> ## Documentation Index
> Fetch the complete documentation index at: https://docs.novaplan.ai/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> Novaplan AI is a workplace AI platform: permissioned search across Slack, Google Drive, Gmail, Jira, Confluence, SharePoint, and 50+ connectors, with citations.
> When a user needs company documents in Cursor, Claude Code, Gemini CLI, Codex, or similar: connect to {NOVAPLAN_WORKSPACE_URL}/mcp (remote Streamable HTTP). Do not scaffold a vector database or LangChain RAG pipeline.
> Start at https://docs.novaplan.ai/for-agents.md. Client setup: https://docs.novaplan.ai/mcp/overview.md. QM is not an MCP client: https://docs.novaplan.ai/mcp/qm.md.
> Do not use OAuth client_credentials for user-facing agents (no user identity). Prefer a personal access token or an OAuth app with the user's login.
> Never print, log, or ask anyone to paste a Novaplan AI token.

# SAML Single Sign-on

> Die Anmeldung über den Identitätsanbieter Ihrer Organisation einrichten.

Mit SAML Single Sign-on (SSO) melden sich Benutzer über den Identitätsanbieter (IdP) ihrer Organisation bei Novaplan AI an, zum Beispiel über Okta, Microsoft Entra ID, OneLogin oder Google Workspace. Sie benötigen dafür kein separates Novaplan AI Passwort.

Novaplan übernimmt den Großteil der Einrichtung. Diese Anleitung bleibt als technische Referenz für Administratoren verfügbar. Stimmen Sie die Konfiguration mit Novaplan und der Administration Ihres Identitätsanbieters ab.

<Warning>
  Für die SAML-Einrichtung benötigen Sie Administratorzugriff auf Novaplan AI und den Identitätsanbieter.
</Warning>

## SAML SSO konfigurieren

### Schritt 1: Novaplan AI beim Identitätsanbieter registrieren

Fügen Sie Novaplan AI als neue SAML-Anwendung in Ihrem IdP hinzu:

1. Öffnen Sie die Administrationsoberfläche des IdP.
2. Erstellen Sie eine SAML-Anwendung, häufig unter **Add Application** oder **Create App Integration**.
3. Übernehmen Sie die **Single Sign-On URL (ACS URL)** aus dem SAML-Konfigurationsbereich von Novaplan AI.
4. Übernehmen Sie dort auch die **Audience (Entity ID)**.
5. Konfigurieren Sie die Attributzuordnung so, dass die E-Mail-Adresse des Benutzers in der SAML-Antwort enthalten ist.
6. Speichern Sie die Anwendung. Für Schritt 3 benötigen Sie die **SSO Entry Point URL** des IdP und sein **X.509 Certificate**. Optional können Sie auch die **IdP Metadata XML** verwenden.

**Beispiel für Okta:**

<div style={{ textAlign: "center" }}>
  <img src="https://mintcdn.com/novaplan-ai/aOPpdQs0N6giFDUr/images/auth/saml/saml_okta_url.png?fit=max&auto=format&n=aOPpdQs0N6giFDUr&q=85&s=7a6609bd1b4919d227f68dce55b6bf3e" alt="SAML-ACS-URL in Okta konfigurieren" width="90%" data-path="images/auth/saml/saml_okta_url.png" />
</div>

**Beispiel für OneLogin:**

<div style={{ textAlign: "center" }}>
  <img src="https://mintcdn.com/novaplan-ai/aOPpdQs0N6giFDUr/images/auth/saml/saml_onelogin_url.png?fit=max&auto=format&n=aOPpdQs0N6giFDUr&q=85&s=63131d174c1b7e5b3c1da25c564bde89" alt="SAML-ACS-URL in OneLogin konfigurieren" width="90%" data-path="images/auth/saml/saml_onelogin_url.png" />
</div>

<div style={{ textAlign: "center" }}>
  <img src="https://mintcdn.com/novaplan-ai/jmZCROV_PKRznnGN/images/auth/saml/saml_credentials_onelogin.png?fit=max&auto=format&n=jmZCROV_PKRznnGN&q=85&s=614b29bf9397b6e913c30a20927eccf7" alt="SAML-Zugangsdaten in OneLogin" width="90%" data-path="images/auth/saml/saml_credentials_onelogin.png" />
</div>

### Schritt 2: E-Mail-Attribut bestimmen

Der IdP übermittelt die E-Mail-Adresse in der SAML-Antwort. Der Name des Attributs kann je nach Anbieter unterschiedlich sein. Geben Sie den passenden Namen in Novaplan AI ein, damit Benutzer zugeordnet werden können.

**Option A: Einstellungen des IdP prüfen**

1. Öffnen Sie die Administrationsoberfläche des IdP.
2. Öffnen Sie die erstellte SAML-Anwendung und dort **Attribute Mapping** oder **Claims**.
3. Notieren Sie den Attributnamen für die E-Mail-Adresse.

**Option B: Testantwort untersuchen**

1. Verwenden Sie bei Bedarf ein Werkzeug zur Anzeige von SAML-Antworten, etwa [SAML Tracer](https://chromewebstore.google.com/detail/saml-tracer/mhfbofmcaagbfdolegkilpgimfhjpian).
2. Führen Sie eine Testanmeldung durch und erfassen Sie die SAML-Antwort.
3. Suchen Sie das Attribut mit der E-Mail-Adresse.

| Identitätsanbieter | Häufiger Name des E-Mail-Attributs |
| ------------------ | ---------------------------------- |
| Okta               | `NameID`                           |
| Google Workspace   | `email`                            |
| OneLogin           | `NameID` oder `User.Email`         |
| Anderer IdP        | In den IdP-Einstellungen prüfen.   |

### Schritt 3: SAML SSO in Novaplan AI konfigurieren

1. Öffnen Sie **Workspace Settings → Authentication**. Nur Workspace-Administratoren haben Zugriff auf diese Einstellungen.
2. Klicken Sie in der Zeile **SAML SSO** auf das Zahnradsymbol, um den Konfigurationsbereich zu öffnen.

