SSO auf OrganisationsebeneÖffentliche Vorschau

Wenn Ihr Unternehmen mehrere Stripe-Konten nutzt und zur Nutzerauthentifizierung die einmalige Anmeldung (SSO) verwendet, können Sie SSO mit Stripe Organizations zentral konfigurieren. Konten, für die SSO bereits konfiguriert ist, können Sie zu einer Organisation hinzufügen oder SSO auch erst für alle Ihre Konten konfigurieren, nachdem Sie eine Organisation erstellt haben.

Konten hinzufügen, für die Sie SSO bei einer Organisation konfiguriert haben

Wenn Sie SSO bereits für mehrere Konten konfiguriert haben, müssen Ihre Konten dieselben SSO-Einstellungen haben, bevor Sie diese zu einer Organisation hinzufügen können. Dazu müssen Sie separate Identitätsanbieter-Apps (IdP) und SSO-Integrationen für jedes Stripe-Konto in einer einzigen Integration pro IdP konsolidieren. Erfahren Sie, wie Sie SSO-Integrationen für Ihre bestehenden Stripe-Konten konsolidieren.

Wenn Sie Ihre Organisation erstellen, konsolidiert Stripe die SSO-Einstellungen Ihrer Konten in den Einstellungen der Nutzerauthentifizierung Ihrer Organisation. Dadurch ändern sich die SSO-Einstellungen für jedes einzelne Konto in schreibgeschützt. Nutzer/innen können sich weiterhin bei ihren Konten anmelden, ohne SSO zu verwenden. Sie können jedoch nur bestimmte Einstellungen bearbeiten, wie z. B. die für verifizierte Domains und die Durchsetzung auf Organisationsebene.

Nachdem Sie Ihre Organisation mit SSO eingerichtet haben, können Sie Konten hinzufügen, die kein SSO verwenden, und Konten, die die SSO-Konfiguration der Organisation verwenden.

SSO für die gesamte Organisation konfigurieren

Anstatt SSO in jedem Konto einzeln einzurichten, können Sie SSO zentral für alle Konten in Ihrer Organisation konfigurieren. Alle auf Organisationsebene verifizierten Domains oder SSO-Konfigurationen gelten für alle Konten innerhalb einer Organisation.

Erstmalige Einrichtung von SSO

Informationen zum erstmaligen Einrichten von SSO auf Stripe finden Sie unter Single Sign-On.

SSO-Einstellungen für jede Domain

Sie können separate SSO-Einstellungen für jede verifizierte Domain konfigurieren oder dieselben SSO-Einstellungen für mehrere Domains wiederverwenden. So können Sie beispielsweise innerhalb einer Organisation SSO für eine Domain benötigen und SSO für eine andere Domain auf Optional setzen oder SSO vollständig deaktivieren, um die Anmeldung per E-Mail und Passwort zu aktivieren.

Mehrere Identitätsanbieter

Stripe erlaubt Ihnen, mehrere Identitätsanbieter zu haben, wenn jede verifizierte Domain nur einen Identitätsanbieter hat. Sie können beispielsweise Nutzer/innen mit einer E-Mail-Adresse von rocketrides.com so konfigurieren, dass sie sich bei Okta authentifizieren. Nutzer/innen mit E-Mail-Adressen von rocketdelivery.com konfigurieren Sie hingegen so, dass die Authentifizierung mit AzureAD abläuft.

Zuweisen von Rollen auf Kontoebene und auf Organisationsebene

SSO auf Organisationsebene funktioniert ähnlich wie das SSO für ein einzelnes Konto. Wenn Stripe eine SAML-Assertion von einem Identitätsanbieter erhält, prüfen wir die in dieser SAML-Assertion angegebenen Konten und Rollen. Basierend auf diesen Informationen weist Stripe der Nutzerin/dem Nutzer Rollen zu. Sie können eine einzelne Rolle auf Kontoebene, eine einzelne Rolle auf Organisationsebene oder eine Kombination aus Rollen auf Kontoebene und Organisationsebene zuweisen.

Wenn Sie diese Rollen zuweisen, verwenden Sie die Präfixe Stripe-Role-{accountID} oder Stripe-Role-{org-id} für die Konto- bzw. Organisations-IDs. Wir weisen Ansprüche, die eine Konto-ID enthalten auf Kontoebene zu, und Ansprüche, die Organisations-IDs enthalten auf Organisationsebene zu. Erfahren Sie mehr über Rollen auf Konto- und Organisationsebene.

Im folgenden Snippet einer SAML-Assertion werden für die Nutzerin/den Nutzer drei Ansprüche angegeben:

1. In acct_ONE wird dem/der Nutzer/in die Rolle developer zugewiesen
2. In acct_TWO wird dem/der Nutzer/in die Rolle developer zugewiesen
3. In org_ALPHA wird dem/der Nutzer/in die Rolle view-only zugewiesen

In Folge dieser Assertionen gewährt Stripe dieser Nutzerin/diesem Nutzer eine Sitzung mit der Rolle developer in den Konten acct_ONE und acct_TWO. Darüber hinaus weisen wir der org-ALPHA-Organisation und allen Konten innerhalb dieser Organisation die Rolle view-only zu:

      <saml2:Attribute Name="Stripe-Role-acct_ONE" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">developer</saml2:AttributeValue>
      </saml2:Attribute>
      <saml2:Attribute Name="Stripe-Role-acct_TWO" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">developer</saml2:AttributeValue>
      <saml2:Attribute Name="Stripe-Role-org_ALPHA" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">view_only</saml2:AttributeValue>