigurationsmöglichkeiten finden Sie in unseren Konfigurationsoptionen für [Richtlinie der Gruppe](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) und [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows).

#### <mark style="color:blau;">Office 365-Benutzer kann sich automatisch bei der Zoom für Outlook add-in mit SSO-Anmeldeinformationen anmelden</mark>

Kunden, die Office 365 verwenden, können ihre Benutzer mit Zoom für Outlook Hinzufügen automatisch mithilfe von SSO-Zugangsdaten anmelden. Dies kann mit einem [benutzerdefiniertes Hinzufügen-In-Manifest](https://support.zoom.us/hc/en-us/articles/360041403311) das die Vanity-URL des Kontos vorbefüllt und so für Benutzer ein nahtloses Authentifizierungserlebnis schafft. Diese Funktion verwendet das Token der aktiven SSO-Sitzung des Benutzers, wenn es aktiv ist, oder fordert eine neue Authentifizierung bei Ihrem Identitätsanbieter an, wenn keine aktive Sitzung gefunden wird.

Ein Zoom-Administrator kann diese Einstellung auf dem Konto Aktivieren [Sicherheitsseite](https://zoom.us/account/setting/security) unter dem **erweiterten** Menü.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXfEdymeE4sK16jjdIFscCwWJFRXrCOOa_JUC8l0P7qxR3mXD4HFeDP9V3SUEsJCFMFqn41oKdwmS2Rk7Ilu-NgPfaPj0IpVnYxYUCPYdtcVCU63p7GfceHm5GrhvgdFEPC67hpP?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="375"><figcaption><p>Beispiel für eine Administrator-Einstellung für SSO mit Outlook-Hinzufügen.</p></figcaption></figure></div>

## Antwortzuordnung

Bei der Antwortzuordnung, **Attribute** sind Datenkategorien, die von **Werten**, und werden verwendet, um Informationen vom Identitätsanbieter an einen Dienstanbieter wie Zoom zu übermitteln. Das Zuordnen von Attributen und Werten ist wesentlich, um Benutzerprofilinformationen zu automatisieren und Benutzerlizenzen zu verwalten.

Die Zoom-Antwortzuordnung ist in zwei Hälften unterteilt: *Basic* und *erweiterten*. Die Basic-Zuordnung wird verwendet, um Basic-Profilinformationen wie Name, Telefonnummer, Abteilung usw. zuzuordnen, während die erweiterte Zuordnung verwendet wird, um dynamische Lizenzzuweisungen zu verwalten, Benutzergruppen zuzuweisen, Benutzerrollen und mehr.

Dieser Abschnitt behandelt die Grundlagen der Basic- und erweiterten Antwortzuordnung und hebt die einzigartigen Bedingungen hervor, die für einige Funktionen erforderlich sind.

#### <mark style="color:blau;">Zoom unterstützt Antwortzuordnung sowohl über SAML als auch über OIDC</mark>

Zoom kann Antwortzuordnung über SAML oder OIDC Konfigurieren. SAML-Identitätsinformationen werden in XML-formatierten Assertions ausgetauscht, während OIDC-Identitätsinformationen über JSON Web Key Sets (JWKs) bereitgestellt werden. In beiden Fällen kann Zoom die vom Identitätsanbieter empfangenen Attribute oder Claims verwenden, um Benutzerprofilinformationen, Lizenzen, Gruppen und andere unterstützte Kontoeinstellungen zuzuordnen.

#### <mark style="color:blau;">Grundlagen: Attribute und Werte</mark>

Die meisten Identitätsanbieter übermitteln Basic-Profilinformationen mithilfe einfacher Attributnamen und -werte. Beispielsweise kann die Abteilung eines Mitarbeiters mit einem Attribut von department und einem Wert von Human Resources übermittelt werden. Die folgende Tabelle zeigt die Beziehung zwischen Attributen und Werten beim Übermitteln von Informationen über einen Benutzer.

| Attribut  | Wert                           |
| --------- | ------------------------------ |
| Vorname   | John                           |
| Nachname  | Smith                          |
| E-Mail    | <john.smith@companydomain.com> |
| Abteilung | Personalwesen                  |

Indem einem Antwort-Mapping ein Attribut korrekt zugewiesen wird, können Benutzerinformationen automatisch auf ein Benutzerprofil angewendet werden, um den Prozess der Kontoerstellung und -verwaltung zu vereinfachen.

### Basic-Mapping: Profilinformationen

Basic Mapping wird verwendet, um Profilinformationen wie Vorname, Nachname, Abteilung, Telefonnummer, Kostenstelle und Standort aus einem Verzeichnis auf das Profil eines Benutzers anzuwenden. Viele dieser Kategorien sind selbsterklärend und lassen sich leicht konfigurieren; einige Kategorien erfordern jedoch eine Erklärung, damit sie korrekt konfiguriert werden können, um unvorhergesehene Konsequenzen oder Anwendungsfehler zu verhindern. Der folgende Abschnitt hebt einzigartige Zuordnungsoptionen und Konfigurationseinstellungen für Basic Mapping hervor. Siehe unseren [Artikel zu Basic Mapping](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) für eine vollständige Liste unterstützter Attribute.

#### <mark style="color:blau;">Der standardmäßig festgelegte Lizenztyp gilt nur für</mark> *<mark style="color:blau;">brandneue Benutzer</mark>*

Die Option für den standardmäßig festgelegten Lizenztyp wendet die zugewiesene Lizenz auf alle *brandneu* Benutzer, die im Konto über die erstmalige Authentifizierung bereitgestellt werden. Dies gilt nicht für Benutzer, die sich ein zweites Mal authentifizieren, Benutzer, die aus einem vorherigen Konto in das Konto zusammengeführt wurden, Benutzer, die über SCIM bereitgestellt werden, oder Benutzer, die manuell eingeladen wurden.

Für Informationen zu *Aktualisierung* Für Benutzerlizenzen mit Authentifizierung siehe die Lizenzkonfiguration unter [Erweiterte Zuordnung](#advanced-mapping-licenses-add-ons-and-access).

#### <mark style="color:blau;">Ein standardmäßiger Lizenztyp von</mark> *<mark style="color:blau;">Keine</mark>* <mark style="color:blau;">wird neue Benutzer nicht zulassen, sich zu authentifizieren, es sei denn, die erweiterte Zuordnung ist konfiguriert, um eine Lizenz zu Zuweisen</mark>

Zoom-Benutzer müssen einen zugewiesenen Lizenztyp haben (Nicht zugewiesen ohne Zoom Meetings Basic, Zoom Workplace usw.), um sich beim Zoom-Dienst anzumelden. Wenn ein standardmäßiger Lizenztyp von None ausgewählt ist, können neue Benutzer sich nicht anmelden oder ein neues Konto erstellen, es sei denn, sie erhalten eine Lizenz durch [Erweiterte Zuordnung](#advanced-mapping-licenses-add-ons-and-access).

