> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/de/administrator-bereich/account-and-endpoint-management/sso-field-guide.md). # SSO-Leitfaden ## Einführung Die Integration von Single Sign-On (SSO) mit Zoom bietet Administratoren Benutzerverwaltung und Sicherheitsoptionen, die die Kontoverwaltung vereinfachen können. Nach der Konfiguration authentifizieren sich Benutzer mit ihren Unternehmensanmeldedaten bei Ihrem Unternehmens-Identitätsanbieter, anstatt alternative Authentifizierungsmethoden wie Oauth über eine App eines Drittanbieters oder einen direkten Benutzernamen und ein Passwort mit Zoom zu verwenden. Dieses Dokument bietet einen umfassenden Überblick über SSO-Konfigurationen und Einstellungen in Zoom sowie Informationen zur Fehlerbehebung und Sicherheit. ## SSO konfigurieren #### SSO erfordert eine Vanity-URL, um zu beginnen Ein Konto muss über eine genehmigte Vanity-URL verfügen, bevor SSO konfiguriert wird. Sobald die Vanity-URL genehmigt ist, können Zoom-Administratoren auf die [SSO-Konfiguration](https://zoom.us/account/sso) Seite über das Untermenü für erweiterte Optionen im Webportal zugreifen. Lesen Sie unseren Support-Artikel zu [Vanity-URLs](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) für weitere Informationen. #### Zoom SSO funktioniert mit jedem SAML 2.0- oder OIDC-Identitätsanbieter Zoom kann sich in jeden Identitätsanbieter integrieren, der Security Assertion Markup Language (SAML) 2.0 oder OpenID Connect (OIDC) Authentifizierung unterstützt. #### Zoom-Administratoren können Benutzerprofilinformationen und Lizenzen über Response-Mapping oder SCIM-Integrationen verwalten Administratoren können Benutzerprofilinformationen und Lizenzierung über Antwortzuordnung oder SCIM-Anfragen an die System for Cross-Domain Identity Management (SCIM) Anwendung-Programmierschnittstelle (API) verwalten, je nachdem, welche Funktionen vom Identitätsanbieter Verfügbar sind. Beide Benutzerverwaltungsmethoden bieten nahezu gleichwertige Funktionen für die Zuordnung von Profilinformationen und die Lizenzverwaltung, aber einige SCIM-Zuordnungen erfordern eine manuelle Konfiguration. Für eine umfassende Liste der SCIM-Funktionen, siehe unsere [SCIM API-Dokumentation](https://developers.zoom.us/docs/api/?ampDeviceId=157cfe5d-7f7a-45eb-afb0-efde5a7d3feb\&SessionId=1778697171616). #### Zoom-Administratoren können den Status des Benutzer-Kontos über SCIM verwalten, aber nicht über SAML oder OIDC Da SCIM Identitätsanbietern jederzeit ermöglicht, direkt mit Zoom zu kommunizieren, können Benutzerkonten *aktiviert*, *deaktiviert*, *erstellt*, oder *gelöscht* über SCIM-Integrationen automatisch. Beispielsweise: Wenn ein Konto eines Benutzers in Active Directory deaktiviert ist oder wenn ihnen die Anwendung nicht zugewiesen ist, kann SCIM eine automatische Deaktivierungsanfrage für das Konto innerhalb von Zoom senden. Diese Funktion ist von den Funktionen der SCIM-Anwendung des Identitätsanbieters abhängig, und die Funktionalität kann je nach Anbieter variieren. #### Nur wenige Identitätsanbieter bieten SCIM für Zoom an Viele Identitätsanbieter haben keine für Zoom entwickelte SCIM-Integration als Teil ihrer Dienste. Konten, die einen Identitätsanbieter verwenden, der SCIM mit Zoom nicht unterstützt, müssen für die automatisierte Benutzerverwaltung Response-Zuordnung verwenden. #### SCIM erfordert eine zugehörige Domäne, um Benutzer automatisch bereitzustellen Konten, die SCIM verwenden, um Benutzer für SSO zu verwalten und bereitzustellen **muss** verknüpfen Sie die E-Mail-Domäne mit Zoom. Wenn die Domäne nicht verknüpft wird, führt dies zu Fehlern bei der Benutzerbereitstellung. Weitere Informationen finden Sie in unserem Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen zum Prozess. ### SAML-Konfigurationsleitfaden Die folgenden Links enthalten Anleitungen zur Konfiguration von SSO mit SAML. {% hint style="success" %} **Zoom-Tipp** Klicken Sie auf das ✔ in der Spalte Anbieter oder Zoom-Dokumentation, um ein neues Fenster mit den Anweisungen zu öffnen. {% endhint %}
AnbieterdokumentationZoom-DokumentationUnterstützt SCIM
auth0✔

