SSO/Vorbereitung

Vorbereitung zur SSO-Anbindung an das concludis-ATS

Wenn Sie sich für die Anmeldung am concludis-Bewerbermanagementsystem (ATS) per Single Sign-On (SSO) entschieden haben, empfehlen wir, vorab einige zentrale Fragen innerhalb Ihres Unternehmens zu klären. Eine saubere Vorbereitung erleichtert die technische Einrichtung erheblich und sorgt für einen reibungslosen Ablauf beim Login.

Bitte stimmen Sie sich hierzu idealerweise mit Ihrer IT-Abteilung oder einem technischen Ansprechpartner ab.

Folgende Punkte sollten vorab geklärt werden:

1. Gibt es bei Ihnen eine zentrale Anmeldung (Identity Provider)?

   Falls ja, wo ist diese angebunden bzw. erreichbar?

2. Ab wann soll SSO aktiv genutzt werden?

   Gibt es einen konkreten Starttermin für die Umstellung?

3. Welche Nutzerdaten sollen über SSO an concludis übermittelt werden?

   Zum Beispiel: Abteilung, Telefonnummer, Standort o. Ä.

4. Welche Benutzergruppen sollen sich über SSO anmelden dürfen?

   Nur ausgewählte Mitarbeitende (z. B. aus HR), oder alle internen Nutzer?

5. Soll ausschließlich SSO verwendet werden („SSO only“)?

   Oder sollen auch externe Nutzer (z. B. Personalvermittler) Zugriff ohne SSO erhalten können?

6. Austausch der Metadaten (SAML):

   Für die technische Anbindung benötigen wir die Metadaten Ihres Identity Providers.

   Umgekehrt finden Sie unsere Metadaten unter: https://sso.concludis.de/

IdP-Zertifikat bei SSO wechseln

Wenn ihr das SAML-Signaturzertifikat eures Identity Providers (IdP) erneuert, muss Concludis zunächst das neue Zertifikat über eure IdP-Metadaten übernehmen. Erst danach sollte das neue Zertifikat für die Signierung der SSO-Anmeldungen verwendet werden.

Wichtig: Concludis speichert die IdP-Metadaten für etwa zwei Stunden im Cache. Änderungen an den Metadaten werden daher nicht sofort wirksam. Wird das bisherige Zertifikat direkt ersetzt und das neue Zertifikat unmittelbar zur Signierung verwendet, kann es vorübergehend zu Fehlern bei der SSO-Anmeldung kommen.

Empfohlenes Vorgehen

Für einen möglichst unterbrechungsfreien Zertifikatswechsel empfehlen wir, das bisherige und das neue Zertifikat für eine Übergangszeit parallel zu veröffentlichen.

1. Neues Zertifikat veröffentlichen

Hinterlegt das neue Zertifikat zusätzlich zum bisherigen Zertifikat in euren veröffentlichten IdP-Metadaten.

Verwendet für die Signierung der SSO-Anmeldungen zunächst weiterhin das bisherige Zertifikat.

2. Aktualisierung abwarten

Wartet nach der Veröffentlichung des neuen Zertifikats mindestens zwei Stunden.

In dieser Zeit kann Concludis die aktualisierten IdP-Metadaten übernehmen.

3. Signierung auf das neue Zertifikat umstellen

Stellt anschließend die Signierung der SSO-Anmeldungen auf das neue Zertifikat um.

Prüft danach die Anmeldung mit einem bestehenden Concludis-Benutzerkonto.

4. Altes Zertifikat entfernen

Lasst das bisherige Zertifikat nach der Umstellung noch für eine Übergangszeit von etwa einer Woche zusätzlich hinterlegt.

Wenn die SSO-Anmeldung in diesem Zeitraum zuverlässig funktioniert, könnt ihr das alte Zertifikat aus eurem IdP und den veröffentlichten IdP-Metadaten entfernen.

Plant den Zertifikatswechsel rechtzeitig vor Ablauf des bisherigen Zertifikats.

Wenn keine parallele Veröffentlichung möglich ist

Unterstützt euer IdP die gleichzeitige Veröffentlichung mehrerer Zertifikate nicht, sollte der Zertifikatswechsel außerhalb eurer üblichen Nutzungszeiten durchgeführt werden, beispielsweise am Wochenende.

Nach dem Austausch kann die SSO-Anmeldung für bis zu zwei Stunden beeinträchtigt sein, da Concludis die aktualisierten IdP-Metadaten erst nach Ablauf des Cache-Zeitraums übernimmt.

Fehler bei der SSO-Anmeldung nach dem Wechsel

Wenn die SSO-Anmeldung nach dem Zertifikatswechsel fehlschlägt, prüft zunächst:

• Ist das neue Zertifikat in den veröffentlichten IdP-Metadaten enthalten?
• Sind seit der Veröffentlichung der aktualisierten Metadaten mindestens zwei Stunden vergangen?
• Wird das neue Zertifikat für die Signierung der SSO-Anmeldung verwendet?

Besteht der Fehler weiterhin, sendet dem Concludis-Helpdesk folgende Informationen:

• die genaue Fehlermeldung
• den Zeitpunkt eines fehlgeschlagenen Loginversuchs
• die URL eurer IdP-Metadaten

Hinweis

Die beschriebenen Schritte beziehen sich ausschließlich auf das SAML-Signaturzertifikat eures Identity Providers.

Die Concludis-Metadaten-Adresse bleibt bei einem kundenseitigen Zertifikatswechsel unverändert.