#### <mark style="color:blau;">Die meisten grundlegenden Zuordnungen werden bei der Anmeldung erneut angewendet, sofern nicht anders angegeben</mark>

Die meisten grundlegenden Zuordnungen werden standardmäßig jedes Mal aktualisiert, wenn sich ein Benutzer anmeldet, *außer* *für* Vorname, Nachname, Anzeigename und Telefonnummer. Standardmäßig werden diese vier Zuordnungen nur beim ersten Mal angewendet, wenn sich ein Benutzer authentifiziert, und werden nicht erneut angewendet, selbst wenn sie von einem Benutzer oder Administrator aktualisiert werden. Zoom-Administratoren können dieses Verhalten Ändern, indem sie die Option für aktivieren **Bei jeder SSO-Anmeldung aktualisieren** auf der Seite für das Antwort-Mapping.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdgxB7nSeT9EXKL47NDJoqfiLnUAkydR2-yPdvgvQW178LJscVd-Jo8TfyuPBb2sez6c5cRwwK0FwoEhCwG8TlOfZV1MzpWoZxXOYHu1WCcPZYBryituG7Fyq-T88isb7-ofUn_MQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="375"><figcaption><p>Beispiel für die Option „Bei jeder SSO-Anmeldung aktualisieren“.</p></figcaption></figure></div>

#### <mark style="color:blau;">Telefonnummern-Zuordnungen sollten eine Ländervorwahl und Ortsvorwahl enthalten, wenn sie außerhalb der Vereinigten Staaten liegen</mark>

Telefonnummern, die über Assertions zugeordnet werden, sollten nach Möglichkeit die Ländervorwahl und Ortsvorwahl des Benutzers enthalten. Zoom geht standardmäßig von der Ländervorwahl +1 aus, wenn keine definiert ist.

Konten, die Ländervorwahlen in ihrem Verzeichnis nicht beibehalten, können ihre Assertions in ihrem Identitätsanbieter bearbeiten, um diese bei Bedarf automatisch einzuschließen.

#### <mark style="color:blau;">Jedem Benutzer können bis zu drei Telefonnummern und eine Faxnummer seinem Profil zugeordnet werden</mark>

Zoom-Administratoren können bis zu drei separate Telefonnummern und eine Faxnummer für jeden Benutzer Konfigurieren. Jede Telefonnummer muss eindeutig sein und darf den Wert eines anderen Feldes nicht duplizieren.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdYCqP1aO_ELJdgruJRApKiNSEQ96i1dThBbMwG0rH-XT4P64DcgadLpi_4dFm4tybOmAkUaH22Jg0Qs6WMhyanQ7FrFSHu7DFMJv6FzABVhdz6NvN_E0pX26mymjGHe5UjUcxRNg?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="375"><figcaption><p>Beispiel für Telefonnummernoptionen für jeden Benutzer.</p></figcaption></figure></div>

#### <mark style="color:blau;">Profilbilder müssen entweder von einer öffentlich zugänglichen URL zugeordnet oder mit Base64 codiert werden</mark>

Konten, die Profilbilder aus ihrem Verzeichnis zuordnen möchten, müssen die Bilder entweder über eine öffentlich zugängliche URL zuordnen oder das Bild bei der Assertion in Base64 kodieren.

### Eindeutige Mitarbeiter-ID

<mark style="color:blau;">**Die Mitarbeiter-Unique-ID ändert die primäre Kennung, die Zoom zur Identifizierung von Benutzern verwendet, und hilft, doppelte Benutzerkonten nach dem Ändern einer E-Mail zu verhindern**</mark>

Die *Eindeutige Mitarbeiter-ID* ist eine Funktion, die Zoom anbietet, um bei der Identitätsverwaltung zu helfen. Standardmäßig ist die primäre Kennung für einen Zoom-Benutzer ihre **E-Mail** **Adresse**. Dies bedeutet, dass, wenn der Anmeldetyp für die geschäftliche E-Mail-Adresse ist **<john.smith@company.com>**, dann wird Zoom diesen Benutzer immer anhand dieser E-Mail-Adresse identifizieren. Diese Kennung ermöglicht Integrationen wie SSO oder Facebook und Google OAuth-Konten, den Benutzer mit demselben Zoom-Konto zu verknüpfen.

Allerdings kann dieser Identifizierungsprozess problematisch sein, wenn sich der Name oder die E-Mail eines Benutzers ändert. Zum Beispiel, wenn **<john.smith@company.com>** hat ein Ändern der E-Mail zu **<jonathan.smith@company.com>**, Zoom kann nicht sicher feststellen, dass es sich um dieselbe Person handelt (weil die grundlegende Kennung unterschiedlich ist), daher wird Zoom beim ersten Mal ein neues Konto erstellen **<jonathan.smith@company.com>** meldet sich an.

Um dieses Problem zu vereinfachen, bietet Zoom die Funktion „Eindeutige Mitarbeiter-ID“ an, die die primäre Kennung eines Benutzers von seiner E-Mail-Adresse auf eine festgelegte eindeutige ID ändert. *Dies ändert nicht den Zoom-Benutzernamen eines Benutzers*, sondern stattdessen ein alternatives identifizierendes Attribut bietet. Diese Änderung ermöglicht Zoom, die E-Mail-Adresse eines Benutzers innerhalb von Zoom dynamisch zu aktualisieren, wenn:

* eine *neue* die E-Mail-Adresse mit einer bekannten Eindeutigen Mitarbeiter-ID verknüpft ist; und
* die E-Mail-Domäne des betroffenen Benutzers innerhalb von Zoom verknüpft ist

Zum Beispiel, wenn **<john.smith@company.com>** sich authentifiziert und einen Wert von 12345 (seine Mitarbeiternummer) für das Attribut „Eindeutige Mitarbeiter-ID“ übergibt, wird Zoom den Benutzer nun innerhalb des Kontos anhand des übermittelten Werts identifizieren. Wenn John sich erneut mithilfe der E-Mail authentifiziert **<jonathan.smith@company.com>** während weiterhin die eindeutige Mitarbeiter-ID 12345 übergeben wird, wird Zoom feststellen, dass <john.smith@company.com> jetzt **<jonathan.smith@company.com>** und wird die E-Mail des Benutzers im Konto dynamisch aktualisieren, wenn die Domäne zugeordnet ist.