ADFS
✔AD Sync-Tool
Clever✔

CyberArk✔

Duo✔

Entra ID (ehemals Azure)✔✔✔
Google✔✔
JumpCloud✔
✔
miniOrange✔

Okta✔✔✔
OneLogin✔✔
Ping Identity✔
✔
Wenn der Identitätsanbieter, den Ihr Business nutzt, oben nicht aufgeführt ist, empfehlen wir, in der Wissensdatenbank des Anbieters nach einer Zoom-spezifischen Integration zu suchen. Falls keine verfügbar ist, kann SSO trotzdem konfiguriert werden, indem Schlüsselkennungen aus Ihrem IdP im SSO-Konfigurationsbildschirm von Zoom abgeglichen werden. Weitere Informationen dazu finden Sie im Support-Center von Zoom zu einem [Schnellstartanleitung für SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0060673) und welche Informationen erforderlich sind, um diesen Prozess abzuschließen. ### OIDC-Konfigurationsleitfaden Zoom unterstützt die OIDC-Discovery, die häufige Details des Identitätsanbieters wie den Issuer, den Autorisierungs-Endpunkt, den Token-Endpunkt und die Signaturschlüssel automatisch ausfüllen kann. Da OIDC auf standardisierten Konfigurationswerten basiert, ist eine Zoom-Dokumentation speziell für den Anbieter im Allgemeinen nicht erforderlich; wenn die Discovery nicht verfügbar ist, können die erforderlichen Werte manuell eingegeben werden. Daher können standardkonforme OIDC-Identitätsanbieter im Allgemeinen mit Zoom konfiguriert werden, auch wenn kein anbieterspezifischer Integrationsleitfaden verfügbar ist. Weitere Informationen zum [der Konfiguration von OIDC-SSO](https://support.zoom.com/hc/en/article?id=zm_kb\&sysparm_article=KB0083701). ### Zusätzliche Konfigurationsoptionen #### Zoom kann mehrere Vanity-URLs und/oder mehrere Anwendungen des Identitätsanbieters unterstützen Zoom-Konten können mehrere Vanity-URLs, mehrere Konfigurationen des Identitätsanbieters (IdP) oder eine Kombination aus beidem unterstützen. Zu den unterstützten Konfigurationen gehören: * Mehrere Vanity-URLs, die sich eine gemeinsame IdP-Konfiguration teilen. * Mehrere Vanity-URLs, jeweils mit einer eigenständigen IdP-Konfiguration. * Eine einzelne Vanity-URL, die mit mehreren IdP-Konfigurationen verknüpft ist. Diese Konfigurationen werden über den Zoom-Support aktiviert und nicht über die Standard-SSO-Verwaltungsoberfläche konfiguriert. Senden Sie einen [Supportanfrage](https://support.zoom.com/hc/en/contact?id=contact_us) um diese Funktion zu Aktivieren, zusammen mit der gewünschten Vanity-URL, der IdP-Konfiguration und dem beabsichtigten Authentifizierungsergebnis. {% hint style="info" %} **Hinweis** OIDC-Authentifizierung unterstützt derzeit keine mehreren Vanity-URLs oder IdPs. Wenn Sie nicht sicher sind, ob diese Situation auf Sie zutrifft, wenden Sie sich für weitere Informationen an Ihr Zoom-Konto-Team. {% endhint %} #### On-Premises Active Directory kann das AD Sync-Tool anstelle von SCIM verwenden Konten, die die Benutzerbereitstellung über SCIM automatisieren möchten, aber keinen Cloud-basierten Identitätsanbieter haben, können die Active Directory (AD) Synchronisieren Tool Anwendung nutzen, die von Zoom zur Verwaltung ihrer Benutzer entwickelt wurde. Diese Anwendung läuft auf Oracle JDK 8 und simuliert die SCIM-Bereitstellung, indem sie Benutzer über API-Befehle verwaltet. Sehen Sie unseren Support-Artikel zu dem [AD Sync-Tool](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) für weitere Informationen. {% hint style="success" %} **Zoom-Empfehlung** Das AD Sync-Tool erfordert eine genaue Konfiguration für Benutzerverwaltung. Gründliche Tests und eine Überprüfung der Konfiguration des Tools sind erforderlich, bevor die vollständige Implementierung erfolgt, um eine Unterbrechung des Dienstes zu vermeiden. {% endhint %} #### Identitätsanbieter können sogar Meeting-Teilnehmer authentifizieren, die kein Zoom-Konto haben Konten, die verlangen möchten, dass Benutzer ihre Identität authentifizieren, aber keine Zoom-Konten bereitstellen möchten, können bei ihrem Identitätsanbieter ein externes Authentifizierungsprofil konfigurieren. Wenn es für ein Meeting aktiviert ist, müssen Benutzer, die beitreten möchten, ihre Anmeldedaten bei Ihrem Identitätsanbieter authentifizieren, um Zugriff zu erhalten. Dies ist eine gängige Konfiguration für Schulen, die nicht allen Schülern Konten bereitstellen, aber eine Authentifizierung verlangen, um Klassen beizutreten. Weitere Informationen finden Sie in unserem Support-Artikel zu [Konfigurieren externer Authentifizierung](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) für weitere Informationen. #### Das Ändern des Identitätsanbieters erfordert eine erneute Konfiguration von SSO innerhalb von Zoom Konten, die den Identitätsanbieter ändern, müssen ihre SSO-Konfiguration innerhalb von Zoom erneut durchführen. Dazu gehört das Aktualisieren aller Felder auf der Konfigurationsseite, damit sie zu ihrem neuen Identitätsanbieter passen. Konten werden dazu angehalten zu bestätigen, dass sich die Antwortzuordnungen mit dem neuen Identitätsanbieter nicht ändern. Es sollten keine zusätzlichen Konfigurationen oder Änderungen erforderlich sein, sofern es keine weiteren Änderungen gibt. #### Kunden mit Unterkonten können SSO vom Hauptkonto oder Unterkonto aus Konfigurieren Kunden mit Unterkonten haben zwei Optionen zum Konfigurieren von SSO: 1. Alle Benutzer authentifizieren sich über die Vanity-URL des Hauptkontos und werden durch erweiterte Zuordnungen von Antworten automatisch im Unterkonto angemeldet ([Es gelten einige Zuordnungsbeschränkungen](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons)); oder 2. Jedes Unterkonto hat eine eindeutige Vanity-URL und eine unabhängige SSO-Konfiguration, die ausschließlich von den Mitgliedern dieses Unterkontos verwendet wird Jede Konfiguration bietet eindeutige Vorteile, wobei die zweite Option die größte Flexibilität bietet. Kunden, die die Implementierung einer der beiden Konfigurationen in Betracht ziehen, sollten mit ihrem Kontoteam besprechen, welche Konfiguration für ihre Anforderungen am besten geeignet ist. ## Bereitstellungsmethoden #### Bereitstellungsmodi und SCIM sind zwei verschiedene Mechanismen, und sie können zusammen verwendet werden Bereitstellung *Bei der Anmeldung* und *Vor der Anmeldung* sind die zwei verfügbaren Werte einer einzelnen SSO-Einstellung. Sie bestimmen, ob Zoom für einen Benutzer in dem Moment, in dem er sich authentifiziert, ein Konto erstellt, oder ob das Konto bereits vorhanden sein muss. SCIM ist kein dritter Wert dieser Einstellung — es ist ein separater, API-gesteuerter Mechanismus, der Benutzer unabhängig von der Authentifizierung bereitstellt und parallel zu dem jeweils ausgewählten Bereitstellungsmodus arbeitet. | Bereitstellungsmethode | Wie es funktioniert | Voraussetzungen | Erstellt Konten | Deaktiviert Konten | | ------------------------------------------------------------------ | ---------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------- | -------------------------------------- | -------------------------------------- | |

Bei der Anmeldung
(Just-in-time)

| Erstellt das Konto, wenn sich der Benutzer zum ersten Mal authentifiziert | Keine | Ja | Nein | |

Vor der Anmeldung
(Vorabbereitstellung)

| Überprüft, ob ein Benutzer zur Anmeldung per SSO berechtigt ist | Ein Konto mit dem SSO-Anmeldetyp. Wird oft mit SCIM-Bereitstellung verwendet. | Nein, wird aber oft mit SCIM verwendet | Nein, wird aber oft mit SCIM verwendet | | **SCIM** | Synchronisiert Benutzerdaten vom Identitätsanbieter nach seinem eigenen Planen über APIs | IdP-SCIM-Support und eine zugehörige Domäne | Ja | Ja, sofern vom IdP unterstützt | ### Bei der Anmeldung #### Die Bereitstellung bei der Anmeldung erstellt das Konto und den SSO-Anmeldetyp in einem einzigen Schritt Mit dem *Bei der Anmeldung* Die Einstellung (auch bekannt als Just-in-Time-Bereitstellung), bei der einem Benutzer innerhalb des Identitätsanbieters die Zoom-Anwendung zugewiesen wird und der eine unterstützte Zoom-Lizenz erhält, führt dazu, dass beim ersten Mal, wenn er sich authentifiziert, ein Konto für ihn erstellt wird. Vorher muss in Zoom nichts vorhanden sein. Das macht sie zur einfachsten Option für die Einrichtung und zum Grund, warum sie beim erstmaligen Konfigurieren von SSO für ein Konto empfohlen wird. Die Bereitstellung bei der Anmeldung ist auch mit SCIM kompatibel — beide können gleichzeitig ausgeführt werden. In der Praxis macht SCIM sie jedoch meist überflüssig, da die Konten bereits existieren, wenn sich ein Benutzer zum ersten Mal authentifiziert. ### Vor der Anmeldung #### Die Bereitstellung vor der Anmeldung setzt voraus, dass zuvor etwas anderes das Konto oder den Anmeldetyp erstellt hat Die *Vor der Anmeldung* Einstellung (auch bekannt als Vorab-Bereitstellung) stellt nichts automatisch bereit. Stattdessen erzwingt sie eine Bedingung: Ein Benutzer darf sich nur authentifizieren, wenn sein Zoom-Konto bereits existiert und den SSO-Anmeldetyp hat. Daher muss etwas anderes für das Erstellen dieser Konten verantwortlich sein, und dafür gibt es zwei praktische Optionen. * **SCIM-Bereitstellung**, wodurch Konten automatisch über den Identitätsanbieter erstellt werden, wenn Benutzern die Anwendung zugewiesen wird. * **Massen-CSV-Upload** mit dem *SSO-Benutzer* ausgewählte Option, die Konten erstellt und den SSO-Anmeldetyp in einem einzigen Import anwendet. Deshalb werden Vorabbereitstellung und SCIM so häufig gemeinsam verwendet. Vorabbereitstellung formuliert eine Anforderung; SCIM ist der Mechanismus, der sie in großem Maßstab erfüllt. Zoom-Administratoren können bestätigen, ob ein Konto einen SSO-Anmeldetyp hat, indem sie das Benutzerkonto auf der [Benutzerverwaltung](https://zoom.us/account/user#/) Seite im Webportal anzeigen und nach dem Symbol „SSO“ unter der E-Mail des Benutzers suchen.

