> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/de/administrationsbereich/account-and-endpoint-management/sso-field-guide.md).
# SSO-Leitfaden
## Einführung
Die Integration von Single Sign-On (SSO) mit Zoom bietet Administratoren Benutzerverwaltung und Sicherheitsoptionen, die die Kontoverwaltung vereinfachen können. Nach der Konfiguration authentifizieren sich Benutzer mit ihren Unternehmensanmeldedaten gegenüber dem Identitätsanbieter Ihres Unternehmens, anstatt alternative Authentifizierungsmethoden wie Oauth über eine App eines Drittanbieters oder einen direkten Benutzernamen und ein Passwort bei Zoom zu verwenden.
Dieses Dokument bietet einen umfassenden Überblick über SSO-Konfigurationen und Einstellungen in Zoom sowie Informationen zur Fehlerbehebung und Sicherheit.
## SSO konfigurieren
#### SSO erfordert zum Einstieg eine Vanity-URL
Ein Konto muss über eine genehmigte Vanity-URL verfügen, bevor SSO konfiguriert wird. Sobald die Vanity-URL genehmigt ist, können Zoom-Administratoren auf die [SSO-Konfiguration](https://zoom.us/account/sso) Seite über das Untermenü „Erweiterte Optionen“ im Webportal aufrufen. Lesen Sie unseren Support-Artikel zu [Vanity-URLs](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) für weitere Informationen.
#### Zoom SSO funktioniert mit jedem SAML 2.0- oder OIDC-Identitätsanbieter
Zoom kann mit jedem Identitätsanbieter integriert werden, der die Authentifizierung über Security Assertion Markup Language (SAML) 2.0 oder OpenID Connect (OIDC) unterstützt.
#### Zoom-Administratoren können Benutzerprofilinformationen und Lizenzierung über Antwortzuordnung oder SCIM-Integrationen verwalten
Administratoren können Benutzerprofilinformationen und Lizenzierung über Antwortzuordnung oder Anfragen an die System for Cross-Domain Identity Management (SCIM) Anwendung Programming Interface (API) verwalten, abhängig von den Funktionen, die vom Identitätsanbieter verfügbar sind. Beide Benutzerverwaltungsmethoden bieten eine nahezu gleichwertige Funktionalität für die Zuordnung von Profilinformationen und die Verwaltung der Lizenzierung, aber einige SCIM-Zuordnungen erfordern eine manuelle Konfiguration.
Für eine umfassende Liste der SCIM-Funktionen siehe unsere [SCIM API-Dokumentation](https://developers.zoom.us/docs/api/?ampDeviceId=157cfe5d-7f7a-45eb-afb0-efde5a7d3feb\&SessionId=1778697171616).
#### Zoom-Administratoren können den Status des Benutzer-Kontos über SCIM verwalten, aber nicht über SAML oder OIDC
Da SCIM es Identitätsanbietern ermöglicht, jederzeit direkt mit Zoom zu kommunizieren, können Benutzerkonten *aktiviert*, *deaktiviert*, *erstellt*, oder *gelöscht* durch SCIM-Integrationen automatisch. Wenn beispielsweise das Konto für einen Benutzer in Active Directory deaktiviert wird oder dem Benutzer die Anwendung entzogen wird, kann SCIM automatisch eine Deaktivierungsanfrage für das Konto des Benutzers in Zoom senden. Diese Funktion hängt von den Fähigkeiten der SCIM-Anwendung des Identitätsanbieters ab, und die Funktionalität kann je nach Anbieter variieren.
#### Nur wenige Identitätsanbieter bieten SCIM für Zoom an
Viele Identitätsanbieter haben keine SCIM-Integration für Zoom als Teil ihrer Dienste. Konten, die einen Identitätsanbieter verwenden, der SCIM mit Zoom nicht unterstützt, müssen für die automatisierte Benutzerverwaltung Response-Mapping verwenden.
#### SCIM benötigt eine zugehörige Domain, um Benutzer automatisch bereitzustellen
Konten, die SCIM verwenden, um Benutzer für SSO zu verwalten und bereitzustellen **muss** die E-Mail-Domain mit Zoom verknüpfen. Wenn die Domain nicht verknüpft wird, führt dies zu Fehlern bei der Benutzerbereitstellung. Siehe unseren Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen zum Prozess.
### SAML-Konfigurationshandbuch
Die folgenden Links enthalten Anleitungen zur Konfiguration von SSO mit SAML.
{% hint style="success" %}
**Zoom-Tipp**
Klicken Sie auf das ✔ in der Spalte Anbieter oder Zoom-Dokumentation, um ein neues Fenster mit den Anweisungen zu öffnen.
{% endhint %}
Wenn der Identitätsanbieter, den Ihr Business nutzt, oben nicht aufgeführt ist, empfehlen wir, in der Wissensdatenbank des Anbieters nach einem Zoom-spezifischen Integrationsleitfaden zu suchen. Falls einer nicht verfügbar ist, kann SSO dennoch konfiguriert werden, indem die wichtigsten Kennungen Ihres IdP innerhalb des Zoom-SSO-Konfigurationsbildschirms abgeglichen werden. Verweisen Sie auf das Zoom Support-Center für weitere Informationen zu einem [Schnellstartanleitung für SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0060673) und welche Informationen erforderlich sind, um diesen Prozess abzuschließen.
### OIDC-Konfigurationshandbuch
Zoom unterstützt OIDC Discovery, wodurch gängige Details des Identitätsanbieters wie der Aussteller, der Autorisierungs-Endpunkt, der Token-Endpunkt und die Signaturschlüssel automatisch ausgefüllt werden können. Da OIDC auf standardisierten Konfigurationswerten basiert, ist eine Zoom-spezifische Dokumentation des Anbieters im Allgemeinen nicht erforderlich; wenn Discovery nicht verfügbar ist, können die erforderlichen Werte manuell eingegeben werden.
Daher können standardkonforme OIDC-Identitätsanbieter in der Regel mit Zoom konfiguriert werden, auch wenn kein anbieterspezifischer Leitfaden zur Integration verfügbar ist. Weitere Informationen finden Sie im Zoom-Support-Center zu [Konfigurieren von OIDC-SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0083701).
### Zusätzliche Konfigurationsoptionen
#### Zoom kann mehrere Vanity-URLs und/oder mehrere Identitätsanbieter-Anwendungen unterstützen
Zoom-Konten können mehrere Vanity-URLs, mehrere Konfigurationen von Identitätsanbietern (IdP) oder eine Kombination aus beidem unterstützen. Unterstützte Konfigurationen umfassen:
* Mehrere Vanity-URLs, die sich eine gemeinsame IdP-Konfiguration teilen.
* Mehrere Vanity-URLs, jeweils mit einer unabhängigen IdP-Konfiguration.
* Eine einzelne Vanity-URL, die mit mehreren IdP-Konfigurationen verknüpft ist.
Diese Konfigurationen werden über Zoom-Support aktiviert und nicht über die Standard-SSO-Verwaltungsoberfläche konfiguriert. Reichen Sie eine [Support-Anfrage](https://support.zoom.com/hc/en/contact?id=contact_us) zum Aktivieren dieser Funktion zusammen mit der gewünschten Vanity-URL- und IdP-Konfiguration sowie dem beabsichtigten Authentifizierungsergebnis.
{% hint style="info" %}
**Hinweis**
OIDC-Authentifizierung unterstützt derzeit nicht mehrere Vanity-URLs oder IdPs. Wenn Sie sich nicht sicher sind, ob diese Situation auf Sie zutrifft, wenden Sie sich für weitere Informationen an Ihr Zoom-Konto-Team.