Identitätsadministratoren sollten *positiv* dass keine zwei Benutzer denselben Wert für die eindeutige Mitarbeiter-ID aufweisen, bevor eine Zuordnung für diese Kategorie eingerichtet wird. Wenn sich ein anderer Benutzer authentifiziert und denselben Wert übergibt, wird die E-Mail erneut auf den neuen Benutzer aktualisiert, was zu erheblichen Beeinträchtigungen der Benutzerdienste und der Benutzererfahrung führen kann.

<mark style="color:blau;">**Die Funktion „Eindeutige Mitarbeiter-ID“ erfordert zugehörige Domänen zum Ändern der E-Mail eines Benutzers**</mark>

Die Funktion „Eindeutige Mitarbeiter-ID“ kann die E-Mail-Adresse eines Benutzers nicht aktualisieren, sofern die E-Mail-Domäne nicht offiziell mit Ihrem Kontoprofil verknüpft ist. Weitere Informationen finden Sie in unserem Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen.

<mark style="color:blau;">**Administratoren und Inhaber können ihre E-Mail nicht über die eindeutige Mitarbeiter-ID aktualisieren**</mark>

Administrator- und Inhaber-E-Mails innerhalb von Zoom können nicht über die Funktion „Eindeutige Mitarbeiterkennung“ aktualisiert werden. Dies dient als Sicherheitsmaßnahme, um unbefugten Access zu verhindern. Administratoren und Inhaber müssen ihre E-Mail über ihre Profilseite Ändern.

<mark style="color:blau;">**Benutzer-E-Mails können über die Eindeutige Mitarbeiterkennung nur einmal pro Tag aktualisiert werden.**</mark>

Benutzer-E-Mails können über die Funktion „Eindeutige Mitarbeiterkennung“ nur einmal innerhalb von 24 Stunden aktualisiert werden. Ein Benutzer muss nach der vorherigen Aktualisierung einen vollen Kalendertag warten, bevor er seine E-Mail erneut über SSO aktualisiert.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXct3ljK0YW8k8R82DXpS2__Hf8KB0qkleCQ_il6l4GcgeuhekPfPn55csfETIAauFfPQkmW7VBQOTDd2C9o39lzcTWDnMXZMW9FixnWOhCxraDttTdnKbXXF4aU1TrSOrh-9U388A?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Diagramm eines Beispielflusses zum Aktualisieren von Benutzer-E-Mails.</p></figcaption></figure></div>

<mark style="color:blau;">**Das Festlegen des Attributs auf \<NameID> verwendet die übermittelte NameID des Benutzers.**</mark>

Zuordnung des Attributs „Eindeutige Mitarbeiterkennung“ zu **\<NameID>** verwendet automatisch den übermittelten NameID-Wert des Benutzers als dessen eindeutige Kennung. Dies kann ein nützliches Werkzeug sein, wenn Ihr Identitätsanbieter eine NameID übermittelt, die nicht der E-Mail eines Benutzers entspricht, etwa einen Benutzerprinzipalnamen (UPN) oder einen ähnlichen Wert, der sich nicht Ändern lässt. Verwenden Sie diesen Wert nicht, wenn die NameIDs der Benutzer mit ihrer E-Mail übereinstimmen.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXfc-LwwficUxnJVa6raeHY3XwO_bRUnOo3Px-FpVWxCXKTEVRI2zoCRbp9Mjzsj1gyiTVmPy-gHryvIjpBuxrM8Me38KvWu0gf-mrPrnwxnaK9tk_hsywxF25Slq3Yh99iKINVPmw?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="375"><figcaption><p>Beispiel für die &#x3C;NameID>-Administrator-Einstellung.</p></figcaption></figure></div>

### Erweiterte Zuordnung: Lizenzen und Hinzufügen-ons

Im Abschnitt „Erweitertes Informations-Mapping“ können Lizenzen (einschließlich Zoom Phone), Hinzufügen-ons und Benutzerzugriffsgruppen dynamisch Benutzern zugewiesen werden, wenn diese sich authentifizieren. Im Gegensatz zum grundlegenden Mapping enthält erweitertes Mapping viele Besonderheiten, die je nach Komplexität Ihrer Umgebung bei der Konfiguration sorgfältige Aufmerksamkeit erfordern können. In diesem Abschnitt werden die Besonderheiten bei der Konfiguration des erweiterten Antwort-Mappings hervorgehoben. Weitere Informationen finden Sie in unserem [Artikel zum erweiterten Mapping](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) für eine vollständige Liste unterstützter Attribute.

#### <mark style="color:blau;">Erweitertes Mapping wird jedes Mal angewendet, wenn ein Benutzer sich authentifizieren muss</mark>

Im Gegensatz zum grundlegenden Mapping, das für einige Kategorien optionale Aktualisierungen bietet, werden Konfigurationen für erweitertes Mapping jedes Mal angewendet, wenn ein Benutzer sich authentifizieren muss, entsprechend der Reihenfolge der Anwendung von oben nach unten.

Wenn ein Benutzer beispielsweise über eine Basic-Lizenz verfügt und sich dann über SSO authentifizieren muss, wobei ein Attribut und ein Wert übergeben werden, die der Zuweisung einer vollständigen Lizenz zugeordnet sind, erhält der Benutzer sofort die vollständige Lizenz. Wenn das Profil des Benutzers anschließend im Identitätsanbieter geändert wird, um ihn wieder einer Basic-Lizenz zuzuordnen, wird ihm die Basic-Lizenz erneut zugewiesen, sobald er sich erneut in Zoom authentifizieren muss.