Standort des SSO-Symbols unter der E-Mail eines Benutzers.

Wenn das Symbol vorhanden ist, wird der Benutzer für SSO bereitgestellt; wenn das Symbol fehlt, kann sich der Benutzer über SSO nicht anmelden, solange Vorabbereitstellung aktiviert ist, bis es hinzugefügt wird. Ein Zoom-Administrator kann diesen Anmeldetyp hinzufügen, indem er Benutzer in großen Mengen über eine CSV-Datei hinzufügt und die Option „SSO-Benutzer“ auswählt oder den Benutzer authentifizieren lässt, während Provision at Sign-in aktiviert ist.

Beispiel, das die Option „SSO-Benutzer“ für den Massen-Upload zeigt.

### SCIM #### SCIM stellt Benutzer über APIs bereit und behauptet niemals Identitätswerte wie SAML oder OIDC SCIM unterscheidet sich von Response-Mapping in einer Weise, die man klar benennen sollte. Response-Mapping — ob über SAML-Assertions oder OIDC-Ansprüche — überträgt Benutzerinformationen *als Teil eines Authentifizierungs-Events*. Es wird nichts angewendet, bis sich der Benutzer anmeldet, und die Informationen werden innerhalb der Assertion übertragen. SCIM überträgt überhaupt keine Assertions oder Claims. Der Identitätsanbieter ruft Zooms API direkt nach seinem eigenen planen auf und sendet Benutzerinformationen, unabhängig davon, ob sich der Benutzer jemals angemeldet hat oder nicht. Dadurch kann SCIM Konten ohne Beteiligung des Benutzers erstellen, aktualisieren, deaktivieren und löschen, und deshalb kann SCIM den Kontostatus verwalten, während Response-Mapping dies nicht kann. SCIM ist mit beiden Bereitstellungsmodi kompatibel und wird am häufigsten zusammen mit der Vorabbereitstellung eingesetzt. {% hint style="success" %} **Zoom-Empfehlung** Wenn Sie SSO und SCIM gemeinsam in einem neuen Konto konfigurieren, Aktivieren *Bereitstellung bei der Anmeldung* zuerst. Es hilft sicherzustellen, dass Benutzer sich authentifizieren können, während die SCIM-Integration noch validiert wird. Sobald Sie bestätigt haben, dass SCIM Konten mit dem angewendeten SSO-Anmeldetyp erstellt, wechseln Sie zu *Vor der Anmeldung* wenn die strengere Kontrolle gewünscht ist. {% endhint %} ## Sicherheits-Einstellungen #### Zoom-Administratoren können eine automatische Abmeldung nach einer definierten Zeitspanne erzwingen Zoom-Administratoren können Zoom so einrichten (Konfigurieren), dass Benutzer nach definierten Zeitspannen automatisch aus aktiven Sitzungen abgemeldet werden, anpassbar von 15 Minuten bis zu 180 Tagen. Dieser Vorgang setzt das Zoom-Access-Token so, dass es nach der vorgegebenen Dauer abläuft, sobald das Token generiert wird. Dieses Token steht in keinem Zusammenhang mit einem Identitätsanbieter und ist eindeutig für Zoom. #### Eine Domäne muss zugeordnet und verwaltet werden, um SSO-Authentifizierung zu erzwingen Zoom-Administratoren können SSO-Authentifizierung erzwingen *nur* wenn die E-Mail-Domäne in Zoom zugeordnet und verwaltet ist. Wenn dies aktiviert ist, werden alle Benutzer, die sich mit Ihrer Unternehmensdomäne(n) authentifizieren, automatisch zur Authentifizierungsseite Ihres Identitätsanbieters umgeleitet, unabhängig von der Plattform. Sobald die Domäne genehmigt und verwaltet ist, kann ein Zoom-Administrator SSO-Authentifizierung über die Ihres Kontos erzwingen [Sicherheitsseite](https://zoom.us/account/setting/security) unter **Anmeldemethoden**. Siehe unseren Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen zum Verknüpfen und Verwalten einer Domain. #### Bestimmte Benutzer können von der erzwungenen SSO-Authentifizierung ausgenommen werden Zoom-Administratoren können bestimmte Benutzer von der erzwungenen SSO-Authentifizierung ausschließen. Das Ausschließen bestimmter Benutzer (z. B. eines Administrator-Kontos) kann nützlich sein, wenn eine SSO-Konfiguration fehlschlägt und ein Kontoadministrator Nicht-SSO-Zugriff auf das Zoom-Konto benötigt. Ausgenommene Administratoren können sich jederzeit bei Administrator.zoom.us anmelden, im Event einer Kontosperrung oder einer fehlerhaften SSO-Konfiguration (Benutzer muss den Standard **Administrator** Rolle). Wenn ein Zoom-Administrator nicht auf das Konto zugreifen kann, muss er Kontakt mit dem Zoom-Support aufnehmen, um Unterstützung zu erhalten. Um eine Benutzer-Ausnahme zu Aktivieren, navigieren Sie zum Konto [Sicherheitsseite](https://zoom.us/account/setting/security) Im Webportal finden Sie unter den erweiterten Optionen die Liste der erzwungenen Domänen, und Hinzufügen Sie über die Bearbeitungsliste eine Ausnahme.

Beispiel einer Domänenliste für SSO.

#### Mobile und Desktop-Clients können so konfiguriert werden, dass Benutzer die SSO-Authentifizierung verwenden müssen Zoom-Clients können vorab konfiguriert werden, um SSO-Funktionen zu automatisieren, einschließlich automatischer Anmeldung, automatischer Abmeldung, Authentifizierung nur mit SSO auf dem Gerät und mehr über Gruppe-Richtlinien, mobile Gerätverwaltungs-(MDM)-Dienste und Clients für die Massenbereitstellung. Eine vollständige Liste der Konfigurationsmöglichkeiten finden Sie in unseren Konfigurationsoptionen für [Gruppe-Richtlinie](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) und [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows). #### Office 365-Benutzer können sich mit SSO-Anmeldedaten automatisch beim Zoom für Outlook-Hinzufügen-In anmelden Kunden, die Office 365 verwenden, können ihre Benutzer mit SSO-Anmeldedaten automatisch beim Zoom für Outlook-Hinzufügen-In anmelden. Dies kann mit einem [benutzerdefinierten Hinzufügen-In-Manifest](https://support.zoom.us/hc/en-us/articles/360041403311) kombiniert werden, das die zu dem Konto gehörende Vanity-URL vorausfüllt und so ein nahtloses Erlebnis bei der Authentifizierung für Benutzer schafft. Diese Funktion verwendet das SSO-Sitzung-Token des Benutzers, wenn es aktiv ist, oder fordert eine neue Authentifizierung bei Ihrem Identitätsanbieter an, wenn keine Sitzung aktiv gefunden wird. Ein Zoom Administrator kann diese Einstellung im Konto aktivieren [Sicherheitsseite](https://zoom.us/account/setting/security) unter dem **erweiterten** Menü.

Beispiel einer Administrator-Einstellung für SSO mit dem Outlook-Hinzufügen.