{% endhint %}
#### Das lokale Active Directory kann statt SCIM das AD Sync-Tool verwenden.
Konten, die die Bereitstellung von Benutzern über SCIM automatisieren möchten, aber keinen Cloud-basierten Identitätsanbieter haben, können die von Zoom entwickelte Anwendung Active Directory (AD) Sync Tool zur Verwaltung ihrer Benutzer verwenden. Diese Anwendung läuft auf Oracle JDK 8 und simuliert die SCIM-Bereitstellung, indem sie Benutzer über API-Befehle verwaltet. Lesen Sie unseren Support-Artikel zu [AD Sync-Tool](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) für weitere Informationen.
{% hint style="success" %}
**Zoom-Empfehlung**
Das AD Sync-Tool erfordert eine präzise Konfiguration für die Benutzerverwaltung. Eine gründliche Prüfung und Überprüfung der Konfiguration des Tools ist vor der vollständigen Implementierung erforderlich, um Dienstunterbrechungen zu vermeiden.
{% endhint %}
#### Identitätsanbieter können sogar Meeting-Teilnehmer authentifizieren, die kein Zoom-Konto haben
Konten, die verlangen möchten, dass Benutzer ihre Identität authentifizieren, aber keine Zoom-Konten bereitstellen möchten, können mit ihrem Identitätsanbieter ein externes Authentifizierungsprofil Konfigurieren. Wenn dies für ein Meeting aktiviert ist, müssen Benutzer, die versuchen beizutreten, ihre Anmeldedaten bei Ihrem Identitätsanbieter authentifizieren, um Access zu erhalten. Dies ist eine gängige Konfiguration für Schulen, die nicht allen Schülern Konten bereitstellen, aber Authentifizierung verlangen, um Klassen beizutreten. Siehe unseren Support-Artikel zu [externe Authentifizierung konfigurieren](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) für weitere Informationen.
#### Das Ändern des Identitätsanbieters erfordert ein erneutes Konfigurieren von SSO innerhalb von Zoom
Konten, die ihren Identitätsanbieter ändern, müssen ihre SSO-Konfiguration innerhalb von Zoom erneut durchführen. Dies umfasst das Aktualisieren aller Felder auf der Konfigurationsseite, um ihrem neuen Identitätsanbieter zu entsprechen. Konten werden dazu ermutigt, zu bestätigen, dass sich die Antwortzuordnungen mit dem neuen Identitätsanbieter nicht ändern werden.
Es sollten keine zusätzlichen Konfigurationen oder Änderungen erforderlich sein, sofern es keine weiteren Änderungen gibt.
#### Kunden mit Unterkonten können SSO vom Hauptkonto oder Unterkonto aus konfigurieren
Kunden mit Unterkonten haben zwei Optionen für das Konfigurieren von SSO:
1. Alle Benutzer authentifizieren sich über die Vanity-URL des Hauptkontos und werden durch erweitertes Antwort-Mapping automatisch im Unterkonto angemeldet ([Einige Mapping-Einschränkungen gelten](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons))
2. Jedes Unterkonto hat eine eindeutige Vanity-URL und eine unabhängige SSO-Konfiguration, die ausschließlich von Mitgliedern dieses Unterkontos verwendet wird
Jede Konfiguration bietet einzigartige Vorteile, wobei die zweite Option die größte Flexibilität bietet. Kunden, die die Implementierung einer der beiden Konfigurationen in Erwägung ziehen, sollten mit ihrem Kundenteam besprechen, welche Konfiguration für ihre Anforderungen am besten geeignet ist.
## Bereitstellungsmethoden
#### Bereitstellungsmodi und SCIM sind zwei verschiedene Mechanismen und können zusammen verwendet werden
Bereitstellung *Bei der Anmeldung* und *Vor der Anmeldung* sind die beiden verfügbaren Werte einer einzelnen SSO-Einstellung. Sie bestimmen, ob Zoom zum Zeitpunkt der Authentifizierung ein Konto für einen Benutzer erstellt oder verlangt, dass das Konto bereits existiert. SCIM ist kein dritter Wert dieser Einstellung — es ist ein separater, API-gesteuerter Mechanismus, der Benutzer unabhängig von der Authentifizierung bereitstellt, und er arbeitet neben dem jeweils ausgewählten Bereitstellungsmodus.
| Bereitstellungsmethode | So funktioniert es | Voraussetzungen | Erstellt Konten | Deaktiviert Konten |
| ------------------------------------------------------------------ | ---------------------------------------------------------------------------------- | -------------------------------------------------------------------------------- | ----------------------------------------- | ----------------------------------------- |
|
Bei der Anmeldung (Just-in-time)
| Erstellt das Konto, wenn sich der Benutzer erstmals authentifiziert | Keine | Ja | Nein |
|
Vor der Anmeldung (Vorabbereitstellung)
| Überprüft, ob ein Benutzer zur Anmeldung über SSO berechtigt ist | Ein Konto mit dem SSO-Anmeldetyp. Wird häufig mit SCIM-Bereitstellung verwendet. | Nein, wird aber häufig mit SCIM verwendet | Nein, wird aber häufig mit SCIM verwendet |
| **SCIM** | Synchronisiert Benutzerdaten vom Identitätsanbieter über APIs gemäß eigenem planen | IdP-SCIM-Unterstützung und eine zugehörige Domain | Ja | Ja, sofern vom IdP unterstützt |
### Bei der Anmeldung
#### Die Bereitstellung bei der Anmeldung erstellt das Konto und den SSO-Anmeldetyp in einem einzigen Schritt
Mit der *Bei der Anmeldung* Einstellung (auch als Just-in-Time-Bereitstellung bekannt) wird einem Benutzer, dem die Zoom-Anwendung im Identitätsanbieter zugewiesen ist und der eine unterstützte Zoom-Lizenz erhält, beim ersten Authentifizieren ein Konto erstellt. Nichts muss zuvor in Zoom vorhanden sein. Das macht sie zur einfachsten Option für die Einrichtung und ist der Grund, warum sie empfohlen wird, wenn SSO für ein Konto erstmals konfiguriert wird.
Die Bereitstellung bei der Anmeldung ist auch mit SCIM kompatibel — beide können gleichzeitig laufen. In der Praxis macht SCIM dies jedoch meist überflüssig, da die Konten bereits existieren, wenn sich ein Benutzer zum ersten Mal authentifiziert.
### Vor der Anmeldung
#### Die Bereitstellung vor der Anmeldung hängt davon ab, dass zuvor etwas anderes das Konto oder den Anmeldetyp erstellt hat
Der *Vor der Anmeldung* Die Einstellung (auch als Vorabbereitstellung bekannt) stellt nichts automatisch bereit. Stattdessen erzwingt sie eine Bedingung: Ein Benutzer darf sich nur authentifizieren, wenn sein Zoom-Konto bereits existiert und den SSO-Anmeldetyp trägt. Daher muss etwas anderes für die Erstellung dieser Konten verantwortlich sein, und es gibt zwei praktische Optionen.
* **SCIM-Bereitstellung**, wodurch Konten automatisch vom Identitätsanbieter erstellt werden, wenn Benutzern die Anwendung zugewiesen wird.
* **Bulk-CSV-Upload** mit dem *SSO-Benutzer* ausgewählt, wodurch Konten erstellt und der SSO-Anmeldetyp in einem einzigen Import angewendet werden.
Deshalb werden Pre-Provisioning und SCIM so häufig gemeinsam verwendet. Pre-Provisioning stellt eine Anforderung dar; SCIM ist der Mechanismus, der sie in großem Maßstab erfüllt.
Zoom-Administratoren können bestätigen, ob ein Konto einen SSO-Anmeldetyp hat, indem sie das Konto des Benutzers auf der [Benutzerverwaltung](https://zoom.us/account/user#/) Seite im Webportal ansehen und nach dem „SSO“-Symbol unter der E-Mail des Benutzers suchen.
Standort des SSO-Symbols unter der E-Mail eines Benutzers.