#### <mark style="color:blau;">Erweitertes Mapping ermöglicht mehrere Attribute und Werte pro Kategorie</mark>

Im Gegensatz zum grundlegenden Mapping, das nur ein Attribut pro Kategorie zulässt, kann erweitertes Mapping mehrere Attribute und Werte für jede Kategorie unterstützen. Dies ermöglicht erhebliche Flexibilität bei der Verwaltung von Benutzerlizenzierung und Zugriff über Sicherheitsgruppen innerhalb Ihres Identitätsanbieters, wie in der folgenden Konfiguration dargestellt.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcw0QbtEMEhc4KtDF3LZsfAIgir_-AB2XGFaJ6qWplazLgxbyRSunevolbVjRFe196QBnWeqwA8dPSnvGbyhg-TSH1yJ2iZvElnIDPU6j1wRuka_5MndC3rAjXADRJIqPmoeESo?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für erweitertes Attribut-Mapping.</p></figcaption></figure></div>

{% hint style="success" %}
**Zoom-Tipp**

Attribute können je nach Identitätsanbieter variieren, insbesondere bei Sicherheitsgruppen. Bestätigen Sie dies bei Ihrem Identitätsanbieter oder über [Antwortprotokolle](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) wie Attribute angegeben werden.
{% endhint %}

#### <mark style="color:blau;">Die erweiterte Zuordnung wendet Lizenzen von oben nach unten an, wenn mehrere Attribute angegeben werden</mark>

Wenn ein Benutzer mehrere Attribute oder Werte übergibt, die für die erweiterte Zuordnung konfiguriert sind, ordnet Zoom die Lizenzen von oben nach unten zu. Siehe das folgende Beispiel:

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXd6ejdpzRIK8EUzyzdyomoHNChq-XkoS85btacDjLOAKyBQVwIQ15dzUKqsE_l8iFDOJiYGUjh4W7XaTRapGaZp5tx7R2J06yvpbwSna1YVjR9_ms8nn1haaJiNxaaL6wQ7XdC1QA?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Beispiel für die Auswahl des Lizenztyps in Administrator-Einstellungen.</p></figcaption></figure></div>

Gemäß der obigen Konfiguration, wenn ein Benutzer ein Attribut für beide **global\_users** und **marketing**, da **marketing** in der Konfiguration am höchsten ist, wird dieses Attribut dem Benutzer zugewiesen, und die übrigen anwendbaren Attribute werden ignoriert.

Alternativ, wenn die Konfiguration mit **global\_users** als das Höchste, wie im folgenden Screenshot zu sehen, wenn die Behauptung eines Benutzers enthielt **global\_users**, **marketing**, **menschlich** **Ressourcen**, und **IT**, da **global\_users** hat die höchste Priorität, es wird nur eine Basis-Lizenz geltend gemacht.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXfdQrc0QA5GFNzFVBIa9y1HH0GdkDMzeSomo4GdhE8xHCQzwozv2CXWRkdedXemhuAoZ81rfa21kPlO_0DalY2oasz6XDJkLD88NaNQiH686EX9Rfuxb-mje5go5uep9Fp3RBQuKw?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Beispiel zur Anpassung der Prioritätsreihenfolge</p></figcaption></figure></div>

Zoom-Administratoren können die Reihenfolge der Anwendung beim Bearbeiten der Zuordnungswerte mithilfe der Pfeile ↑↓ im Editor anpassen.

{% hint style="success" %}
**Zoom-Empfehlung**

Konfigurieren Sie die erweiterten Konfigurationen von der spezifischsten bis zur allgemeinsten, um eine fehlerhafte Lizenzzuordnung zu verhindern.
{% endhint %}

#### <mark style="color:blau;">Webinar und Large Meeting Zuweisungen können einen gemeinsamen Wert gemeinsam nutzen, um beide Hinzufügen-ons anzuwenden</mark>

Um den Anwendungsvorgang zu vereinfachen, können Zoom-Administratoren dasselbe Attribut und denselben Wert zweimal Konfigurieren, um sowohl Webinar- als auch Large Meeting-Zusatzmodule auf die Benutzer anzuwenden (Hinzufügen), wie im folgenden Bild mit dem **global\_users** Wert. Diese Zusatzmodule können bei Bedarf auch unabhängig Konfigurieren werden (Hinzufügen), wie mit dem **nur Webinar** und **nur Large Meeting** Werte.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdY6Py9Rb7L7iKsez3UXpg9ZwL-gxgmpO5QjLDXdeZC42EJDCHEw82ghcAm4m5Rb8fZ8GQvT5rd47j-p4JeR6DUUAujw7ARMynCsLKPLrJVGjlkiEp2YtRk-sOZNaQPUQWYRRTsmQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Beispiel für Attribute für nur Large Meeting und nur Webinar.</p></figcaption></figure></div>

#### <mark style="color:blau;">Bestimmte Benutzer und Benutzergruppen können von bestimmten Zuordnungen ausgenommen werden</mark>

Jede Option unter Advanced Mapping kann Konfigurieren werden, um bestimmte Benutzer und Benutzergruppen vom Zuordnungsverhalten auszunehmen. Dies kann hilfreich sein, um VIP-Benutzer vor einer Dienstunterbrechung aufgrund eines potenziellen Ändern der Lizenzierung zu schützen.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXftnv80dtlXFIYqMKvlB0mecwcoX7_IEQIFXed3x-9szHtQv3X-h_aLv5gkJ4_9q0wIJI3YlxNdPS3aR--_TOt3Xv8_ZGfv2Fqrv9hSSAEvaY4e69nEPQIpVGHMk6fTbKareeawww?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für Benutzerausnahmen.</p></figcaption></figure></div>

#### <mark style="color:blau;">Zoom unterstützt bis zu fünf benutzerdefinierte Attribute</mark>

Zoom-Administratoren können bis zu Konfigurieren *fünf* benutzerdefinierte Attribute zum Hinzufügen von Benutzerdaten zu ihrem Zoom-Profil unter dem [erweiterte Benutzerverwaltung](https://zoom.us/account/user#/advanced) Seite. Nachdem die benutzerdefinierten Felder hinzugefügt wurden, können Zoom-Administratoren die Zuordnung auf der Seite Konfigurieren [Antwortzuordnung](https://zoom.us/account/sso/mapping) Seite.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcxmWWYpKRYP078q0iwYdK9tfmcmAHLuwZtoSn7VoUeeRbdki2udbiF0Yh7pUczEG_rXqZGS1zBbDl4-OODAZYMFEkISb4L55mahN_6hAqt87dCo8fT4Yj7aQVw1ivuZtzksdmhQg?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="375"><figcaption><p>Beispiel für benutzerdefinierte Attribute</p></figcaption></figure></div>

#### <mark style="color:blau;">Das Zuordnen von Nutzern zu einem Unter-Konto wird</mark> *<mark style="color:blau;">nur</mark>* <mark style="color:blau;">eine Meeting-Lizenz anwenden und Add-ons Hinzufügen</mark>

Die Zuordnung eines Benutzers zu einem Unter-Konto wendet nur die Meeting-Lizenz eines Benutzers und Hinzufügen-Optionen wie Webinar und Große Meetings auf das Unter-Konto an. Benutzer-Gruppen, IM-Gruppen, Benutzer-Rollen usw. werden nicht angewendet und müssen innerhalb des Unter-Kontos konfiguriert werden.