## Antwortzuordnung Bei der Antwortzuordnung **Attribute** sind Datenkategorien, die definiert werden durch **Werte**, und werden verwendet, um Informationen vom Identitätsanbieter an einen Dienstanbieter wie Zoom zu übermitteln. Das Zuordnen von Attributen und Werten ist für die Automatisierung von Benutzerprofilinformationen und die Verwaltung von Benutzerlizenzen unerlässlich. Die Zoom-Antwortzuordnung ist in zwei Hälften unterteilt: *Basic* und *erweiterten*. Basic-Zuordnung wird verwendet, um grundlegende Profilinformationen, einschließlich Name, Telefonnummer, Abteilung usw., zuzuordnen, während erweiterte Zuordnung verwendet wird, um dynamische Lizenzzuweisungen zu verwalten, Benutzergruppen Zuweisen, Benutzerrollen und mehr. Dieser Abschnitt behandelt die Grundlagen der Basic- und erweiterten Antwortzuordnung und hebt die einzigartigen Bedingungen hervor, die für einige Funktionen erforderlich sind. #### Zoom unterstützt Antwortzuordnung durch sowohl SAML als auch OIDC Zoom kann die Antwortzuordnung entweder über SAML oder OIDC Konfigurieren. SAML-Identitätsinformationen werden in XML-formatierten Assertions ausgetauscht, während OIDC-Identitätsinformationen über JSON Web Key-Sets (JWKs) bereitgestellt werden. In beiden Fällen kann Zoom die vom Identitätsanbieter empfangenen Attribute oder Claims verwenden, um Benutzerprofilinformationen, Lizenzierung, Gruppen und andere unterstützte Konto-Einstellungen zuzuordnen. #### Grundlagen: Attribute und Werte Die meisten Identitätsanbieter übermitteln grundlegende Profilinformationen mithilfe einfacher Attributnamen und -werte. Beispielsweise kann die Abteilung eines Mitarbeiters mit dem Attribut department und einem Wert von Human Resources übermittelt werden. Die folgende Tabelle zeigt die Beziehung zwischen Attributen und Werten beim Übermitteln von Informationen über einen Benutzer. | Attribut | Wert | | --------- | ------------------------------ | | Vorname | John | | Nachname | Smith | | E-Mail | | | Abteilung | Personalabteilung | Durch die korrekte Zuordnung eines Attributs zu einer Antwortzuordnung können Benutzerinformationen automatisch auf ein Benutzerprofil angewendet werden, um den Prozess der Kontoerstellung und -verwaltung zu vereinfachen. ### Basic-Mapping: Profilinformationen Basic Mapping wird verwendet, um Profilinformationen wie Vorname, Nachname, Abteilung, Telefonnummer, Kostenstelle und Standort aus einem Verzeichnis auf das Benutzerprofil anzuwenden. Viele dieser Kategorien sind selbsterklärend und können leicht konfiguriert werden; einige Kategorien erfordern jedoch eine Erklärung, damit sie korrekt konfiguriert werden können, um unvorhergesehene Folgen oder Anwendungsfehler zu verhindern. Der folgende Abschnitt hebt einzigartige Zuordnungsoptionen und Konfigurationseinstellungen für Basic Mapping hervor. Siehe unseren [Basic-Mapping-Artikel](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) für eine vollständige Liste der unterstützten Attribute. #### Der standardmäßige Lizenztyp gilt nur für *ganz neue Benutzer* Die Option für den standardmäßigen Lizenztyp wendet die festgelegte Lizenz auf alle *ganz neu* Benutzer, die im Konto durch Erst-Authentifizierung bereitgestellt werden. Dies gilt nicht für Benutzer, die sich ein zweites Mal authentifizieren, Benutzer, die aus einem vorherigen Konto in das Konto übernommen wurden, Benutzer, die über SCIM bereitgestellt werden, oder Benutzer, die manuell eingeladen wurden. Für Informationen zu *Aktualisierung* Benutzerlizenzen mit Authentifizierung, siehe die Lizenzkonfiguration unter [Erweiterte Zuordnung](#advanced-mapping-licenses-add-ons-and-access). #### Ein standardmäßig festgelegter Lizenztyp von *Keine* wird neuen Benutzern nicht zulassen, sich zu authentifizieren, es sei denn, das erweiterte Mapping ist so konfiguriert, dass das Zuweisen einer Lizenz erfolgt Zoom-Benutzer müssen einen zugewiesenen Lizenztyp haben (Nicht zugewiesen ohne Zoom Meetings Basic, Zoom Workplace usw.), um sich beim Zoom-Dienst anzumelden. Wenn ein standardmäßig festgelegter Lizenztyp von None ausgewählt ist, können sich neue Benutzer nicht anmelden oder ein neues Konto erstellen, es sei denn, sie erhalten eine Lizenz über [Erweiterte Zuordnung](#advanced-mapping-licenses-add-ons-and-access). #### Die meisten grundlegenden Zuordnungen werden bei der Anmeldung erneut angewendet, sofern nicht anders angegeben Die meisten grundlegenden Zuordnungen werden standardmäßig jedes Mal aktualisiert, wenn sich ein Benutzer anmeldet, *außer* *für* Vorname, Nachname, Anzeigename und Telefonnummer. Diese vier Zuordnungen gelten standardmäßig nur beim ersten Mal, wenn sich ein Benutzer authentifiziert, und werden nicht erneut angewendet, selbst wenn sie von einem Benutzer oder Administrator aktualisiert werden. Zoom-Administratoren können dieses Verhalten durch Ändern der Option für **Bei jeder SSO-Anmeldung aktualisieren** auf der Seite für die Antwortzuordnung.

Beispiel für die Option „Bei jeder SSO-Anmeldung aktualisieren“.

#### Telefonnummern-Zuordnungen sollten eine Landesvorwahl und Ortsvorwahl enthalten, wenn sie außerhalb der Vereinigten Staaten liegen Telefonnummern, die über Assertions zugeordnet werden, sollten nach Möglichkeit die Landesvorwahl und Ortsvorwahl des Benutzers enthalten. Zoom nimmt standardmäßig eine Landesvorwahl von +1 an, wenn keine definiert ist. Konten, die keine Ländercodes innerhalb ihres Verzeichnisses beibehalten, können ihre Assertions in ihrem Identitätsanbieter bearbeiten, um diese bei Bedarf automatisch einzuschließen. #### Jeder Benutzer kann seinem Profil bis zu drei Telefonnummern und eine Faxnummer zugeordnet haben Zoom-Administratoren können für jeden Benutzer bis zu drei separate Telefonnummern und eine Faxnummer-Zuordnung zum Konfigurieren festlegen. Jede Telefonnummer muss eindeutig sein und darf den Wert eines anderen Feldes nicht duplizieren.

Beispiel für Telefonnummernoptionen für jeden Benutzer.

