SSO-Optionen für Lernplattformen

Wählen Sie SSO danach aus, wie Menschen gehen, nicht nur wie sie sich anmelden

Bei SSO-Entscheidungen dreht sich fast alles um den Login. Vergessen werden die zwei Momente, die tatsächlich Vorfälle verursachen: jemanden mit der richtigen Rolle anzulegen und den Zugriff beim Ausscheiden sauber zu entfernen. Die Anmeldung ist der leichte Teil. Wenn Ihre SSO-Geschichte bei „sie können sich anmelden“ endet, fehlt die Hälfte.

Für Lernplattformen geht es beim Single Sign-on meist um zwei Protokolle für die Anmeldung und eines für Konten. SAML und OIDC beantworten „Wer ist das, und darf die Person sich anmelden?“. SCIM beantwortet „Konto anlegen, aktualisieren und deaktivieren“. Teams wählen das Login-Protokoll sorgfältig und verbinden dann die Bereitstellung von Hand. So behält ein deaktivierter Mitarbeiter drei Monate lang Zugriff auf Kurse.

Die drei Fragen, die entscheiden

• Bereitstellung: Wie wird das Konto angelegt? Just-in-time-Provisioning erzeugt es beim ersten Login. Das ist einfach, liefert aber wenige Details. SCIM synchronisiert Konten und Attribute vorab aus dem Identity Provider, Rollen eingeschlossen. Wenn korrekte Rollen wichtig sind, lohnt sich die Einrichtung von SCIM. (SCIM ist in RFC 7644 definiert)
• Wiederherstellung: Was passiert bei SSO-Ausfall oder wenn jemand feststeckt? Sie brauchen einen Notzugang für Admins, der nicht das ganze Modell untergräbt. Entscheiden Sie das vor dem Launch, nicht während eines Ausfalls.
• Entzug: Wie endet der Zugriff? Diesen Punkt überspringen viele. Wenn jemand geht, sollte sein Zugriff überall automatisch enden. Manuelles Offboarding ist der Grund, warum ehemalige Mitarbeitende noch Schulungsunterlagen lesen, die niemand offen lassen wollte.

Der ehrliche Kompromiss

SAML ist erprobt und Enterprise-IT kennt es gut; zugleich ist es ausführlich und in die Jahre gekommen. OIDC ist klarer, leichter zu integrieren und zunehmend die Standardwahl für neue Arbeit. Keines ist abstrakt betrachtet besser. Richtig ist das Protokoll, das der Identity Provider Ihrer Nutzenden bereits gut beherrscht. SCIM bedeutet mehr Aufwand am Anfang. Trotzdem empfehle ich es für jede Plattform, auf der eine falsche Rolle oder ein fortbestehendes Konto ein echtes Risiko darstellt, also für die meisten.

Zur Identität beim Start von LTI-Tools lesen Sie LTI 1.3 Advantage erklärt. Was all das schützt, zeigt die Checkliste für Schülerdatensicherheit. Schulungen über Teams und Rollen hinweg auszurollen ist genau der Punkt, an dem SSO und Provisioning ihren Wert beweisen. Das ist der Kern der Entwicklung von Unternehmens-Schulungsplattformen.