Kunden, die mehr Flexibilität für das Response-Mapping mit Unterkonten benötigen, brauchen innerhalb des Unterkontos eine eindeutige Vanity-URL und eine neue SSO-Konfiguration.

### Erweiterte Zuordnung: Zuweisung von Benutzer- und Kontaktgruppen

Die Zuweisung zu Benutzer- und Kontaktgruppen ist der eine Bereich des erweiterten Mappings, der in zwei unterschiedlichen Modi arbeitet: *Standardzuordnung* und *Mehrfachzuordnung*.

* **Standardzuordnung** wendet eine einzelne Übereinstimmung an. Ein Administrator kann viele Attribut- und Wertepaare konfigurieren, aber wenn sich ein Benutzer authentifiziert, wird nur der erste passende Eintrag wirksam und der Rest wird ignoriert. Das Erreichen eines bestimmten Ergebnisses hängt daher von einer präzisen, exakten Konfiguration ab. Dies ist das standardmäßige Verhalten für alle Konten.
* **Mehrfachzuordnung** ist ein optionaler Modus, der jede Übereinstimmung anwendet. Eine einzelne Authentifizierung kann mehrere Attribute und Werte gleichzeitig abgleichen und den Benutzer in einem Durchgang mehreren Gruppen zuweisen. Dadurch eignet es sich besonders für Konten mit komplexen Gruppenstrukturen, die Benutzer über eine Vielzahl von Benutzergruppen und Kontaktgruppen verteilen. Die Mehrfachzuordnung muss über den Zoom-Support aktiviert werden.

#### <mark style="color:blau;">**Die Standardzuordnung weist einen Benutzer der ersten passenden Benutzergruppe oder Kontaktgruppe zu**</mark>

Unter der Standardzuordnung, wenn die Aussage eines Benutzers mit mehreren konfigurierten Werten innerhalb der Kategorie Benutzer Gruppe oder Kontakt Gruppe übereinstimmt, wendet Zoom nur den obersten übereinstimmenden Eintrag in der Konfiguration an. Die Einträge werden in Top-down-Reihenfolge ausgewertet, und der erste, der übereinstimmt, wird angewendet. Alle verbleibenden Übereinstimmungen innerhalb dieser Kategorie werden ignoriert.

Zum Beispiel wird in einer Konfiguration mit zwanzig Attribut-und-Wert-Paaren, die verschiedenen Benutzer Gruppen zugeordnet sind, ein Benutzer, dessen Aussage mit mehreren dieser Paare übereinstimmt, nur der Gruppe zugeordnet, die mit dem höchstplatzierten übereinstimmenden Eintrag verknüpft ist.

#### <mark style="color:blau;">Ein einzelner Wert kann das Hinzufügen eines Benutzers zu mehreren Gruppen ermöglichen, und die zuerst hinzugefügte Gruppe wird zur Primären Gruppe</mark>

Zoom-Administratoren können die Benutzer Gruppe-Zuordnung Konfigurieren, um das Hinzufügen eines Benutzers zu mehreren Gruppen mit einem Wert zu ermöglichen. Dieses Verhalten gilt sowohl bei der Standardzuordnung als auch bei der Mehrfachzuordnung.

Die zuerst hinzugefügte Benutzer Gruppe wird als Primäre Gruppe des Benutzers festgelegt und bestimmt die standardmäßig festgelegten Einstellungen des Benutzers *sofern eine zugrunde liegende Gruppe eine gesperrte Einstellung hat*. Weitere Informationen zu Benutzer Gruppen finden Sie in unserem [Support-Artikel](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings).

In der folgenden Abbildung, wenn ein Benutzer die Werte für **Führung**, **Personalwesen**, und **Reguliert**, sie würden nur den Gruppen für zugewiesen werden **Führung**, da es der erste Treffer ist und keine weiteren Treffer zutreffen.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdER0NnN7GSalp5YpVpM9EW068VLrDgdHOJty4Hm6blWIOEghH5Woj7B8s7io1X2U3ywZEiyvU5cJE4pEcCJtSrlhAsaPnzLK44CVAlU_k1Igqt4y8ejYfFAw-ILkKulqXUGqohrg?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für die Standard Benutzer Gruppen-Zuordnung.</p></figcaption></figure></div>

#### <mark style="color:blau;">Multi-Mapping ordnet einen Benutzer jeder übereinstimmenden Benutzer Gruppe und Kontakt Gruppe zu, für bis zu 50 Regeltreffer</mark>

Wenn Multi-Mapping aktiviert ist, wendet Zoom *jede* übereinstimmender Eintrag innerhalb der Benutzer Gruppe- und Kontakt Gruppe-Kategorien statt nur des obersten Treffers. Dasselbe Attribut kann bis zu fünfzigmal konfiguriert werden, und jeder konfigurierte Wert, der mit einer Assertion übereinstimmt, ordnet den Benutzer seiner zugehörigen Gruppe zu.

Dies bedeutet, dass ein einzelnes Attribut mit fünfzig unterschiedlichen Werten, die jeweils einer anderen Gruppe zugeordnet sind, einen Benutzer in einer einzigen Authentifizierung in alle fünfzig Gruppen aufnehmen kann. Dies ermöglicht eine 1:1-Beziehung zwischen Sicherheitsgruppen des Identity Providers und Zoom Gruppen, sodass das Hinzufügen eines Benutzers zu einer Sicherheitsgruppe innerhalb des Identity Providers ihn bei seiner Weiter-Authentifizierung der entsprechenden Zoom Gruppe zuweist.

In der folgenden Abbildung, wenn ein Benutzer die Werte für **Führung**, **Test**, **KI**, und **Personalwesen** Bei aktiviertem Multi-Mapping würde der Benutzer allen Benutzer-Gruppen zugewiesen, weil Zoom die ersten 50 Regelübereinstimmungen anwendet, wenn Multi-Mapping aktiviert ist.

<div data-with-frame="true"><figure><img src="/files/421e3d21a9298b67ff546a54f7c42ffb56656986" alt="" width="563"><figcaption><p>Beispiel für Multi-Mapping Benutzer-Gruppen</p></figcaption></figure></div>

Die Bezeichnung der Primären Gruppe bleibt vom Zuordnungsmodus unberührt. Sowohl bei Standard-Mapping als auch bei Multi-Mapping wird die zuerst übereinstimmende hinzugefügte Gruppe zur Primären Gruppe des Benutzers, sofern eine zugrunde liegende Gruppe keine gesperrte Einstellung hat.