#### Profilbilder müssen entweder von einer öffentlich zugänglichen URL zugeordnet oder mit Base64 kodiert werden Konten, die Profilbilder aus ihrem Verzeichnis zuordnen möchten, müssen die Bilder entweder über eine öffentlich zugängliche URL zuordnen oder das Bild beim Assertieren in Base64 kodieren. ### Eindeutige Mitarbeiter-ID **Die Mitarbeiter-Unique-ID ändert die primäre Kennung, die Zoom zur Identifizierung von Benutzern verwendet, und hilft, doppelte Benutzerkonten nach dem Ändern der E-Mail zu verhindern.** Die *Eindeutige Mitarbeiter-ID* ist eine Funktion, die Zoom anbietet, um bei der Identitätsverwaltung zu helfen. standardmäßig ist die primäre Identifikation für einen Zoom-Benutzer ihre **E-Mail** **Adresse**. Dies bedeutet, dass, wenn der Anmeldetyp der geschäftlichen E-Mail-Adresse ist ****, dann wird Zoom diesen Benutzer immer anhand dieser E-Mail-Adresse identifizieren. Diese Kennung ermöglicht es Integrationen wie SSO oder den OAuth-Konten von Facebook und Google, den Benutzer demselben Zoom-Konto zuzuordnen. Allerdings kann dieser Identifizierungsprozess problematisch sein, wenn sich der Name oder die E-Mail eines Benutzers ändert. Zum Beispiel, wenn **** hat eine E-Mail-Änderung zu ****, Zoom kann nicht sicher feststellen, dass es sich um dieselbe Person handelt (weil die grundlegende Kennung unterschiedlich ist), daher erstellt Zoom beim ersten Mal ein neues Konto **** sich anmeldet. Um dieses Problem zu vereinfachen, bietet Zoom die Funktion Unique Mitarbeiter-ID an, die die primäre Kennung eines Benutzers von seiner E-Mail-Adresse auf eine festgelegte eindeutige ID Ändern kann. *Dies bewirkt kein Ändern des Zoom-Benutzernamens eines Benutzers*, sondern bietet stattdessen ein alternatives identifizierendes Attribut. Diese Ändern ermöglicht Zoom, die E-Mail-Adresse eines Benutzers innerhalb von Zoom dynamisch zu aktualisieren, wenn: * eine *neue* E-Mail-Adresse wird von einer bekannten Unique Mitarbeiter-ID begleitet; und * Die E-Mail-Domäne des betroffenen Benutzers ist in Zoom als zugehörige Domäne hinterlegt Zum Beispiel, wenn **** sich authentifiziert und für das Attribut für die eindeutige Mitarbeiter-ID einen Wert von 12345 (seine Mitarbeiternummer) übermittelt, identifiziert Zoom den Benutzer im Konto nun anhand des übermittelten Werts. Wenn John sich erneut mit der E-Mail **** während weiterhin die eindeutige Mitarbeiter-ID von 12345 übermittelt wird, erkennt Zoom, dass nun **** und aktualisiert die E-Mail des Benutzers im Konto dynamisch, wenn die Domäne zugehörig ist. Identitätsadministratoren sollten *sicher* sein, dass sich keine zwei Benutzer denselben Wert der eindeutigen Mitarbeiter-ID teilen, bevor für diese Kategorie eine Zuordnung eingerichtet wird. Wenn sich ein anderer Benutzer authentifiziert und denselben Wert übermittelt, wird die E-Mail erneut auf den neuen Benutzer aktualisiert und kann erhebliche Störungen bei den Benutzerdiensten und dem Benutzererlebnis verursachen. **Die Funktion für die eindeutige Mitarbeiter-ID erfordert zugehörige Domänen zum Ändern der E-Mail eines Benutzers** Die Funktion für die eindeutige Mitarbeiter-ID kann die E-Mail-Adresse eines Benutzers nicht aktualisieren, es sei denn, die E-Mail-Domäne ist offiziell mit Ihrem Kontoprofil verknüpft. Verweisen Sie auf unseren Support-Artikel zu [zugehörige Domänen](https://support.zoom.us/hc/en-us/articles/203395207) für weitere Informationen. **Administratoren und Inhaber können ihre E-Mail nicht über die eindeutige Mitarbeiter-ID aktualisieren** E-Mails von Administratoren und Inhabern in Zoom können nicht über die Funktion „Eindeutige Mitarbeiter-ID“ aktualisiert werden. Dies ist als Sicherheitsmaßnahme gedacht, um unbefugten Access zu verhindern. Administratoren und Inhaber müssen ihre E-Mail über ihre Profilseite Ändern. **E-Mails von Benutzern können über die eindeutige Mitarbeiter-ID nur einmal pro Tag aktualisiert werden** E-Mails von Benutzern können über die Funktion „Eindeutige Mitarbeiter-ID“ nur einmal innerhalb von 24 Stunden aktualisiert werden. Ein Benutzer muss nach der vorherigen Aktualisierung einen vollen Kalendertag warten, bevor er seine E-Mail erneut über SSO aktualisiert.

Diagramm eines Beispielflusses zur Aktualisierung von Benutzer-E-Mails.

**Durch das Festlegen des Attributs auf \ wird die bestätigte NameID des Benutzers verwendet** Zuordnung des Attributs „Eindeutige Mitarbeiter-ID“ zu **\** verwendet automatisch den bestätigten NameID-Wert des Benutzers als seine eindeutige Kennung. Dies kann ein hilfreiches Werkzeug sein, wenn Ihr Identitätsanbieter eine andere NameID als die E-Mail eines Benutzers bestätigt, etwa einen Benutzerprinzipalnamen (UPN) oder einen ähnlichen Wert, der sich nicht Ändern. Verwenden Sie diesen Wert nicht, wenn die NameIDs der Benutzer mit ihrer E-Mail übereinstimmen.

Beispiel für die <NameID>-Administrator-Einstellung.

### Erweiterte Zuordnung: Lizenz und Erweiterungen Der Abschnitt zur erweiterten Informationszuordnung kann Benutzern dynamisch Lizenzen (einschließlich Zoom Phone), Erweiterungen (Hinzufügen) und Benutzer-Access-Gruppen zuweisen, wenn sie sich authentifizieren. Im Gegensatz zur Basic-Zuordnung enthält die erweiterte Zuordnung viele Nuancen, die je nach Komplexität Ihrer Umgebung bei der Konfiguration sorgfältige Aufmerksamkeit erfordern können. In diesem Abschnitt werden die Nuancen für die Konfiguration der erweiterten Antwortzuordnung hervorgehoben. Siehe unseren [Artikel zur erweiterten Zuordnung](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) für eine vollständige Liste der unterstützten Attribute. #### Erweiterte Zuordnung wird jedes Mal angewendet, wenn sich ein Benutzer authentifiziert Im Gegensatz zur Basic-Zuordnung, die für einige Kategorien optionale Aktualisierungen hat, werden Konfigurationen der erweiterten Zuordnung jedes Mal angewendet, wenn sich ein Benutzer authentifiziert, entsprechend der Top-down-Reihenfolge der Anwendung. Zum Beispiel: Wenn ein Benutzer eine Basic-Lizenz hat und sich dann über SSO authentifiziert und dabei ein Attribut sowie einen Wert übergibt, der der Vergabe einer vollständigen Lizenz zugeordnet ist, wird dem Benutzer sofort die vollständige Lizenz gewährt. Wenn das Profil des Benutzers dann im Identitätsanbieter geändert wird, um ihn wieder auf eine Basic-Lizenz umzustellen, wird ihm die Basic-Lizenz erneut zugewiesen, sobald er sich innerhalb von Zoom erneut authentifiziert. #### Erweiterte Zuordnung erlaubt mehrere Attribute und Werte pro Kategorie Im Gegensatz zur Basic-Zuordnung, die nur ein Attribut pro Kategorie erlaubt, kann die erweiterte Zuordnung mehrere Attribute und Werte für jede Kategorie unterstützen. Dies ermöglicht eine erhebliche Flexibilität bei der Verwaltung der Benutzerlizenzierung und des Access über Sicherheitsgruppen innerhalb Ihres Identitätsanbieters, wie in der folgenden Konfiguration zu sehen ist.

Beispiel für erweiterte Attributzuordnung.

{% hint style="success" %} **Zoom-Tipp** Attribute können je nach Identitätsanbieter variieren, insbesondere bei Sicherheitsgruppen. Bestätigen Sie dies mit Ihrem Identitätsanbieter oder über [Antwortprotokolle](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) wie Attribute deklariert werden. {% endhint %} #### Die erweiterte Zuordnung wendet Lizenzen von oben nach unten an, wenn mehrere Attribute deklariert werden Wenn ein Benutzer mehrere Attribute oder Werte übergibt, die für die erweiterte Zuordnung konfiguriert sind, ordnet Zoom die Lizenzen von oben nach unten zu. Siehe das folgende Beispiel:

Beispiel für die Auswahl des Lizenztyps in Administrator-Einstellungen.

Gemäß der obigen Konfiguration, wenn ein Benutzer ein Attribut für beide übergeben würde **global\_users** und **marketing**, weil **marketing** in der Konfiguration am höchsten ist, wird dieses Attribut auf den Benutzer angewendet, und die übrigen anwendbaren Attribute werden ignoriert. Alternativ, wenn die Konfiguration mit **global\_users** als die höchste, wie im folgenden Screenshot zu sehen, wenn die Behauptung eines Benutzers enthielt **global\_users**, **marketing**, **menschlich** **Ressourcen**, und **IT**, weil **global\_users** die höchste Priorität hat, wird nur eine Basic-Lizenz zugewiesen.