Wenn das Symbol präsent ist, ist der Benutzer für SSO bereitgestellt; wenn das Symbol fehlt, kann sich der Benutzer bei aktiviertem Pre-Provisioning nicht über SSO anmelden, bis es hinzugefügt wird. Ein Zoom-Administrator kann diesen Anmeldetyp durch das Hinzufügen von Benutzern in großen Mengen per CSV-Datei und die Auswahl der Option „SSO-Benutzer“ hinzufügen oder den Benutzer authentifizieren, während Provision at Anmelden aktiviert ist.
Beispiel, das die SSO-Benutzeroption für den Massen-Upload zeigt.
### SCIM
#### SCIM stellt Benutzer über APIs bereit und übermittelt niemals Identitätswerte wie SAML oder OIDC
SCIM unterscheidet sich vom Response-Mapping auf eine Weise, die man klar benennen sollte. Response-Mapping — ob über SAML-Assertions oder OIDC-Claims — trägt Benutzerinformationen *als Teil eines Authentifizierungs-Events*. Nichts wird angewendet, bis sich der Benutzer anmeldet, und die Informationen werden innerhalb der Assertion übertragen.
SCIM enthält überhaupt keine Assertions oder Claims. Der Identitätsanbieter ruft Zooms API direkt auf und kann dies selbst planen, wobei Benutzerinformationen gesendet werden, unabhängig davon, ob sich der Benutzer jemals angemeldet hat. Das ermöglicht es SCIM, Konten ohne Beteiligung des Benutzers zu erstellen, zu aktualisieren, zu deaktivieren und zu löschen, und deshalb kann SCIM den Kontostatus verwalten, während Response-Mapping dazu nicht in der Lage ist.
SCIM ist mit beiden Bereitstellungsmodi kompatibel und wird meist zusammen mit der Vorbereitstellung eingesetzt.
Siehe die [SCIM für Entra ID und Okta Feldleitfaden](/technical-library/de/administrationsbereich/account-and-endpoint-management/scim-guide.md) für weitere Informationen zur Konfiguration von SCIM für Ihr Konto mit Entra ID oder Okta.
{% hint style="success" %}
**Zoom-Empfehlung**
Wenn Sie SSO und SCIM zusammen auf einem neuen Konto konfigurieren, Aktivieren *Bereitstellung bei der Anmeldung* zuerst. Es hilft sicherzustellen, dass Benutzer authentifizieren können, während die SCIM-Integration noch validiert wird. Sobald Sie bestätigt haben, dass SCIM Konten mit angewendetem SSO-Anmeldetyp erstellt, wechseln Sie zu *Vor der Anmeldung* wenn die strengere Kontrolle gewünscht ist.
{% endhint %}
## Sicherheitseinstellungen
#### Zoom-Administratoren können eine automatische Abmeldung nach einer definierten Zeitdauer erzwingen
Zoom-Administratoren können Zoom so Konfigurieren, dass Benutzer nach definierten Zeitspannen automatisch von aktiven Sitzungen abgemeldet werden, anpassbar von 15 Minuten bis 180 Tagen. Dabei wird das Zoom-Zugriffs-Token so festgelegt, dass es nach der vordefinierten Dauer abläuft, sobald das Token generiert wurde. Dieses Token steht in keinem Zusammenhang mit einem Identitätsanbieter und ist einzigartig für Zoom.
#### Eine Domain muss zugeordnet und verwaltet sein, um SSO-Authentifizierung durchzusetzen
Zoom-Administratoren können SSO-Authentifizierung erzwingen *nur* wenn die E-Mail-Domain in Zoom zugeordnet und verwaltet ist. Wenn dies aktiviert ist, werden alle Benutzer, die sich mit Ihrer Firmendomäne bzw. Ihren Firmendomänen authentifizieren, automatisch auf die Authentifizierungsseite Ihres Identitätsanbieters weitergeleitet, unabhängig von der Plattform.
Sobald die Domain genehmigt und verwaltet ist, kann ein Zoom-Administrator die SSO-Authentifizierung über Ihr Konto [Sicherheitsseite](https://zoom.us/account/setting/security) unter **Anmeldemethoden**. Siehe unseren Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen zum Zuordnen und Verwalten einer Domain.
#### Bestimmte Benutzer können von der erzwungenen SSO-Authentifizierung ausgenommen werden
Zoom-Administratoren können bestimmte Benutzer von der erzwungenen SSO-Authentifizierung ausschließen. Der Ausschluss bestimmter Benutzer (z. B. eines Administratorkontos) kann hilfreich sein, wenn eine SSO-Konfiguration fehlerhaft ist und ein Kontoadministrator Nicht-SSO-Zugriff auf das Zoom-Konto benötigt. Ausgenommene Administratoren können sich jederzeit unter admin.zoom.us anmelden, falls ein Konto gesperrt ist oder eine SSO-Konfiguration fehlerhaft ist (der Benutzer muss den Standard **Administrator** Rolle). Wenn ein Zoom Administrator keinen Access auf das Konto hat, muss er Kontakt mit dem Zoom-Support zur Unterstützung aufnehmen.
Um eine Ausnahme für einen Benutzer zu Aktivieren, öffnen Sie [Administrator-Center](https://zoom.com/account) → [Sicherheit und Vertrauen](https://zoom.com/account/setting/security) → [Allgemein](https://zoom.com/account/setting/security), suchen Sie die Liste der erzwungenen Domänen und Hinzufügen Sie über die Bearbeitungsliste eine Ausnahme.
Beispiel einer Domänenliste für SSO.
#### Mobile und Desktop-Clients können so konfiguriert werden, dass Benutzer die SSO-Authentifizierung verwenden müssen
Zoom-Clients können vorkonfiguriert werden, um SSO-Funktionen zu automatisieren, einschließlich automatischer Anmeldung, automatischer Abmeldung, ausschließlicher SSO-Authentifizierung auf dem Gerät und mehr über Gruppenrichtlinien, Mobilgeräteverwaltungsdienste (MDM) und Clients für die Massenbereitstellung.
Eine vollständige Liste der Konfigurationsmöglichkeiten finden Sie in unseren Konfigurationsoptionen für [Gruppenrichtlinie](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) und [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows).
#### Office 365-Benutzer können sich mit SSO-Anmeldedaten automatisch beim Zoom für Outlook-Hinzufügen-In anmelden
Kunden, die Office 365 verwenden, können ihre Benutzer automatisch mit SSO-Anmeldedaten beim Zoom für Outlook-Hinzugefügt-In anmelden. Dies kann mit einem [Benutzerdefiniertes Hinzufügen-In-Manifest](https://support.zoom.us/hc/en-us/articles/360041403311) das die Vanity-URL des Kontos vorbefüllt und ein nahtloses Authentifizierungserlebnis für Benutzer schafft. Diese Funktion verwendet das SSO-Token der Sitzung des Benutzers, wenn es aktiv ist, oder fordert eine neue Authentifizierung bei Ihrem Identitätsanbieter an, wenn keine aktive Sitzung gefunden wird.
Ein Zoom-Administrator kann diese Einstellung im Konto des [Sicherheitsseite](https://zoom.us/account/setting/security) unter dem **Erweitert** Menü.
Beispiel einer Administrator-Einstellung für SSO mit Outlook-Hinzufügen-In.
## Antwortzuordnung
In der Antwortzuordnung, **Attribute** sind Datenkategorien, die definiert werden durch **Werte**, und werden verwendet, um Informationen vom Identitätsanbieter an einen Dienstanbieter wie Zoom zu übermitteln. Das Zuordnen von Attributen und Werten ist wesentlich, um Benutzerprofilinformationen zu automatisieren und Benutzerlizenzen zu verwalten.
Die Zoom-Antwortzuordnung ist in zwei Hälften unterteilt: *grundlegend* und *Erweitert*. Basic-Mapping wird verwendet, um grundlegende Profilinformationen wie Name, Telefonnummer, Abteilung usw. zuzuordnen, während erweitertes Mapping verwendet wird, um dynamische Lizenzzuweisungen zu verwalten, Benutzergruppen und Benutzerrollen zu Zuweisen und mehr.