#### <mark style="color:blau;">Multi-Mapping vereinfacht die Gruppen-Zuweisung in großen Enterprise-Umgebungen</mark>

Multi-Mapping reduziert die erforderliche Konfigurationspräzision, um Benutzer mehreren Benutzer-Gruppen oder Kontakt-Gruppen zuzuweisen. Beim Standard-Mapping hängt das Einordnen eines Benutzers in mehrere Gruppen von einer exakten Top-down-Konfiguration ab, die in einer einzigen Auswertung korrekt aufgelöst wird. Multi-Mapping beseitigt diese Einschränkung, indem alle übereinstimmenden Einträge auf einmal angewendet werden, was Umgebungen unterstützt, in denen Benutzer vielen Gruppen angehören und in denen Konfigurationen pro Attribut und pro Wert andernfalls schwer in einem einzigen Durchlauf auszuführen wären.

#### <mark style="color:blau;">Multi-Mapping erfordert die Aktivierung über Zoom-Support</mark>

Multi-Mapping wird nicht über die Standard-SSO-Verwaltungsoberfläche aktiviert. Das Aktivieren der Funktion erfordert das Einreichen eines [Support-Anfrage](https://support.zoom.com/hc/en/contact?id=contact_us) an Zoom mit der Bitte, dass Multi-Mapping für das Konto aktiviert wird. Bis der Antrag bearbeitet ist, erfolgt die Zuweisung von Benutzer-Gruppe und Kontakt-Gruppe nach dem Standardverhalten bei der ersten Übereinstimmung.

### Erweiterte Zuordnung: Automatische Zuordnung

#### <mark style="color:blau;">Auto Mapping dient als Fallback und weist Benutzer einer Benutzer-, Kanal- oder IM-Gruppe zu, die nach ihrem angegebenen Wert benannt ist, wenn keine explizite Regel übereinstimmt</mark>

Auto Mapping kann verwendet werden, um Benutzer automatisch einer Benutzer-Gruppe, einem Kanal und einer IM-Gruppe zuzuweisen, die nach ihrem angegebenen Wert benannt sind. Im Gegensatz zu anderen erweiterten Mapping-Komponenten, die so konfiguriert werden können, dass sie einen Benutzer basierend auf dem Wert einer beliebigen Gruppe zuweisen, weist Auto Mapping einen Benutzer immer basierend auf dem exakten Wert einer Gruppe zu. Wenn die Gruppe zuvor nicht vorhanden war, wird sie automatisch erstellt.

Auto Mapping fungiert als Fallback und gilt nur, wenn die Aussage eines Benutzers mit keiner der expliziten Regeln übereinstimmt, die in den oben genannten Abschnitten zur erweiterten Zuordnung konfiguriert sind. Wenn einem Benutzer bereits über eine explizite Regel eine Gruppe zugewiesen wurde — beispielsweise wenn er auf Grundlage der Sicherheitsgruppenmitgliedschaft des Identitätsanbieters in eine Benutzer-Gruppe aufgenommen wurde — hat diese explizite Zuweisung Vorrang und die entsprechende Auto-Mapping-Regel wird ignoriert. Im selben Beispiel würde eine Benutzer-Gruppe, die automatisch aus dem Abteilungswert des Benutzers zugeordnet wurde, nicht angewendet, weil die explizite Benutzer-Gruppe-Regel bereits übereingestimmt hat.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcleVut-f8Pq1AdmwMk0CU5uE4MYhIFAdSPSxxVbyoMyS2e24V3RL9AD_VhcVCTtoh0PFswB_8JTwlOMYm_TCTKria2nIAOVtg7iI3rlKdsWAwpe5UlM-AfuthKuAnG8_mu71VPcw?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für eine Auto-Mapping-Konfiguration.</p></figcaption></figure></div>

Wenn Auto Mapping beispielsweise so eingestellt ist, dass ein Benutzer basierend auf seiner Abteilung Gruppen zugeordnet wird, und der Benutzer keiner expliziten Regel für diese Kategorie entspricht, werden Benutzer automatisch einer Gruppe zugewiesen, die ihrem Abteilungsnamen entspricht, sofern der Abteilungswert für die Benutzer-Gruppe, den Kanal oder die IM-Gruppe noch nicht definiert ist, wie in der folgenden Tabelle gezeigt:

| Attribut  | Wert          | Existiert die Zoom-Gruppe bereits? | Ergebnis                                                                |
| --------- | ------------- | ---------------------------------- | ----------------------------------------------------------------------- |
| Abteilung | Personalwesen | Ja                                 | Benutzer der Personal-Gruppe hinzugefügt                                |
| Abteilung | Marketing     | Ja                                 | Benutzer der Marketing-Gruppe hinzugefügt                               |
| Abteilung | Vertrieb      | Nein                               | Vertriebsgruppe wird erstellt, Benutzer der Vertriebsgruppe hinzugefügt |

## Fehlerbehebung für SSO

#### <mark style="color:blau;">Response-Logs können zur Fehlerbehebung gespeichert werden</mark>

Zoom kann Response-Logs von Authentifizierungsversuchen sieben Tage lang nach einer Authentifizierung speichern. Diese Response-Logs können neben den Response-Mapping-Konfigurationen ein unschätzbar wertvolles Werkzeug zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Lesen Sie den Abschnitt zu [der Fehlerbehebung bei Fehlern mit Response-Logs](#using-saml-response-logs-to-troubleshoot) für weitere Informationen.

{% hint style="success" %}
**Zoom-Empfehlung**

Aktivieren Sie das Speichern von Response-Logs, um die Fehlerbehebung zu erleichtern.
{% endhint %}

#### <mark style="color:blau;">Response-Logs zur Fehlerbehebung verwenden</mark>

Gespeicherte Response-Logs können neben den Response-Mapping-Konfigurationen ein unschätzbar wertvolles Werkzeug zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Wenn Ihre Zoom-SSO-Konfiguration so eingestellt ist, dass Response-Logs gespeichert werden, können sie über die [Response-Log](https://zoom.us/account/sso/saml_logs) Registerkarte, die auf der SSO-Konfigurationsseite in den erweiterten Einstellungen verfügbar ist. Um Response-Logs anzuzeigen, klicken Sie auf **Details anzeigen** neben einem Authentifizierungsversuch.