Beispiel für die Anpassung der Prioritätsreihenfolge

Zoom-Administratoren können die Reihenfolge der Anwendung beim Bearbeiten der Zuordnungswerte mithilfe der ↑↓ Pfeile im Editor anpassen. {% hint style="success" %} **Zoom-Empfehlung** Konfigurieren Sie die erweiterten Konfigurationen vom spezifischsten bis zum allgemeinsten, um die Fehlanwendung der Lizenz zu verhindern. {% endhint %} #### Webinar und Large Meeting-Mappings können einen gemeinsamen Wert haben, um beide Hinzufügen-Erweiterungen anzuwenden Um den Anwendungsvorgang zu vereinfachen, können Zoom-Administratoren dasselbe Attribut und denselben Wert zweimal Konfigurieren, um den Benutzern sowohl Webinar- als auch Large Meeting-Hinzufügen zuzuweisen, wie im folgenden Bild mit dem **global\_users** Wert. Diese Zusatzmodule können bei Bedarf auch unabhängig konfiguriert werden, wie beim **Webinar\_nur** und **großes\_Meeting\_nur** Werte.

Beispiel für Attribute für large_Meeting_only und Webinar_only.

#### Bestimmte Benutzer und Benutzergruppen können von bestimmten Zuordnungen ausgenommen werden Jede Option unter Advanced Mapping kann so konfiguriert werden, dass bestimmte Benutzer und Benutzergruppen vom Zuordnungsverhalten ausgenommen werden. Dies kann nützlich sein, um zu verhindern, dass VIP-Benutzer aufgrund eines möglichen Änderns der Lizenzierung von Dienstunterbrechungen betroffen sind.

Beispiel für Benutzer-Ausnahmen.

#### Zoom unterstützt bis zu fünf benutzerdefinierte Attribute Zoom-Administratoren können bis zu Konfigurieren *fünf* benutzerdefinierte Attribute zum Hinzufügen von Benutzerdaten zu ihrem Zoom-Profil unter dem [erweiterte Benutzerverwaltung](https://zoom.us/account/user#/advanced) Seite. Nachdem die benutzerdefinierten Felder hinzugefügt wurden, können Zoom-Administratoren die Zuordnung auf der Konfigurieren [Antwortzuordnung](https://zoom.us/account/sso/mapping) Seite.

Beispiel für benutzerdefinierte Attribute

#### Die Zuordnung von Benutzern zu einem Unter-Konto wird *nur* eine Meeting-Lizenz anwenden und Hinzufügen von Erweiterungen Die Zuordnung eines Benutzers zu einem Unter-Konto gilt nur für die Meeting-Lizenz des Benutzers und Erweiterungen wie Webinar und Große Meetings für das Unter-Konto. Benutzergruppen, IM-Gruppen, Benutzerrollen usw. gelten nicht und müssen im Unter-Konto konfiguriert werden. Kunden, die mehr Flexibilität für das Response-Mapping mit Unter-Konten benötigen, benötigen eine eindeutige Vanity-URL und eine neue SSO-Konfiguration innerhalb des Unter-Kontos. ### Erweiterte Zuordnung: Benutzer- und Kontakt-Gruppe-Zuweisung Die Zuordnung von Benutzer Gruppe und Kontakt Gruppe ist der eine Bereich der erweiterten Zuordnung, der in zwei unterschiedlichen Modi arbeitet: *Standardzuordnung* und *Mehrfachzuordnung*. * **Standardzuordnung** gilt nur für einen einzelnen Treffer. Ein Administrator kann viele Attribut-und-Wert-Paare Konfigurieren, aber wenn sich ein Benutzer authentifiziert, wird nur der erste übereinstimmende Eintrag wirksam und der Rest wird ignoriert. Das Erreichen eines bestimmten Ergebnisses hängt daher von einer präzisen, exakten Konfiguration ab. Dies ist das standardmäßig Verhalten für alle Konten. * **Mehrfachzuordnung** ist ein optionaler Modus, der für jede Übereinstimmung gilt. Eine einzelne Authentifizierung kann mehrere Attribute und Werte gleichzeitig abgleichen und den Benutzer in einem Durchgang mehreren Gruppen zuweisen. Dadurch eignet es sich gut für Konten mit komplexen Gruppenstrukturen, die Benutzer über eine Vielzahl von Benutzergruppen und Kontaktgruppen hinweg verteilen. Mehrfachzuordnung muss über Zoom-Support aktiviert werden. #### **Die Standardzuordnung weist einen Benutzer der ersten passenden Benutzergruppe oder Kontaktgruppe zu** Bei der standardmäßigen Zuordnung wendet Zoom, wenn die Assertion eines Benutzers mit mehreren konfigurierten Werten innerhalb der Kategorie „Benutzergruppe“ oder „Kontaktgruppe“ übereinstimmt, nur den obersten passenden Eintrag in der Konfiguration an. Die Einträge werden in der Reihenfolge von oben nach unten ausgewertet, und der erste übereinstimmende Eintrag wird angewendet. Alle übrigen Übereinstimmungen innerhalb dieser Kategorie werden ignoriert. Beispielsweise wird in einer Konfiguration mit zwanzig Attribut-Wert-Paaren, die verschiedenen Benutzergruppen zugeordnet sind, ein Benutzer, dessen Assertion mit mehreren dieser Paare übereinstimmt, nur der Gruppe zugeordnet, die dem höchsten passenden Eintrag zugeordnet ist. #### Ein einzelner Wert ermöglicht das Hinzufügen eines Benutzers zu mehreren Gruppen, und die zuerst hinzugefügte Gruppe wird zur Primären Gruppe Zoom-Administratoren können die Zuordnung von Benutzergruppen Konfigurieren, um mit einem Wert einen Benutzer mehreren Gruppen Hinzufügen zu können. Dieses Verhalten gilt sowohl für die Standardzuordnung als auch für die Mehrfachzuordnung. Die zuerst hinzugefügte Benutzergruppe wird als Primäre Gruppe des Benutzers festgelegt und bestimmt standardmäßig die Einstellungen des Benutzers *es sei denn, eine übergeordnete Gruppe hat eine Einstellung gesperrt*. Weitere Informationen zu Benutzergruppen finden Sie in unserem [Support-Artikel](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings). Wenn ein Benutzer im folgenden Bild die Werte für übergeben hat **Führung**, **Personalabteilung**, und **Reguliert**, sie würden nur in die Gruppen für aufgenommen werden **Führung**, weil es der erste Treffer ist und keine weiteren Treffer gelten.

Beispiel für eine Standard Benutzer-Gruppen-Zuordnung.

#### Multi-Mapping ordnet einen Benutzer jeder passenden Benutzer-Gruppe und Kontakt-Gruppe zu, für bis zu 50 Regel-Treffer Wenn Multi-Mapping aktiviert ist, wendet Zoom *jede* passenden Eintrag innerhalb der Kategorien Benutzer-Gruppe und Kontakt-Gruppe anstatt nur den obersten Treffer an. Dasselbe Attribut kann bis zu fünfzig Mal konfiguriert werden, und jeder konfigurierte Wert, der einer Assertion entspricht, ordnet den Benutzer seiner zugehörigen Gruppe zu. Dies bedeutet, dass ein einzelnes Attribut, das mit fünfzig verschiedenen Werten übergeben wird, von denen jeder einer anderen Gruppe zugeordnet ist, einen Benutzer bei einer einzigen Authentifizierung in alle fünfzig Gruppen einordnen kann. Dadurch wird eine Eins-zu-eins-Beziehung zwischen Sicherheitsgruppen des Identitätsanbieters und Zoom-Gruppen ermöglicht, sodass das Hinzufügen eines Benutzers zu einer Sicherheitsgruppe innerhalb des Identitätsanbieters ihm bei seiner Weiter-Authentifizierung die entsprechende Zoom-Gruppe zuweist. Wenn ein Benutzer im folgenden Bild die Werte für übergeben hat **Führung**, **Testen**, **KI**, und **Personalwesen** Wenn Multi-Mapping aktiviert ist, würde der Benutzer allen Benutzergruppen zugewiesen, da Zoom bei aktiviertem Multi-Mapping die ersten 50 Regelübereinstimmungen anwendet.