Dieser Abschnitt behandelt die Grundlagen der Basic- und erweiterten Antwortzuordnung und hebt die besonderen Bedingungen hervor, die für einige Funktionen erforderlich sind.
#### Zoom unterstützt Antwortzuordnung sowohl über SAML als auch über OIDC
Zoom kann Antwortzuordnung über SAML oder OIDC Konfigurieren. SAML-Identitätsinformationen werden in XML-formatierten Assertions ausgetauscht, während OIDC-Identitätsinformationen über JSON-Web-Key-Sets (JWKs) bereitgestellt werden. In beiden Fällen kann Zoom die vom Identitätsanbieter empfangenen Attribute oder Ansprüche verwenden, um Benutzerprofilinformationen, Lizenzierung, Gruppen und andere unterstützte Kontoeinstellungen zuzuordnen.
#### Grundlagen: Attribute und Werte
Die meisten Identitätsanbieter übermitteln grundlegende Profilinformationen mithilfe einfacher Attributnamen und -werte. Zum Beispiel kann die Abteilung eines Mitarbeiters mit einem Attribut von department und einem Wert von Human Resources übermittelt werden. Die folgende Tabelle zeigt die Beziehung zwischen Attributen und Werten beim Übermitteln von Informationen zu einem Benutzer.
| Attribut | Wert |
| --------- | ------------------------------ |
| firstName | John |
| lastName | Smith |
| E-Mail | |
| Abteilung | Personalabteilung |
Durch die korrekte Zuordnung eines Attributs zu einem Response-Mapping können Benutzerinformationen automatisch auf ein Benutzerprofil angewendet werden, um den Prozess der Kontoerstellung und -verwaltung zu vereinfachen.
### Basic Mapping: Profilinformationen
Basic Mapping wird verwendet, um Profilinformationen wie Vorname, Nachname, Abteilung, Telefonnummer, Kostenstelle und Standort aus einem Verzeichnis auf ein Benutzerprofil anzuwenden. Viele dieser Kategorien sind selbsterklärend und können leicht konfiguriert werden; einige Kategorien erfordern jedoch eine Erklärung für die korrekte Konfiguration, um unvorhergesehene Folgen oder Fehler der Anwendung zu verhindern. Der folgende Abschnitt hebt einzigartige Zuordnungsoptionen und Konfigurationseinstellungen für Basic Mapping hervor. Lesen Sie unseren [Artikel zu Basic Mapping](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) für eine vollständige Liste der unterstützten Attribute.
#### Der Lizenztyp, der standardmäßig verwendet wird, gilt nur für *brandneue Benutzer*
Die Option für den Lizenztyp, der standardmäßig verwendet wird, wendet die zugewiesene Lizenz auf alle an *brandneu* Benutzer, die über die erstmalige Authentifizierung im Konto bereitgestellt werden. Dies gilt nicht für Benutzer, die sich ein zweites Mal authentifizieren, Benutzer, die aus einem vorherigen Konto in das Konto zusammengeführt wurden, Benutzer, die über SCIM bereitgestellt werden, oder Benutzer, die manuell eingeladen wurden.
Weitere Informationen zu *Aktualisieren* Benutzerlizenzen mit Authentifizierung finden Sie in der Lizenzkonfiguration unter [Erweiterte Zuordnung](#advanced-mapping-licenses-add-ons-and-access).
#### Ein standardmäßiger Lizenztyp von *Keine* wird neuen Benutzern nicht zulassen, sich zu authentifizieren, es sei denn, die erweiterte Zuordnung ist so konfiguriert, dass das Zuweisen einer Lizenz erfolgt
Zoom-Benutzer müssen einen zugewiesenen Lizenztyp haben (Nicht zugewiesen ohne Zoom Meetings Basic, Zoom Workplace usw.), um sich beim Zoom-Dienst anzumelden. Wenn ein standardmäßiger Lizenztyp von None ausgewählt ist, können neue Benutzer sich nicht Anmelden oder ein neues Konto erstellen, es sei denn, sie erhalten eine Lizenz über [Erweiterte Zuordnung](#advanced-mapping-licenses-add-ons-and-access).
#### Die meisten Basic-Zuordnungen werden bei der Anmeldung erneut angewendet, sofern nicht anders angegeben
Die meisten grundlegenden Zuordnungen werden standardmäßig bei jeder Anmeldung eines Benutzers aktualisiert, *außer* *für* Vorname, Nachname, Anzeigename und Telefonnummer. Standardmäßig werden diese vier Zuordnungen nur beim ersten Mal angewendet, wenn sich ein Benutzer authentifiziert, und werden nicht erneut angewendet, selbst wenn sie von einem Benutzer oder Administrator aktualisiert werden. Zoom-Administratoren können dieses Verhalten ändern, indem sie die Option für **Bei jeder SSO-Anmeldung aktualisieren** auf der Antwortzuordnungsseite.
Beispiel für die Option „Bei jeder SSO-Anmeldung aktualisieren“.
#### Zuordnungen von Telefonnummern sollten einen Ländercode und eine Vorwahl enthalten, wenn sie außerhalb der Vereinigten Staaten liegen
Telefonnummern, die über Assertions zugeordnet werden, sollten wenn möglich den Ländercode und die Vorwahl des Benutzers enthalten. Zoom nimmt standardmäßig einen Ländercode von +1 an, wenn keiner definiert ist.
Konten, die Ländercodes in ihrem Verzeichnis nicht beibehalten, können ihre Assertions im Identitätsanbieter bearbeiten, um diese bei Bedarf automatisch einzuschließen.
#### Jeder Benutzer kann bis zu drei Telefonnummern und eine Faxnummer seinem Profil zuordnen
Zoom-Administratoren können für jeden Benutzer bis zu drei separate Telefonnummern und eine Faxnummer-Zuordnung Konfigurieren. Jede Telefonnummer muss eindeutig sein und darf nicht den Wert eines anderen Feldes duplizieren.
Beispiel für Telefonnummernoptionen für jeden Benutzer.
#### Profilbilder müssen entweder über eine öffentlich zugängliche URL zugeordnet oder mit Base64 kodiert werden
Konten, die Profilbilder aus ihrem Verzeichnis zuordnen möchten, müssen die Bilder entweder über eine öffentlich zugängliche URL zuordnen oder das Bild in Base64 kodieren, wenn sie es festlegen.
### Eindeutige Mitarbeiter-ID
**Die Eindeutige Mitarbeiter-ID ändert die primäre Kennung, die Zoom zur Identifizierung von Benutzern verwendet, und hilft, doppelte Benutzerkonten nach dem Ändern der E-Mail zu verhindern**
Der *Eindeutige Mitarbeiter-ID* ist eine Funktion, die Zoom anbietet, um bei der Identitätsverwaltung zu helfen. Standardmäßig ist die primäre Kennung eines Zoom-Benutzers ihre **E-Mail** **Adresse**. Dies bedeutet, dass, wenn der Anmeldetyp für die geschäftliche E-Mail-Adresse ****, dann wird Zoom diesen Benutzer immer anhand dieser E-Mail-Adresse identifizieren. Diese Kennung ermöglicht es Integrationen wie SSO oder Facebook- und Google-OAuth-Konto, den Benutzer demselben Zoom-Konto zuzuordnen.
Allerdings kann dieser Identifizierungsprozess problematisch sein, wenn sich der Name oder die E-Mail eines Benutzers ändert. Zum Beispiel, wenn **** hat eine E-Mail-Ändern zu ****, Zoom kann nicht sicher feststellen, dass es sich um dieselbe Person handelt (weil die grundlegende Kennung unterschiedlich ist), daher wird Zoom beim ersten Mal ein neues Konto erstellen **** meldet sich an.