#### <mark style="color:blau;">Die meisten Authentifizierungen werden in den Response-Logs angezeigt</mark>

Die meisten fehlgeschlagenen oder erfolglosen Authentifizierungsversuche werden auf der Seite mit den Response-Logs angezeigt. Wenn ein Authentifizierungsversuch nicht angezeigt wird, hat Zoom höchstwahrscheinlich keine Assertion von Ihrem Identitätsanbieter erhalten, oder das Speichern von Response-Logs ist deaktiviert.

#### <mark style="color:blau;">Response-Logs können Ihnen mitteilen, ob Ihre Konfiguration falsch ist oder Ihr Zertifikat veraltet ist</mark>

Wenn das Speichern von Response-Logs aktiviert ist, werden die Informationen des Identitätsanbieters an Zoom übermittelt, um die Identitäten der jeweiligen Partei zu authentifizieren. Wenn eine übermittelte Einstellung oder eine Zeichenfolge von Informationen, wie das X509-Zertifikat oder die Aussteller-ID, von der aktuellen Zoom-Konfiguration abweicht, erscheint eine Fehlermeldung mit dem Hinweis, dass die Informationen „nicht mit den aktuellen SSO-Einstellungen übereinstimmen“. Ein Zoom-Administrator kann die SSO-Konfiguration aktualisieren, damit sie diesen übermittelten Werten entspricht, wenn sie korrekt sind, um den Fehler zu beheben.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXe5ElE9oAkqrfuutEG32SjtnF-aPpSu_MbRIy3h6oRhTiHnBC3okBRHk57sWwuJgg3a8_WD_mYoK_Wd5bJ1zMkLScazjdXshmBUZyXvBVtmyQO75Rl7ox_MCgT6X-AzcA?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für Warnungen bei falscher Konfiguration.</p></figcaption></figure></div>

#### <mark style="color:blau;">Response-Logs zeigen Ihnen, welche Werte und Attribute übermittelt werden</mark>

Das Überprüfen von Response-Logs kann bei der Behebung von Response-Mapping-Konfigurationen helfen, indem verifiziert wird, welche Attribute und Werte von Benutzern bei der Authentifizierung übermittelt werden. Diese können mit der Konfiguration verglichen werden, um sicherzustellen, dass die Attribute und Werte übereinstimmen.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXe-BD98pFvpYplXC-sVB4KKlUFDc0dOzjv-VzEOyH5tOBQbt-yiK8e82nkLGC7FmBJIekP-VVqEBVnullP173ydJLkNDFh6nCcOfup1UHlTTYl2l0DDitymKeid4NO7ZZYaw6J3sQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für vom Dienst des Identitätsanbieters übermittelte Informationen.</p></figcaption></figure></div>

Wenn Attribute oder Werte fehlen, werden die Informationen nicht vom Dienst des Identitätsanbieters übermittelt. Benutzern, die von diesem Problem betroffen sind, wird empfohlen, sich für weitere Unterstützung an die Support-Services ihres Identitätsanbieters zu wenden.

#### <mark style="color:blau;">Response-Logs enthalten einen Fehlercode und eine kurze Erklärung, wenn der Vorgang erfolglos ist</mark>

Wenn sich ein Benutzer nicht authentifizieren kann oder einen Fehler erhält, enthalten die Response-Logs einen Fehlercode und eine kurze Erklärung des Fehlers.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcUxXpQNQM4ZUpgIHUF2s__t4s3fM4sjWqXqv5y4i4oop4ygRKYcxxdeC7pIX7_O8sgxFmbrkPd6PrlLam4zptYZNKleBKEXFEUd0o97IvJZvRfZi81sSfKr6wwvfxemuzg_UDi?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für Fehlercode und Erklärung.</p></figcaption></figure></div>

Die meisten Probleme können mithilfe dieser Fehlermeldungen identifiziert und behoben werden. Wenn Sie den Fehler nicht beheben können, wenden Sie sich für weitere Unterstützung an den Zoom-Support.

#### <mark style="color:blau;">Fehler bei der Web-Tracking-ID</mark>

Wenn die SSO-Authentifizierung eines Benutzers fehlschlägt, erhält er einen Fehlercode für die WEB-Tracking-ID. Diese Codes sind keine Fehlermeldung, die sich auf einen bestimmten Fehler bezieht, sondern eine eindeutige Log-ID, die in Response Mapping zur Identifizierung von Authentifizierungsproblemen überprüft werden kann.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdg3Btc3wYZ71fAL7VX5G0OiLOQ-YKOAmt1-fytPE2xDRktbVLQqw_r2rURYLExtZ2rSfIIqelDEM8oZ47-gFBKdn2Ze9V6kx5nB_kuxZlYIKP2Hy24Ot0SXrobSdLg4BfudOs_?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für einen für den Benutzer sichtbaren Fehler mit einem Fehlercode für die WEB-Tracking-ID.</p></figcaption></figure></div>

Um den Fehler zu identifizieren, navigieren Sie, wenn die Protokollierung von Response-Logs aktiviert ist, zu der [Response-Log](https://zoom.us/account/sso/saml_logs) Registerkarte, die auf der SSO-Konfigurationsseite in den erweiterten Einstellungen verfügbar ist. Geben Sie dort die WEB-Tracking-ID in das Feld „Tracking ID“ ein und suchen Sie, um das Response-Log zu füllen

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcbDm_F5qgN7TwBk0PiItomqHcaoFUFU8VAmTECFtzogW1sjvlJiIYaK2pXniGKDIEUnEZOg1-xHYrpteg6foFyec_SlpRVjqjUmrNa1lbPvdCEwnuZtOU1yvqfuGYh-enXmq5f?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für die Suche im Response-Log mit dem zuvor genannten Fehlercode für die WEB-Tracking-ID.</p></figcaption></figure></div>

Die Response-Logs sollten die empfangene Assertion sowie einen Fehlercode und eine Meldung am unteren Rand der Antwort anzeigen, die für weitere Fehlerbehebung verwendet werden können.