Beispiel für Multi-Mapping von Benutzergruppen

Die Bezeichnung der Primärgruppe bleibt vom Zuordnungsmodus unberührt. Sowohl beim Standard-Mapping als auch beim Multi-Mapping wird die zuerst übereinstimmende hinzugefügte Gruppe zur Primärgruppe des Benutzers, es sei denn, eine zugrunde liegende Gruppe hat eine gesperrte Einstellung. #### Multi-Mapping vereinfacht die Gruppenzuweisung in großen Enterprise-Umgebungen Multi-Mapping reduziert die erforderliche Konfigurationspräzision, um Benutzer mehreren Benutzergruppen oder Kontaktgruppen zuzuweisen. Beim Standard-Mapping hängt das Platzieren eines Benutzers in mehrere Gruppen von einer exakten Konfiguration von oben nach unten ab, die in einer einzigen Auswertung korrekt aufgelöst wird. Multi-Mapping beseitigt diese Einschränkung, indem alle übereinstimmenden Einträge auf einmal angewendet werden, was Umgebungen unterstützt, in denen Benutzer vielen Gruppen angehören und in denen Konfigurationen pro Attribut und pro Wert andernfalls nur schwer in einem einzigen Durchlauf ausgeführt werden könnten. #### Multi-Mapping erfordert die Aktivierung über Zoom-Support Multi-Mapping wird nicht über die Standard-SSO-Verwaltungsoberfläche aktiviert. Das Aktivieren der Funktion erfordert das Einreichen eines [Supportanfrage](https://support.zoom.com/hc/en/contact?id=contact_us) an Zoom mit der Bitte, Multi-Mapping für das Konto zu aktivieren. Bis der Antrag bearbeitet ist, erfolgt die Zuweisung von Benutzergruppen und Kontaktgruppen nach dem Standardverhalten „erster Treffer“. ### Erweiterte Zuordnung: Automatische Zuordnung #### Auto Mapping dient als Fallback und weist Benutzer einer Benutzer-, Kanal- oder IM-Gruppe zu, die nach ihrem angegebenen Wert benannt ist, wenn keine explizite Regel übereinstimmt Auto Mapping kann verwendet werden, um Benutzer automatisch einer Benutzergruppe, einem Kanal und einer IM-Gruppe zuzuweisen, die nach ihrem angegebenen Wert benannt sind. Im Gegensatz zu anderen Komponenten der erweiterten Zuordnung, die so konfiguriert werden können, dass sie einen Benutzer basierend auf dem Wert einer beliebigen Gruppe zuweisen, weist Auto Mapping einen Benutzer immer anhand des exakten Werts einer Gruppe zu. Wenn die Gruppe zuvor nicht vorhanden war, wird sie automatisch erstellt. Auto Mapping fungiert als Fallback und wird nur angewendet, wenn die Assertion eines Benutzers mit keiner der expliziten Regeln übereinstimmt, die in den oben genannten Abschnitten zur erweiterten Zuordnung konfiguriert sind. Wenn ein Benutzer bereits über eine explizite Regel einer Gruppe zugewiesen ist – zum Beispiel, wenn er aufgrund der Sicherheitsgruppenmitgliedschaft des Identitätsanbieters einer Benutzergruppe zugeordnet wurde – hat diese explizite Zuweisung Vorrang und die entsprechende Auto-Mapping-Regel wird ignoriert. Im gleichen Beispiel würde eine automatisch aus dem Abteilungswert des Benutzers zugeordnete Benutzergruppe nicht angewendet, da die explizite Benutzergruppenregel bereits übereingestimmt hat.

Beispiel für eine Auto-Mapping-Konfiguration.

Wenn Auto Mapping beispielsweise so eingestellt ist, dass ein Benutzer anhand seiner Abteilung den Gruppen zugeordnet wird, und der Benutzer keiner expliziten Regel für diese Kategorie entspricht, dann werden Benutzer, falls ihr Abteilungswert für die Benutzergruppe, den Kanal oder die IM-Gruppe noch nicht definiert ist, automatisch einer Gruppe zugewiesen, die ihrem Abteilungsnamen entspricht, wie in der folgenden Tabelle gezeigt: | Attribut | Wert | Existiert die Zoom-Gruppe bereits? | Ergebnis | | --------- | ----------------- | ---------------------------------- | ----------------------------------------------------------------------- | | Abteilung | Personalabteilung | Ja | Benutzer der Gruppe Personalabteilung hinzugefügt | | Abteilung | Marketing | Ja | Benutzer der Marketing-Gruppe hinzugefügt | | Abteilung | Vertrieb | Nein | Vertriebsgruppe wird erstellt, Benutzer der Vertriebsgruppe hinzugefügt | ## Fehlerbehebung bei SSO #### Response-Logs können zur Fehlerbehebung gespeichert werden Zoom kann Response-Logs von Authentifizierungsversuchen sieben Tage nach einer Authentifizierung speichern. Diese Response-Logs können neben Konfigurationen zur Response-Zuordnung ein unschätzbares Hilfsmittel zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Lesen Sie den Abschnitt über [Fehlerbehebung bei Fehlern mithilfe von Response-Logs](#using-saml-response-logs-to-troubleshoot) für weitere Informationen. {% hint style="success" %} **Zoom-Empfehlung** Aktivieren Sie das Speichern von Response-Logs, um die Fehlerbehebung zu erleichtern. {% endhint %} #### Response-Logs zur Fehlerbehebung verwenden Gespeicherte Response-Logs können neben Konfigurationen zur Response-Zuordnung ein unschätzbares Hilfsmittel zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Wenn Ihre Zoom-SSO-Konfiguration so eingestellt ist, dass Response-Logs gespeichert werden, können sie über die [Response-Log](https://zoom.us/account/sso/saml_logs) Registerkarte, die auf der SSO-Konfigurationsseite in den erweiterten Einstellungen verfügbar ist. Um Response-Logs anzuzeigen, klicken Sie auf **Details anzeigen** neben einem Authentifizierungsversuch. #### Die meisten Authentifizierungen werden in den Response-Logs angezeigt Die meisten fehlgeschlagenen oder erfolglosen Authentifizierungsversuche werden auf der Response-Logs-Seite angezeigt. Wenn ein Authentifizierungsversuch nicht angezeigt wird, hat Zoom höchstwahrscheinlich keine Assertion von Ihrem Identitätsanbieter erhalten oder das Speichern von Response-Logs ist deaktiviert. #### Response-Logs können Ihnen sagen, ob Ihre Konfiguration falsch ist oder Ihr Zertifikat veraltet ist Wenn das Speichern von Response-Logs aktiviert ist, werden die Informationen des Identitätsanbieters an Zoom übermittelt, um die Identitäten der jeweiligen Partei zu authentifizieren. Wenn eine übermittelte Einstellung oder Zeichenfolge von Informationen, wie das X509-Zertifikat oder die Aussteller-ID, von Zooms aktueller Konfiguration abweicht, wird eine Fehlermeldung angezeigt, die darauf hinweist, dass die Informationen „nicht mit den aktuellen SSO-Einstellungen übereinstimmen“. Ein Zoom-Administrator kann die SSO-Konfiguration so aktualisieren, dass sie diesen übermittelten Werten entspricht, wenn diese korrekt sind, um den Fehler zu beheben.