Um dieses Problem zu vereinfachen, bietet Zoom die Funktion zur eindeutigen Mitarbeiter-Kennung, die die primäre Kennung eines Benutzers von seiner E-Mail-Adresse auf eine festgelegte eindeutige ID ändert. *Dies ändert nicht den Zoom-Benutzernamen eines Benutzers*sondern bietet stattdessen ein alternatives identifizierendes Attribut an. Dieses Ändern ermöglicht es Zoom, die E-Mail-Adresse eines Benutzers innerhalb von Zoom dynamisch zu aktualisieren, wenn:
* ein *neu* E-Mail-Adresse wird von einer bekannten eindeutigen Mitarbeiter-ID begleitet; und
* die E-Mail-Domain des betroffenen Benutzers ist innerhalb von Zoom zugeordnet
Wenn beispielsweise **** sich authentifiziert und einen Wert von 12345 (seine Mitarbeiter-Nummer) für das Attribut „eindeutige Mitarbeiter-ID“ übergibt, identifiziert Zoom den Benutzer nun innerhalb des Kontos anhand des übermittelten Werts. Wenn John sich erneut unter Verwendung der E-Mail authentifiziert **** während weiterhin die eindeutige Mitarbeiter-ID 12345 übergeben wird, erkennt Zoom, dass jetzt **** und aktualisiert die E-Mail des Benutzers innerhalb des Kontos dynamisch, wenn die Domain zugeordnet ist.
Identitätsadministratoren sollten *positiv* dass sich keine zwei Benutzer mit demselben Wert der Mitarbeiter Unique ID überschneiden, bevor für diese Kategorie eine Zuordnung erstellt wird. Wenn sich ein weiterer Benutzer authentifiziert und denselben Wert übermittelt, wird die E-Mail erneut dem neuen Benutzer zugewiesen und kann erhebliche Störungen für die Benutzerdienste und das Benutzererlebnis verursachen.
**Die Funktion Mitarbeiter Unique ID erfordert zugehörige Domänen, um die E-Mail-Adresse eines Benutzers zu Ändern**
Die Funktion Mitarbeiter Unique ID kann die E-Mail-Adresse eines Benutzers nicht Ändern, es sei denn, die E-Mail-Domäne ist offiziell mit Ihrem Kontoprofil verknüpft. Siehe unseren Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen.
**Administratoren und Inhaber können ihre E-Mail nicht über die Mitarbeiter Unique ID Ändern**
Administrator- und Inhaber-E-Mails innerhalb von Zoom können nicht über die Mitarbeiter Unique ID-Funktion aktualisiert werden. Dies ist als Sicherheitsmaßnahme gedacht, um unbefugten Zugriff zu verhindern. Administratoren und Inhaber müssen ihre E-Mail über ihre Profilseite Ändern.
**Benutzer-E-Mails können über die Mitarbeiter Unique ID nur einmal pro Tag aktualisiert werden.**
Benutzer-E-Mails können über die Mitarbeiter Unique ID-Funktion nur einmal alle 24 Stunden aktualisiert werden. Ein Benutzer muss einen ganzen Kalendertag seit der vorherigen Aktualisierung warten, bevor er seine E-Mail erneut über SSO Ändern kann.
Diagramm eines Beispielablaufs zum Aktualisieren von Benutzer-E-Mails.
**Wenn das Attribut auf \ gesetzt wird, wird die angegebene NameID des Benutzers verwendet**
Zuordnung des Mitarbeiter-Unique-ID-Attributs zu **\** wird automatisch den vom Benutzer bestätigten NameID-Wert als eindeutige Kennung verwenden. Dies kann ein nützliches Hilfsmittel sein, wenn Ihr Identitätsanbieter eine andere NameID als die E-Mail des Benutzer bestätigt, beispielsweise einen User Principal Name (UPN) oder einen ähnlichen Wert, der sich nicht Ändern lässt. Verwenden Sie diesen Wert nicht, wenn die NameIDs der Benutzer mit ihrer E-Mail übereinstimmen.
Beispiel für die Administrator-Einstellung <NameID>.
### Erweitertes Mapping: Lizenzen und Hinzufügen-ons
Im Abschnitt „Erweiterte Informationszuordnung“ können Lizenzen (einschließlich Zoom Phone), Add-ons und Benutzer-Access-Gruppen dynamisch auf Benutzer angewendet werden, wenn sie sich authentifizieren. Im Gegensatz zur Basic-Zuordnung weist die erweiterte Zuordnung viele Feinheiten auf, die je nach Komplexität Ihrer Umgebung bei der Konfiguration sorgfältige Aufmerksamkeit erfordern können. In diesem Abschnitt werden die Feinheiten bei der Konfiguration der erweiterten Antwortzuordnung hervorgehoben. Siehe unsere [Artikel zur erweiterten Zuordnung](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) für eine vollständige Liste der unterstützten Attribute.
#### Erweiterte Zuordnung wird jedes Mal angewendet, wenn sich ein Benutzer authentifiziert
Im Gegensatz zur einfachen Zuordnung, die für einige Kategorien optionale Aktualisierungen hat, werden erweiterte Zuordnungskonfigurationen jedes Mal angewendet, wenn sich ein Benutzer authentifiziert, gemäß der Top-down-Reihenfolge der Anwendung.
Zum Beispiel: Wenn ein Benutzer eine Basic Lizenz hat und sich dann über SSO authentifiziert und dabei ein Attribut und einen Wert übermittelt, der der Vergabe einer vollständigen Lizenz zugeordnet ist, wird dem Benutzer die vollständige Lizenz sofort zugewiesen. Wenn das Profil des Benutzers anschließend im Identitätsanbieter geändert wird, sodass er wieder eine Basic Lizenz erhält, wird ihm nach erneuter Authentifizierung innerhalb von Zoom wieder die Basic Lizenz zugewiesen.
#### Erweitertes Mapping ermöglicht mehrere Attribute und Werte pro Kategorie
Im Gegensatz zum Basic-Mapping, das pro Kategorie nur ein Attribut zulässt, kann erweitertes Mapping mehrere Attribute und Werte für jede Kategorie unterstützen. Dies ermöglicht erhebliche Flexibilität bei der Verwaltung der Benutzerlizenzierung und des Access über Sicherheitsgruppen innerhalb Ihres Identitätsanbieters, wie in der folgenden Konfiguration zu sehen ist.
Beispiel für erweitertes Attribut-Mapping.
{% hint style="success" %}
**Zoom-Tipp**
Attribute können je nach Identitätsanbieter variieren, insbesondere bei Sicherheitsgruppen. Bestätigen Sie dies bei Ihrem Identitätsanbieter oder über [Antwortprotokolle](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) wie Attribute übermittelt werden.
{% endhint %}
#### Erweitertes Mapping wendet Lizenzen von oben nach unten an, wenn mehrere Attribute übermittelt werden
Wenn ein Benutzer mehrere Attribute oder Werte übermittelt, die für erweitertes Mapping konfiguriert sind, ordnet Zoom die Lizenzen von oben nach unten zu. Siehe das folgende Beispiel:
Beispiel für die Auswahl des Lizenztyps in den Administrator-Einstellungen.
Gemäß der obigen Konfiguration, wenn ein Benutzer ein Attribut für beide **global\_users** und **Marketing**, weil **Marketing** am höchsten in der Konfiguration ist, wird dieses Attribut auf den Benutzer angewendet, und die verbleibenden anwendbaren Attribute werden ignoriert.
Alternativ, wenn die Konfiguration mit **global\_users** als das Höchste festgelegt war, wie im folgenden Screenshot zu sehen ist, wenn die Assertion eines Benutzers enthielt **global\_users**, **Marketing**, **menschlich** **Ressourcen**, und **IT**, weil **global\_users** die höchste Priorität hat, wird nur eine Basic-Lizenz zugewiesen.
Beispiel für die Anpassung der Prioritätsreihenfolge
Zoom-Administratoren können beim Bearbeiten der Zuordnungswerte mithilfe der ↑↓-Pfeile im Editor die Reihenfolge der Anwendung anpassen.