### SCIM-Fehler

#### <mark style="color:blau;">Benutzer existiert nicht oder gehört nicht zu diesem Konto</mark>

Dieser Fehler tritt auf, wenn die E-Mail-Adresse eines Ziel-Benutzers aufgrund eines bereits vorhandenen Kontos nicht bereitgestellt werden kann. Zoom-Administratoren wird empfohlen, den Benutzer direkt zu kontaktieren und den Benutzer manuell zum Konto einzuladen.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXdXyiyMnR4S4EhYFqFUXgrePk-RwciKw8-jcxKxViZiIZ4I2kp0j1f_alWR7Hq9WuYhwz6ohh4LodWERfiXSr27LFN20r-r95xBJ6AjD7lF9k58yIJeYLpMmHR3BHYcPTMYkVwqZw?key=ug1dFE_WGWGnyMfD5tJnNw" alt="" width="563"><figcaption><p>Beispiel für einen Bereitstellungsfehler.</p></figcaption></figure></div>

#### <mark style="color:blau;">Sie können keine kostenpflichtigen Benutzer hinzufügen</mark>

Dieser Fehler tritt auf, wenn SCIM versucht, einen Benutzer bereitzustellen, während das Konto nicht über ausreichende Lizenzen verfügt. Um den Fehler zu beheben, muss der Benutzer als Basic-Benutzer bereitgestellt werden oder es muss eine Lizenz für die Bereitstellung verfügbar gemacht werden.

### SCIM-Protokolle zur Fehlerbehebung bei der Benutzerbereitstellung verwenden

Zoom stellt die neuesten 100 API-Anforderungsprotokolle im [Zoom Marketplace](https://marketplace.zoom.us/). Ein Zoom-Administrator kann diese Protokolle verwenden, um zu bestätigen, welche Informationen über Bereitstellungs-APIs gesendet und empfangen werden. Um auf die Protokolle zuzugreifen, melden Sie sich als Zoom-Administrator im Zoom Marketplace an und klicken Sie auf **Verwalten**. Auf der folgenden Seite wählen Sie **Anrufprotokolle** unter **Persönliche App-Verwaltung**. Von dort aus klicken Sie auf einen Eintrag, um die API-Protokolle zu erweitern und den Inhalt zu überprüfen.

Das folgende Bild zeigt ein Beispiel für eine SCIM-Bereitstellungsanfrage für Benutzer, wobei die Identitäts- und Lizenzattribute des Benutzers zum Nachschlagen hervorgehoben sind.

<div data-with-frame="true"><figure><img src="https://lh7-rt.googleusercontent.com/docsz/AD_4nXcIxosFPBR8E4f1hj0vZQ7_nxnRd_isIqJYhKTQbocw4UfXlCBCkscqx8bGvY8JwuazgtRROPJm9PCZfZ4hJ5GQBqBzJA-PgS-mXkptGa0xq82SMXjl9Ip-faCDk3OQuLUXK0iobQ?key=ug1dFE_WGWGnyMfD5tJnNw" alt=""><figcaption><p>Beispiel für eine SCIM-Bereitstellungsanfrage für Benutzer.</p></figcaption></figure></div>

Wie beim Response-Mapping kann Zoom nur Informationen anwenden, die vom Identitätsanbieter in der Bereitstellungsanfrage übermittelt werden. Verwenden Sie diese Protokolle, um zu bestätigen, dass Benutzeridentitäts- und Lizenzattribute vom Identitätsanbieter übermittelt werden. Wenn erwartete Informationen in diesen Assertions fehlen, wenden Sie sich für Support an Ihren Identitätsanbieter.

## Datenflüsse und Authentifizierung

#### <mark style="color:blau;">SAML-Authentifizierung</mark>

Das folgende Diagramm beschreibt den SAML-Authentifizierungsfluss eines Benutzers beim Starten einer Single Sign-On-Sitzung mit Zoom.

<div data-with-frame="true"><figure><img src="/files/6787136d560d2e7ba6473708169b46be644bd1b2" alt=""><figcaption><p>Diagramm eines beispielhaften SAML-Authentifizierungsflusses.</p></figcaption></figure></div>

#### <mark style="color:blau;">OIDC-Authentifizierung</mark>

Das folgende Diagramm beschreibt den OIDC-Authentifizierungsfluss eines Benutzers beim Starten einer Single Sign-On-Sitzung mit Zoom.

<div data-with-frame="true"><figure><img src="/files/d1d787a3cc3c584447fac37fb2a916feb2b602ca" alt="Diagram of an example SAML authentication flow."><figcaption><p>Diagramm eines beispielhaften SAML-Authentifizierungsflusses.</p></figcaption></figure></div>

#### <mark style="color:blau;">SSO Web-Anmelde-Token</mark>

Nachdem sich ein Benutzer authentifiziert hat, wird die Sitzung des Benutzers im Browser aufgebaut und hat standardmäßig eine Laufzeit von zwei Stunden. Wenn der Benutzer seine Zoom-Webseite weiterhin aktiv nutzt, wird die Sitzung aktualisiert; wenn der Benutzer seine Webseite jedoch zwei Stunden lang nicht nutzt, läuft der Token ab und der Benutzer muss sich erneut authentifizieren. Zoom-Administratoren können diese aktive Sitzungsdauer auf der [Sicherheit](https://zoom.us/account/setting/security) Seite unter Benutzer müssen sich nach einer Inaktivitätsphase erneut Anmelden und **Inaktivitätszeitraum im Web festlegen (Minuten)**.

#### <mark style="color:blau;">Client-Anmelde-Token</mark>

Wenn ein Benutzer versucht, sich innerhalb eines Clients per SSO zu authentifizieren, öffnet das Gerät des Benutzers einen Browser und leitet ihn zur Anmeldeseite des Identitätsanbieters weiter. Nachdem sich ein Benutzer authentifiziert hat, erhält der Browser des Benutzers einen Zoom-Anwendungsstart-Token. Sobald ein Benutzer auf die Schaltfläche „Öffnen“ oder „Starten“ klickt, verwendet der Browser das URL-Schema zusammen mit dem Start-Token, um die Zoom-Anwendung zu öffnen.

Die Zoom-Anwendung verwendet den Start-Token, um den Access-Token und den Aktualisierungs-Token vom Zoom-Server abzurufen. Die Anwendung verwendet den Access-Token jeweils für zwei Stunden und nutzt nach Ablauf den Aktualisierungs-Token, um einen neuen Satz von Token zu erhalten, die in der lokalen Datenbank des Clients gespeichert werden. Dieser Aktualisierungsprozess ist standardmäßig unbegrenzt und kann Token fortlaufend durchlaufen, bis sich ein Benutzer abmeldet oder die Token ablaufen. Zoom-Administratoren können die Sitzungsdauer auf der [SSO-Einstellungen](https://zoom.us/account/sso) Seite unter [*automatische Abmeldung erzwingen*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://library.zoom.com/technical-library/de/administrator-bereich/account-and-endpoint-management/sso-field-guide.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.