--- title: "📋 SSO: SAML-Single-Sign-On mit ADFS einrichten" url: "https://support.ftapi.com/de/article/einrichten-des-saml-single-sign-on-mit-adfs" language: "de" last_updated: "2026-05-18T08:59:44.339Z" --- # 📋 SSO: SAML-Single-Sign-On mit ADFS einrichten In dieser Anleitung erfahren Sie Schritt für Schritt, wie Sie das SAML-Single-Sign-On (SSO) für Ihre FTAPI-Instanz mithilfe von Microsoft ADFS (Active Directory Federation Services) konfigurieren. ADFS ist ein von Microsoft als Standardrolle für Windows Server bereitgestellter Service, der eine Web-Anmeldung mit vorhandenen Active Directory-Zugangsdaten ermöglicht. ## Anforderungen Für die ADFS-Anmeldung bei Ihrer FTAPI-Instanz benötigen Sie: - Eine Active Directory-Instanz mit einem E-Mail-Adressattribut für jeden Benutzer. - Einen Server mit Microsoft Server 2016 bis 2025. - Ein SSL-Zertifikat zum Signieren Ihrer ADFS-Anmeldeseite. Informationen zur Installation des AD FS-Rollendienst finden Sie bei Microsoft:  [https://learn.microsoft.com/de-de/windows-server/identity/ad-fs/deployment/install-the-ad-fs-role-service](https://learn.microsoft.com/de-de/windows-server/identity/ad-fs/deployment/install-the-ad-fs-role-service) ## Hinzufügen eines Relying Party Trust 1. Wählen Sie unter `AD FS Management` den Ordner `Vertrauensstellungen der vertrauenden Seite` aus und fügen Sie über das Kontextmenü (Rechtsklick) oder von der Seitenleiste `Aktionen` aus eine neue `vertrauende Seite` hinzu. Der Konfigurationsassistent für einen neuen Trust wird gestartet.  ![](https://cdn-assets.productfruits.com/089a33b3-635a-4b91-a2ad-13046bb1347e) 2. Wählen Sie `Ansprüche unterstützend` aus und klicken Sie auf `Start`.  ![](https://cdn-assets.productfruits.com/092be1ed-d321-4195-9ba0-b51f2d0308de) 3. Sofern der AD FS-Server direkten Internetzugriff hat, wählen Sie die erste Option aus und geben Sie die URL Ihrer FTAPI-Instanz mit dem Zusatz `/saml/metadata` an. Die URL finden Sie auch in der Administration Ihres FTAPI-Servers unter `Single Sign-On SAML 2.0` -> `Relying Party (RP) Metadata URL`.  ![](https://cdn-assets.productfruits.com/b468f19c-8312-4983-970a-e75b96e20c5b) 4. Hat der AD FS-Server keinen direkten Zugang ins Internet, so laden Sie die o.g. Metadaten herunter und geben Sie diese unter Punkt 2 `Daten über die vertrauende Seite aus einer Datei importieren` an. Klicken Sie auf `Weiter`.  ![](https://cdn-assets.productfruits.com/72af965a-cda7-42cb-bcbb-85f5dd45a58a) 5. Geben Sie einen eindeutigen Namen an.  ![](https://cdn-assets.productfruits.com/dff6024a-8105-463f-934e-c274b73a7ba7) 6. Wählen Sie `Bestimmter Gruppe Zugriff gewähren` aus und klicken Sie anschließend auf ``. Im sich öffnenden Fenster können nun dedizierte AD Gruppen ausgewählt werden, deren Mitglieder Zugriff auf SSO via SAML haben sollen.  ![](https://cdn-assets.productfruits.com/a2a24211-444d-4bb0-bb32-e9f26fb77ced)  Klicken Sie 2x auf `Weiter` bzw. `Schließen`, um den Assistenten zu beenden und die Konfiguration zu speichern.  ![](https://cdn-assets.productfruits.com/09d76ca9-38fe-4785-bb01-a38c0d514d8e) ## Anspruchsausstellungs-Richtlinie Die `Anspruchsausstellungs-Richtlinie` öffnet sich nach dem Schließen automatisch, alternativ rechtsklicken Sie die neu erstellte Seite und wählen Sie `Anspruchsausstellungsrichtlinie bearbeiten...` aus.  ![](https://cdn-assets.productfruits.com/3611d7fb-2f72-44cb-884b-9bea812b5b55) 1. Klicken Sie auf `Regel hinzufügen` und Wählen Sie `LDAP-Attribute als Ansprüche senden` aus.  ![](https://cdn-assets.productfruits.com/ff94b287-f31d-429f-a67b-cc0b3015fc55)  Der Anspruchsregelname kann frei vergeben werden, z.B. `FTAPI - SSO`. Als Attributspeicher muss `Active Directory` gewählt werden.  Das Mapping sollte wie folgt aussehen:  ![](https://cdn-assets.productfruits.com/f7e37fe9-bdce-4a4a-9c26-48b7eeabbd7f)  Auf Wunsch können weitere LDAP-Attribute konfiguriert werden (der FTAPI-Server unterstützt weiterhin Vorname, Nachname, Firma, Telefonnummer und Position). ## Gruppenmapping Wenn das Gruppenmapping zur Anwendung kommen soll, konfigurieren Sie bitte für die FTAPI-Gruppen entsprechende AD-Gruppen. Wählen Sie unter `Regel hinzufügen...` den Punkt `Gruppenmitgliedschaft als Anspruch senden` aus.  ![](https://cdn-assets.productfruits.com/d176dbc9-011a-4d42-a73a-c579186271d8) - **Anspruchsregelname:** Freitext, sollte der Gruppe entsprechen - **Gruppe des Benutzers:** Die lokale AD-Gruppe - **Typ des ausgehenden Anspruchs:** Rolle oder Gruppe, abhängig von der Konfiguration auf dem FTAPI-Server - **Wert des ausgehenden Anspruchs:** Name der FTAPI-Gruppe ![](https://cdn-assets.productfruits.com/a49c6e0b-ee66-4aab-9287-46c8ce98d629)  Die vordefinierten FTAPI-Gruppen `Administrator`, `Mitarbeiter` und `Gast` haben die internen Bezeichnungen `GROUP_ADMIN`, `GROUP_EMPLOYEE` und `GROUP_GUEST`. Für eigene FTAPI-Gruppen tragen Sie diese unter `Wert des ausgehenden Anspruchs` ein.  Hinterlegen Sie alle benötigten Gruppen und klicken Sie auf `Anwenden`. ## Anpassung der Token-Lifetime Die Gültigkeitsdauer des SAML-Authentifizierungstokens wird über die `Lebensdauer für Web-SSO` gesteuert, der Standardwert ist `480 Minuten`. Der Wert kann maximal auf 9999 Minuten (ca. eine Woche) erhöht werden. ## Nachrichtensignierung aktivieren (verschlüsselte Assertion) Damit das Single-Sign-On-Verfahren via SAML auch weiterhin für die FTAPI Plattform funktioniert, muss die verschlüsselte Assertion aktiv sein. ## **Ähnliche Artikel** > #### [**❓ SSO: Token-Lifetime am ADFS-Server via PowerShell und Konsole anpassen**](https://support.ftapi.com/de/article/sso-token-lifetime-am-adfs-server-via-powershell-und-konsole-anpassen) > #### [**❓ SAML IDP Konfiguration bei verschlüsselten Assertions**](https://support.ftapi.com/de/article/saml-idp-konfiguration-bei-verschlusselten-assertionen)