{% hint style="success" %}
**Zoom-Empfehlung**
Konfigurieren Sie die erweiterten Konfigurationen von der spezifischsten bis zur allgemeinsten, um eine fehlerhafte Lizenzzuweisung zu verhindern.
{% endhint %}
#### Webinar- und Large Meeting-Zuordnungen können einen gemeinsamen Wert verwenden, um beide Hinzufügen-Ons anzuwenden.
Um den Prozess der Anwendung zu vereinfachen, können Zoom-Administratoren dasselbe Attribut und denselben Wert zweimal Konfigurieren, um sowohl Webinar- als auch große Meeting-Hinzufügen-Ons auf die Benutzer anzuwenden, wie im folgenden Bild mit dem **global\_users** Wert. Diese Hinzufügen-Ons können bei Bedarf auch unabhängig voneinander durch Konfigurieren eingerichtet werden, wie mit dem **Webinar\_only** und **large\_Meeting\_only** Werte.
Beispiel für Attribute für large_Meeting_only und Webinar_only.
#### Bestimmte Benutzer und Benutzergruppen können von bestimmten Zuordnungen ausgenommen werden
Jede Option unter Erweiterte Zuordnung kann so Konfigurieren werden, dass bestimmte Benutzer und Benutzergruppen vom Zuordnungsverhalten ausgenommen werden. Dies kann nützlich sein, um VIP-Benutzer vor Dienstunterbrechungen aufgrund einer potenziellen Ändern in der Lizenzierung zu schützen.
Beispiel für Benutzer-Ausnahmen.
#### Zoom unterstützt bis zu acht benutzerdefinierte Attribute
Zoom-Administratoren können bis zu Konfigurieren *acht* benutzerdefinierte Attribute zum Hinzufügen von Benutzerdaten zu ihrem Zoom-Profil unter der [erweiterte Benutzerverwaltung](https://zoom.us/account/user#/advanced) Seite. Nachdem die benutzerdefinierten Felder hinzugefügt wurden, können Zoom-Administratoren die Zuordnung auf der Konfigurieren [Antwortzuordnung](https://zoom.us/account/sso/mapping) Seite.
Beispiel für benutzerdefinierte Attribute
#### Die Zuordnung von Benutzern zu einem Unter-Konto wird *nur* eine Meeting-Lizenz und Add-ons anwenden
Die Zuordnung eines Benutzers zu einem Unterkonto führt lediglich dazu, dass die Meeting-Lizenz eines Benutzers und Hinzufügen-Ons wie Webinar und Große Meetings dem Unterkonto zugewiesen werden. Benutzergruppen, IM-Gruppen, Benutzerrollen usw. werden nicht übernommen und müssen innerhalb des Unterkontos konfiguriert werden.
Kunden, die mehr Flexibilität für das Response-Mapping mit Unterkonten benötigen, benötigen eine eindeutige Vanity-URL und eine neue SSO-Konfiguration innerhalb des Unterkontos.
### Erweiterte Zuordnung: Benutzer- und Kontakt-Gruppe-Zuordnung
Die Benutzer Gruppe- und Kontakt Gruppe-Zuweisung ist der eine Bereich des erweiterten Mappings, der in zwei unterschiedlichen Modi arbeitet: *Standardzuordnung* und *Multimapping*.
* **Standardzuordnung** Es wendet eine einzelne Übereinstimmung an. Ein Administrator kann viele Attribut-und-Wert-Paare Konfigurieren, aber wenn sich ein Benutzer authentifiziert, tritt nur der erste passende Eintrag in Kraft und der Rest wird ignoriert. Das Erreichen eines bestimmten Ergebnisses hängt daher von einer präzisen, exakten Konfiguration ab. Dies ist standardmäßig das Verhalten für alle Konten.
* **Multi-Mapping** ist ein optionaler Modus, der jede Übereinstimmung anwendet. Eine einzelne Authentifizierung kann mehrere Attribute und Werte gleichzeitig zuordnen und den Benutzer in einem Durchgang mehreren Gruppen zuweisen. Dadurch eignet er sich gut für Konten mit komplexen Gruppenstrukturen, die Benutzer über eine Vielzahl von Benutzergruppen und Kontaktgruppen verteilen. Multi-Mapping muss über den Zoom-Support aktiviert werden.
#### **Standardzuordnung weist einen Benutzer der ersten übereinstimmenden Benutzergruppe oder Kontaktgruppe zu**
Bei der Standardzuordnung gilt: Wenn die Assertion eines Benutzers mehrere konfigurierte Werte innerhalb der Kategorie Benutzergruppe oder Kontaktgruppe trifft, wendet Zoom nur den obersten übereinstimmenden Eintrag in der Konfiguration an. Die Einträge werden von oben nach unten ausgewertet, und der erste Treffer wird angewendet. Alle weiteren Übereinstimmungen innerhalb dieser Kategorie werden ignoriert.
Zum Beispiel wird in einer Konfiguration mit zwanzig Attribut-und-Wert-Paaren, die verschiedenen Benutzergruppen zugeordnet sind, ein Benutzer, dessen Assertion mit mehreren dieser Paare übereinstimmt, nur der Gruppe zugewiesen, die dem höchstplatzierten übereinstimmenden Eintrag zugeordnet ist.
#### Ein einzelner Wert kann einen Benutzer zu mehreren Gruppen hinzufügen, und die zuerst hinzugefügte Gruppe wird zur Primärgruppe
Zoom-Administratoren können die Zuordnung von Benutzergruppen konfigurieren, um einen Benutzer mit einem Wert zu mehreren Gruppen hinzuzufügen. Dieses Verhalten gilt sowohl bei der Standardzuordnung als auch bei Multi-Mapping.
Die zuerst hinzugefügte Benutzergruppe wird als Primärgruppe des Benutzers festgelegt und bestimmt die standardmäßigen Einstellungen des Benutzers *sofern in einer zugrunde liegenden Gruppe keine Einstellung gesperrt ist*. Weitere Informationen zu Benutzergruppen finden Sie in unserem [Support-Artikel](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings).
Im folgenden Bild, wenn ein Benutzer die Werte für **Führung**, **Personalabteilung**, und **Reguliert**, würden sie nur in die Gruppen für **Führung**, weil es die erste Übereinstimmung ist und keine weiteren Übereinstimmungen zutreffen.
Beispiel für das Standard-Mapping der Benutzer-Gruppe.
#### Multi-Mapping ordnet einen Benutzer jeder übereinstimmenden Benutzer-Gruppe und Kontakt-Gruppe zu, für bis zu 50 Regelübereinstimmungen
Wenn Multi-Mapping aktiviert ist, wendet Zoom *jede* übereinstimmender Eintrag innerhalb der Kategorien Benutzergruppe und Kontaktgruppe statt nur die oberste Übereinstimmung. Dasselbe Attribut kann bis zu fünfzigmal konfiguriert werden, und jeder konfigurierte Wert, der mit einer Assertion übereinstimmt, ordnet den Benutzer seiner zugehörigen Gruppe zu.
Das bedeutet, dass ein einzelnes Attribut, das mit fünfzig unterschiedlichen Werten übergeben wird, wobei jeder einem anderen Gruppe zugeordnet ist, einen Benutzer in alle fünfzig Gruppen in einer einzigen Authentifizierung einordnen kann. Dadurch wird eine Eins-zu-eins-Beziehung zwischen den Sicherheitsgruppen des Identitätsanbieters und den Zoom-Gruppen ermöglicht, sodass das Hinzufügen eines Benutzers zu einer Sicherheitsgruppe innerhalb des Identitätsanbieters ihm bei seiner nächsten Authentifizierung die entsprechende Zoom-Gruppe zuweist.
Im folgenden Bild, wenn ein Benutzer die Werte für **Führung**, **Testen**, **KI**, und **Personalwesen** bei aktivierter Mehrfachzuordnung würde der Benutzer allen Benutzergruppen zugewiesen, da Zoom bei aktivierter Mehrfachzuordnung die ersten 50 Regelübereinstimmungen anwendet.