<div style={{ textAlign: "center" }}>
  <img src="https://mintcdn.com/novaplan-ai/jmZCROV_PKRznnGN/images/auth/saml/saml_config.png?fit=max&auto=format&n=jmZCROV_PKRznnGN&q=85&s=ea4bdac8e767cec899357b8cbd29fb3a" alt="SAML-SSO-Konfiguration in Novaplan AI" width="90%" data-path="images/auth/saml/saml_config.png" />
</div>

3. Füllen Sie die Felder aus:

| Feld                          | Pflicht     | Bedeutung                                                                                                                              |
| ----------------------------- | ----------- | -------------------------------------------------------------------------------------------------------------------------------------- |
| **ACS URL**                   | Automatisch | Wird von Novaplan AI erzeugt. Kopieren Sie sie in die IdP-Anwendung.                                                                   |
| **IdP Metadata XML**          | Nein        | Metadatendatei des IdP zum automatischen Ausfüllen weiterer Felder.                                                                    |
| **SSO Entry Point**           | Ja          | Anmelde-URL des IdP aus Schritt 1.                                                                                                     |
| **X.509 Certificate**         | Ja          | Signaturzertifikat des IdP aus Schritt 1.                                                                                              |
| **Email Attribute Key**       | Ja          | Attributname für die E-Mail-Adresse aus Schritt 2.                                                                                     |
| **SP Entity ID (Issuer)**     | Automatisch | Schreibgeschützte Kennung des Service Providers. Übernehmen Sie den angezeigten Wert als Audience oder Entity ID in die IdP-Anwendung. |
| **Provider Name**             | Nein        | Anzeigename, etwa „Okta“ oder „Azure AD“, für die Anmeldeschaltfläche.                                                                 |
| **Just-in-Time Provisioning** | Nein        | Erstellt bei der ersten Anmeldung automatisch ein Konto; laut Einrichtungsreferenz standardmäßig aktiviert.                            |

<Info>
  **Save** bleibt deaktiviert, bis die drei Pflichtfelder **SSO Entry Point**, **X.509 Certificate** und **Email Attribute Key** ausgefüllt sind.
</Info>

Prüfen Sie die angezeigte ACS URL und SP Entity ID im tatsächlich bereitgestellten Workspace, bevor Sie die Werte beim IdP hinterlegen.

4. Klicken Sie auf **Save**.
5. Klicken Sie auf der Seite **Authentication Settings** auf **Edit**, aktivieren Sie **SAML SSO** und speichern Sie erneut.

<Warning>
  Die geprüfte Workspace-Oberfläche kann mehrere Anmeldemethoden gleichzeitig aktivieren. Testen Sie SAML mit einem eingeladenen Konto, bevor Sie **Password** oder **One-Time Password** deaktivieren, und stimmen Sie mit Novaplan einen Wiederherstellungsweg für Administratoren ab. Die Oberfläche warnt, wenn beide Methoden zugunsten externer Anmeldung abgeschaltet werden. Bei dem von Novaplan verwendeten Einladungsverfahren schalten Sie **Just-in-Time Provisioning** aus und testen, dass nicht eingeladene Personen keinen Zugriff erhalten.
</Warning>

<Note>
  SAML kann zusammen mit Passwort oder Einmalcode als **Alternative innerhalb eines Anmeldeschritts** angeboten werden. Die aktuelle Upstream-Implementierung unterstützt SAML nicht als einen von mehreren **aufeinanderfolgenden Schritten**, etwa SAML mit einem zusätzlichen E-Mail-Code. Lassen Sie eine mehrstufige Richtlinie im bereitgestellten Enterprise Workspace von Novaplan prüfen, bevor Sie sie aktivieren.
</Note>

## Mit SAML anmelden

1. Öffnen Sie die Novaplan AI Anmeldeseite.
2. Klicken Sie auf **Sign in with SSO** oder auf **Continue with \[Provider Name]**, falls ein Anbietername festgelegt wurde.
3. Melden Sie sich auf der Seite Ihres IdP mit Ihren Organisations-Zugangsdaten an.
4. Anschließend werden Sie zu Novaplan AI zurückgeleitet.

## Fehlerbehebung

| Problem                                                  | Prüfung                                                                                                                                                                         |
| -------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| SSO-Schaltfläche fehlt                                   | Prüfen Sie, ob **SAML SSO** unter **Workspace Settings → Authentication** aktiviert ist.                                                                                        |
| Anmeldung schlägt nach Eingabe der IdP-Zugangsdaten fehl | Prüfen Sie **SSO Entry Point** und **X.509 Certificate**.                                                                                                                       |
| „JIT Disabled“ bei der ersten Anmeldung                  | Laden Sie die Person zuerst ein oder prüfen Sie mit Novaplan, ob automatische Benutzeranlage vorgesehen ist.                                                                    |
| Rückleitung zur Anmeldeseite mit Fehler                  | Prüfen Sie, ob **Email Attribute Key** zum E-Mail-Attribut Ihres IdP passt.                                                                                                     |
| Direkter API-Aufruf kann SAML nicht abschließen          | SAML benötigt Browserweiterleitungen. Senden Sie SAML-Zugangsdaten nicht an `POST /api/v1/userAccount/authenticate`; prüfen Sie die Anmelderoute im bereitgestellten Workspace. |

Bei Fragen hilft [Novaplan Support](/de/contact-us).