Beispiel für Warnungen bei fehlerhafter Konfiguration.

#### Response-Logs zeigen Ihnen, welche Werte und Attribute übermittelt werden Das Überprüfen von Response-Logs kann bei der Behebung von Konfigurationen zur Response-Zuordnung helfen, indem verifiziert wird, welche Attribute und Werte Benutzer beim Authentifizieren übermitteln. Diese können mit der Konfiguration verglichen werden, um sicherzustellen, dass die Attribute und Werte übereinstimmen.

Beispiel für vom Identitätsanbieter-Dienst übermittelte Informationen.

Wenn Attribute oder Werte fehlen, werden die Informationen vom Identitätsanbieter-Dienst nicht übermittelt. Benutzern, die von diesem Problem betroffen sind, wird empfohlen, sich für weitere Unterstützung an den Support ihres Identitätsanbieters zu wenden. #### Response-Logs enthalten einen Fehlercode und eine kurze Erklärung, wenn der Vorgang erfolglos ist Wenn sich ein Benutzer nicht authentifizieren kann oder eine Fehlermeldung erhält, enthalten die Response-Logs einen Fehlercode und eine kurze Erklärung des Fehlers.

Beispiel für Fehlercode und Erklärung.

Die meisten Probleme können mit diesen Fehlermeldungen identifiziert und behoben werden. Wenn Sie den Fehler nicht beheben können, wenden Sie sich für weitere Unterstützung an den Zoom-Support. #### Web-Tracking-ID-Fehler Wenn die SSO-Authentifizierung eines Benutzers fehlschlägt, erhält er einen WEB-Tracking-ID-Fehlercode. Diese Codes sind keine Fehlermeldung zu einem bestimmten Fehler, sondern stattdessen eine eindeutige Protokoll-ID, die in Response Mapping zur Identifizierung von Authentifizierungsproblemen überprüft werden kann.

Beispiel für einen für Benutzer sichtbaren Fehler mit einem WEB-Tracking-ID-Fehlercode.

Um den Fehler zu identifizieren, navigieren Sie bei aktiviertem Response-Logging zur [Response-Log](https://zoom.us/account/sso/saml_logs) Registerkarte, die auf der SSO-Konfigurationsseite in den erweiterten Einstellungen verfügbar ist. Geben Sie dort die WEB-Tracking-ID in das Feld „Tracking-ID“ ein und suchen Sie, um das Response-Log anzuzeigen

Beispiel für die Suche im Response-Log mit dem zuvor genannten WEB-Tracking-ID-Fehlercode.

Die Response-Logs sollten die empfangene Assertion sowie einen Fehlercode und eine Meldung am Ende der Antwort anzeigen, die für weitere Fehlerbehebung verwendet werden können. ### SCIM-Fehler #### Benutzer existiert nicht oder gehört nicht zu diesem Konto Dieser Fehler tritt auf, wenn die E-Mail-Adresse eines Zielbenutzers aufgrund eines bereits vorhandenen Kontos nicht bereitgestellt werden kann. Zoom-Administratoren wird empfohlen, sich direkt an den Benutzer zu wenden und den Benutzer manuell zum Konto einzuladen.

Beispiel für einen Bereitstellungsfehler.

#### Sie können keine kostenpflichtigen Benutzer hinzufügen Dieser Fehler tritt auf, wenn SCIM versucht, einen Benutzer bereitzustellen, obwohl im Konto nicht genügend Lizenzen vorhanden sind. Um den Fehler zu beheben, muss der Benutzer als Basic-Benutzer bereitgestellt werden, oder eine Lizenz muss für die Bereitstellung verfügbar gemacht werden. ### SCIM-Protokolle zur Fehlerbehebung bei der Benutzerbereitstellung verwenden Zoom stellt die letzten 100 API-Anforderungsprotokolle in den [Zoom Marketplace](https://marketplace.zoom.us/). Ein Zoom-Administrator kann diese Protokolle verwenden, um zu bestätigen, welche Informationen über Bereitstellungs-APIs gesendet und empfangen werden. Um auf die Protokolle zuzugreifen, melden Sie sich beim Zoom Marketplace als Zoom-Administrator an und klicken Sie **Verwalten**. Auf der folgenden Seite auswählen **Anrufprotokolle** unter **Persönliche App-Verwaltung**. Klicken Sie dort auf einen Eintrag, um die API-Protokolle zu erweitern und den Inhalt zu überprüfen. Das folgende Bild zeigt ein Beispiel für eine SCIM-Benutzerbereitstellungsanforderung, wobei die Identitäts- und Lizenzattribute des Benutzers zu Referenzzwecken hervorgehoben sind.

Beispiel für eine SCIM-Benutzerbereitstellungsanforderung.

Wie bei der Zuordnung von Antworten kann Zoom nur Informationen anwenden, die vom Identitätsanbieter in der Bereitstellungsanforderung übermittelt werden. Verwenden Sie diese Protokolle, um zu bestätigen, dass Benutzeridentitäts- und Lizenzattribute vom Identitätsanbieter übermittelt werden. Wenn erwartete Informationen in diesen Assertions fehlen, nehmen Sie Kontakt mit Ihrem Identitätsanbieter auf, um Support zu erhalten. ## Datenflüsse und Authentifizierung #### SAML-Authentifizierung Das folgende Diagramm beschreibt den SAML-Authentifizierungsablauf eines Benutzers beim Starten einer Single Sign-On-Sitzung mit Zoom.

Diagramm eines Beispiel-SAML-Authentifizierungsablaufs.

#### SSO-Web-Anmeldetoken Nachdem sich ein Benutzer authentifiziert hat, wird die Sitzung des Benutzers in seinem Browser aufgebaut und hat standardmäßig eine Laufzeit von zwei Stunden. Wenn der Benutzer seine Zoom-Webseite weiterhin aktiv nutzt, wird die Sitzung aktualisiert; wenn der Benutzer seine Webseite jedoch zwei Stunden lang nicht nutzt, läuft das Token ab und der Benutzer muss sich erneut authentifizieren. Zoom-Administratoren können diese aktive Sitzungsdauer auf der Sicherheitsseite konfigurieren [Sicherheit](https://zoom.us/account/setting/security) Seite unter Benutzer müssen sich nach einer Inaktivitätsphase erneut anmelden und **Zeitraum für Inaktivität im Web festlegen (Minuten)**. #### Client-Anmeldetoken Wenn ein Benutzer versucht, sich innerhalb eines Clients per SSO zu authentifizieren, öffnet das Gerät des Benutzers einen Webbrowser und leitet ihn zur Anmeldeseite des Identitätsanbieters weiter. Nachdem sich ein Benutzer authentifiziert hat, erhält der Browser des Benutzers ein Zoom-Client-Start-Token. Sobald ein Benutzer auf die Schaltfläche „öffnen“ oder „starten“ klickt, verwendet der Browser das URL-Schema zusammen mit dem Start-Token, um die Zoom-Anwendung zu öffnen. Die Zoom-Anwendung verwendet das Start-Token, um das Access-Token und das Refresh-Token vom Zoom-Server abzurufen. Die Anwendung verwendet das Access-Token jeweils für zwei Stunden, und nach Ablauf verwendet sie das Refresh-Token, um einen neuen Satz von Tokens zu erhalten, der in der lokalen Datenbank der Anwendung gespeichert wird. Dieser Aktualisierungsprozess ist standardmäßig unbegrenzt und kann fortlaufend zwischen Tokens wechseln, bis sich ein Benutzer abmeldet oder die Tokens ablaufen. Zoom-Administratoren können die Sitzungsdauer auf der [SSO-Einstellungen](https://zoom.us/account/sso) Seite unter [*automatische Abmeldung erzwingen*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time). --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://library.zoom.com/technical-library/de/administrator-bereich/account-and-endpoint-management/sso-field-guide.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.