Beispiel für Mehrfachzuordnung von Benutzergruppen
Die Bezeichnung Primärgruppe wird durch den Zuordnungsmodus nicht beeinflusst. Sowohl bei Standardzuordnung als auch bei Mehrfachzuordnung wird die zuerst hinzugefügte übereinstimmende Gruppe zur Primärgruppe des Benutzers, sofern bei einer zugrunde liegenden Gruppe keine Einstellung gesperrt ist.
#### Mehrfachzuordnung vereinfacht die Gruppenzuweisung in großen Enterprise-Umgebungen
Multi-Mapping reduziert die erforderliche Konfigurationspräzision, um Benutzer mehreren Benutzer Gruppen oder Kontakt Gruppen zuzuweisen (Zuweisen). Beim Standard-Mapping hängt das Platzieren eines Benutzers in mehrere Gruppen von einer exakten Top-down-Konfiguration ab, die in einer Auswertung korrekt aufgelöst wird. Multi-Mapping beseitigt diese Einschränkung, indem alle passenden Einträge gleichzeitig angewendet werden, was Umgebungen unterstützt, in denen Benutzer vielen Gruppen angehören und in denen Konfigurationen pro Attribut und pro Wert andernfalls schwer in einem einzigen Durchlauf auszuführen wären.
#### Multi-Mapping erfordert die Aktivierung über Zoom-Support
Multi-Mapping ist über die Standard-SSO-Verwaltungsoberfläche nicht aktiviert. Das Aktivieren der Funktion erfordert das Einreichen eines [Support-Anfrage](https://support.zoom.com/hc/en/contact?id=contact_us) an Zoom mit der Bitte, dass Multi-Mapping für das Konto aktiviert wird. Bis die Anfrage bearbeitet wird, erfolgt das Zuweisen von Benutzer Gruppen und Kontakt Gruppen nach dem Standard-Verhalten beim ersten Treffer.
### Erweitertes Mapping: Auto Mapping
#### Auto Mapping dient als Fallback und übernimmt das Zuweisen von Benutzern zu einer Benutzer-, Kanal- oder IM-Gruppe mit dem Namen ihres übermittelten Werts, wenn keine explizite Regel übereinstimmt
Auto Mapping kann verwendet werden, um das Zuweisen von Benutzern zu einer Benutzer Gruppe, Kanal Gruppe und IM Gruppe mit dem Namen ihres übermittelten Werts zu ermöglichen. Anders als andere erweiterte Mapping-Komponenten, die so konfiguriert werden können, dass ein Benutzer auf Grundlage des Werts einer beliebigen Gruppe zugewiesen wird, weist Auto Mapping einen Benutzer immer auf Grundlage des exakten Werts einer Gruppe zu. Wenn die Gruppe zuvor nicht existierte, wird sie automatisch erstellt.
Auto Mapping fungiert als Fallback und wird nur angewendet, wenn die Behauptung eines Benutzers mit keiner der oben in den erweiterten Mapping-Bereichen konfigurierten expliziten Regeln übereinstimmt. Wenn einem Benutzer bereits über eine explizite Regel eine Gruppe zugewiesen wurde (Zuweisen) – etwa indem er auf Grundlage der Sicherheitsgruppenmitgliedschaft des Identitätsanbieters in eine Benutzer Gruppe aufgenommen wurde – hat diese explizite Zuweisung Vorrang, und die entsprechende Auto-Mapping-Regel wird ignoriert. Im selben Beispiel würde eine automatisch aus dem Abteilungswert des Benutzers zugeordnete Benutzer Gruppe nicht angewendet, da die explizite Benutzer Gruppen-Regel bereits übereingestimmt hat.
Beispiel einer Auto-Mapping-Konfiguration.
Wenn Auto Mapping beispielsweise so eingestellt ist, dass es einen Benutzer basierend auf seiner Abteilung den Gruppen zuordnet, und der Benutzer keine explizite Regel für diese Kategorie erfüllt hat, dann werden Benutzer automatisch einer Gruppe zugewiesen, die ihrem Abteilungsnamen entspricht, sofern dieser Abteilungswert für die Benutzer Gruppe, Kanal oder IM Gruppe noch nicht definiert ist, wie in der folgenden Tabelle gezeigt:
| Attribut | Wert | Existiert die Zoom-Gruppe bereits? | Ergebnis |
| --------- | ----------------- | ---------------------------------- | --------------------------------------------------------------------------- |
| Abteilung | Personalabteilung | Ja | Benutzer der Human-Resources-Gruppe hinzugefügt |
| Abteilung | Marketing | Ja | Benutzer der Marketing-Gruppe hinzugefügt |
| Abteilung | Vertrieb | Nein | Die Vertriebsgruppe wird erstellt, Benutzer zur Vertriebsgruppe hinzugefügt |
## Fehlerbehebung bei Single Sign-On
#### Antwortprotokolle können zur Fehlerbehebung gespeichert werden
Zoom kann Antwortprotokolle von Authentifizierungsversuchen für sieben Tage nach einer Authentifizierung speichern. Diese Antwortprotokolle können neben Konfigurationen der Antwortzuordnung ein unschätzbares Werkzeug zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Lesen Sie den Abschnitt über [die Fehlerbehebung bei Fehlern mit Antwortprotokollen](#using-saml-response-logs-to-troubleshoot) für weitere Informationen.
{% hint style="success" %}
**Zoom-Empfehlung**
Aktivieren Sie das Speichern von Antwortprotokollen, um die Fehlerbehebung zu erleichtern.
{% endhint %}
#### Antwortprotokolle zur Fehlerbehebung verwenden
Gespeicherte Antwortprotokolle können neben Konfigurationen der Antwortzuordnung ein unschätzbares Werkzeug zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Wenn Ihre Zoom-Single Sign-On-Konfiguration so eingestellt ist, dass Antwortprotokolle gespeichert werden, können sie über die [Antwortprotokoll](https://zoom.us/account/sso/saml_logs) Registerkarte, die auf der SSO-Konfigurationsseite in den erweiterten Einstellungen verfügbar ist. Um Antwortprotokolle anzuzeigen, klicken Sie auf **Details anzeigen** neben einem Authentifizierungsversuch.
#### Die meisten Authentifizierungen werden in den Antwortprotokollen angezeigt
Die meisten fehlgeschlagenen oder erfolglosen Authentifizierungsversuche werden auf der Seite mit den Antwortprotokollen angezeigt. Wenn ein Authentifizierungsversuch nicht angezeigt wird, hat Zoom höchstwahrscheinlich keine Assertion von Ihrem Identitätsanbieter erhalten oder das Speichern von Antwortprotokollen ist deaktiviert.
#### Antwortprotokolle können Ihnen sagen, ob Ihre Konfiguration falsch ist oder Ihr Zertifikat veraltet ist
Wenn das Speichern von Antwortprotokollen aktiviert ist, werden die Informationen des Identitätsanbieters an Zoom übermittelt, um Identitäten für jede Partei zu authentifizieren. Wenn eine übermittelte Einstellung oder Zeichenfolge von Informationen, wie das X509-Zertifikat oder die Issuer-ID, sich von der aktuellen Konfiguration von Zoom unterscheidet, wird ein Fehler angezeigt, der darauf hinweist, dass die Informationen „nicht mit den aktuellen SSO-Einstellungen übereinstimmen“. Ein Zoom-Administrator kann die SSO-Konfiguration so aktualisieren, dass sie diesen übermittelten Werten entspricht, wenn diese korrekt sind, um den Fehler zu beheben.
Beispiel für Warnungen bei falscher Konfiguration.
#### Antwortprotokolle zeigen Ihnen, welche Werte und Attribute übermittelt werden
Das Überprüfen von Antwortprotokollen kann bei der Behebung von Konfigurationen der Antwortzuordnung helfen, indem verifiziert wird, welche Attribute und Werte von Benutzern während der Authentifizierung übermittelt werden. Diese können mit der Konfiguration verglichen werden, um sicherzustellen, dass Attribute und Werte übereinstimmen.
Beispiel für Informationen, die vom Identitätsanbieterdienst übermittelt werden.
Wenn Attribute oder Werte fehlen, werden die Informationen nicht vom Identitätsanbieterdienst übermittelt. Benutzern, die von diesem Problem betroffen sind, wird empfohlen, sich für weitere Unterstützung an den Support ihres Identitätsanbieters zu wenden.
#### Antwortprotokolle enthalten bei erfolglosen Versuchen einen Fehlercode und eine kurze Erklärung
Wenn sich ein Benutzer nicht authentifizieren kann oder einen Fehler erhält, enthalten die Antwortprotokolle einen Fehlercode und eine kurze Erklärung des Fehlers.
Beispiel für Fehlercode und Erklärung.
Die meisten Probleme können mithilfe dieser Fehlermeldungen identifiziert und behoben werden. Wenn Sie den Fehler nicht beheben können, wenden Sie sich an den Zoom-Support für zusätzliche Unterstützung.
#### Fehler bei der Web-Tracking-ID
Wenn die SSO-Authentifizierung eines Benutzers fehlschlägt, erhält er einen Fehlercode für die WEB-Tracking-ID. Diese Codes sind keine Fehlermeldung zu einem bestimmten Fehler, sondern eine eindeutige Protokoll-ID, die in der Antwortzuordnung überprüft werden kann, um Authentifizierungsprobleme zu identifizieren.
Beispiel für einen benutzerseitigen Fehler mit einem Fehlercode für die WEB-Tracking-ID.
Um den Fehler zu identifizieren, navigieren Sie, wenn die Protokollierung von Antworten aktiviert ist, zur [Antwortprotokoll](https://zoom.us/account/sso/saml_logs) Registerkarte, die auf der SSO-Konfigurationsseite in den erweiterten Einstellungen verfügbar ist. Geben Sie von dort aus die WEB-Tracking-ID in das Feld „Tracking-ID“ ein und suchen Sie, um das Antwortprotokoll zu füllen
Beispiel für die Suche im Antwortprotokoll mit dem vorgenannten Fehlercode für die WEB-Tracking-ID.
Die Antwortprotokolle sollten die empfangene Assertion sowie einen Fehlercode und eine Meldung am unteren Rand der Antwort anzeigen, die für weitere Fehlerbehebungen verwendet werden können.
### SCIM-Fehlerbehebung
### Fehler
#### Benutzer existiert nicht oder gehört nicht zu diesem Konto
Dieser Fehler tritt auf, wenn die E-Mail-Adresse eines Zielbenutzers aufgrund eines bereits vorhandenen Kontos nicht bereitgestellt werden kann. Zoom-Administratoren werden gebeten, den Benutzer direkt zu kontaktieren und den Benutzer manuell zum Konto einzuladen.
Beispiel für einen Bereitstellungsfehler.
#### Sie können keine kostenpflichtigen Benutzer hinzufügen
Dieser Fehler tritt auf, wenn SCIM versucht, einen Benutzer bereitzustellen, obwohl auf dem Konto nicht genügend Lizenzen vorhanden sind. Um den Fehler zu beheben, muss der Benutzer als Basic-Benutzer bereitgestellt werden, oder eine Lizenz muss für die Bereitstellung verfügbar gemacht werden.
Beispiel für einen Bereitstellungsfehler.
### Mithilfe von SCIM-Protokollen zur Fehlerbehebung bei der Benutzerbereitstellung
Zoom stellt die neuesten 100 API-Anforderungsprotokolle in den [Zoom Marketplace](https://marketplace.zoom.us/). Ein Zoom-Administrator kann diese Protokolle verwenden, um zu bestätigen, welche Informationen über Bereitstellungs-APIs gesendet und empfangen werden. Um auf die Protokolle zuzugreifen, melden Sie sich als Zoom-Administrator im Zoom Marketplace an und klicken Sie auf **Verwalten**. Auf der folgenden Seite **Anrufprotokolle** unter **Persönliche App-Verwaltung**. Klicken Sie dort auf einen Eintrag, um die API-Protokolle zu erweitern und den Inhalt zu überprüfen.
Das folgende Bild zeigt ein Beispiel für eine SCIM-Benutzerbereitstellungsanfrage, wobei die Identitäts- und Lizenzierungsattribute des Benutzers zur Referenz hervorgehoben sind.
Beispiel für eine SCIM-Benutzerbereitstellungsanfrage.
Wie bei der Antwortzuordnung kann Zoom nur Informationen anwenden, die vom Identitätsanbieter in der Bereitstellungsanfrage übermittelt werden. Verwenden Sie diese Protokolle, um zu bestätigen, dass Benutzeridentitäts- und Lizenzierungsattribute vom Identitätsanbieter übermittelt werden. Wenn erwartete Informationen in diesen Assertions fehlen, wenden Sie sich an Ihren Identitätsanbieter, um Support zu erhalten.
## Datenflüsse und Authentifizierung
#### SAML-Authentifizierung
Das folgende Diagramm beschreibt den SAML-Authentifizierungsablauf eines Benutzers beim Starten einer Single Sign-On-Sitzung mit Zoom.
Diagramm eines beispielhaften SAML-Authentifizierungsablaufs.
#### OIDC-Authentifizierung
Das folgende Diagramm beschreibt den OIDC-Authentifizierungsablauf eines Benutzers beim Starten einer Single Sign-On-Sitzung mit Zoom.
Diagramm eines beispielhaften SAML-Authentifizierungsablaufs.
#### SSO-Web-Anmeldetoken
Nachdem sich ein Benutzer authentifiziert hat, wird seine Sitzung in seinem Browser aufgebaut und hat standardmäßig eine Laufzeit von zwei Stunden. Wenn der Benutzer seine Zoom-Webseite weiterhin aktiv nutzt, wird die Sitzung aktualisiert; wenn der Benutzer seine Webseite jedoch zwei Stunden lang nicht nutzt, läuft das Token ab und der Benutzer muss sich erneut authentifizieren. Zoom-Administratoren können diese aktive Sitzungsdauer auf der [Sicherheit](https://zoom.us/account/setting/security) Seite unter „Benutzer müssen sich nach einer Phase der Inaktivität erneut anmelden“ und **Zeitspanne für Inaktivität im Web festlegen (Minuten)**.
#### Client-Login-Token
Wenn ein Benutzer versucht, sich innerhalb eines Clients über SSO zu authentifizieren, öffnet das Gerät des Benutzers einen Web-Browser und leitet ihn auf die Anmeldeseite des Identitätsanbieters weiter. Nachdem sich ein Benutzer authentifiziert hat, erhält der Browser des Benutzers einen Zoom-Anwendungs-Start-Token. Sobald ein Benutzer auf die Schaltfläche „öffnen“ oder „starten“ klickt, verwendet der Browser das URL-Schema zusammen mit dem Start-Token, um die Zoom-Anwendung zu öffnen.
Die Zoom-Anwendung verwendet das Start-Token, um vom Zoom-Server das Access-Token und das Refresh-Token abzurufen. Der Client verwendet das Access-Token jeweils für zwei Stunden und nutzt es nach Ablauf des Zeitraums das Refresh-Token, um einen neuen Satz von Token zu erhalten, die in der lokalen Datenbank des Clients gespeichert werden. Dieser Aktualisierungsvorgang ist standardmäßig unbegrenzt und kann fortlaufend durch Token zyklisch wiederholt werden, bis sich ein Benutzer abmeldet oder die Token ablaufen. Zoom-Administratoren können die Sitzungslänge auf der [SSO-Einstellungen](https://zoom.us/account/sso) Seite unter [*automatische Abmeldung erzwingen*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time).
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://library.zoom.com/technical-library/de/administrationsbereich/account-and-endpoint-management/sso-field-guide.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
