Single-Sign-On (SSO) für den Zugriff auf privaten Content einrichten

Single Sign-On (SSO) ist eine Möglichkeit, sich mit einem einzigen Benutzernamen und Passwort sicher bei verschiedenen Anwendungen anzumelden.

Mit SSO für private Inhalte kann Ihr IT-Administrator eine HubSpot-Anwendung in Ihrem Identitätsanbieter-Account einrichten, z. B. bei Google oder Okta. Mitglieder Ihres Unternehmens mit Zugriff auf die HubSpot-Anwendung innerhalb Ihres Identitätsanbieter-Accounts können sich mit SSO anmelden, um private Inhalte anzuzeigen. 

Sie können darüber hinaus festlegen, welche Personen basierend auf ihren Listenmitgliedschaften in Ihrem HubSpot-Account Zugriff auf bestimmten Content haben. Um auf Inhalte durch Listenmitgliedschaft zuzugreifen, müssen diese Mitglieder Ihres Teams über Kontaktdatensätze in Ihrem HubSpot Account verfügen.

SSO für privaten Content ist für folgende Abonnements verfügbar:

• Content Hub Professional und Enterprise Konten können SSO für Blogs, Landingpages und Website-Seiten einrichten.
• Service Hub Professional und Enterprise Accounts können SSO für Knowledge Base Artikel und Kundenportaleeinrichten.

Bevor Sie loslegen

• Dieser Einrichtungsprozess muss von einem IT-Administrator durchgeführt werden, der Erfahrung mit der Erstellung von Anwendungen in Ihrem Identitätsanbieter-Account und hat und die Berechtigung hat, Website-Einstellungen in HubSpot zu bearbeiten. 
• SSO kann für eine von HubSpot gehostete Subdomain pro Identity Provider-Konto konfiguriert werden. Die besten Ergebnisse erzielen Sie, wenn Sie eine Subdomain ausschließlich für SSO-Mitgliedschaften zuweisen.
• Benachrichtigungs-E-Mails und Anmeldeseiten für privaten Content mit SSO-Zugriff werden von Ihrem Identity Provider-Konto und nicht in den Einstellungen für privaten Content in HubSpot geregelt.
• Private Inhalte, die SSO erfordern, werden von Suchmaschinen nicht gecrawlt und können nur von Kontakten eingesehen werden, die Zugriff haben und angemeldet sind.
• Auf Ressourcen wie Bilder und Formulare kann nur über SSO als Teil der Seite zugegriffen werden. Wenn die URLs zu den Assets selbst separat bereitgestellt werden, ist für den Zugriff kein SSO erforderlich. Erfahren Sie mehr über Einstellung der URL-Sichtbarkeit für Ressourcen im Dateiwerkzeug. 
• Wenn Sie SSO für eine Domain aktivieren, für die zuvor die Mitgliederregistrierung erforderlich war, verwendet SSO Ihre ursprünglichen Mitgliederlisten. Wenn Sie SSO wieder deaktivieren, wird für die gleichen Listen wieder eine Mitgliederregistrierung erforderlich sein. 

SSO für privaten Content in HubSpot in Ihrem Identity Provider-Konto einrichten

Um SSO für in Hubspot gehosteten privaten Content einzurichten, erstellt Ihr IT-Administrator eine neue Anwendung für den Zugriff auf HubSpot-Content. Um diesen Vorgang abzuschließen, verwendet Ihr IT-Administrator Werte aus Ihren Einstellungen für privaten Content in HubSpot. 

Bitte beachten Sie: Wenn Sie SSO für eine Subdomain benötigen, die bereits private Inhalte mit Mitgliederregistrierung beherbergt, werden diese Inhalte für registrierte Kontakte nicht mehr zugänglich sein.

Die Schritte und Felder, die zum Hinzufügen einer neuen Anwendung bei Ihrem Identitätsanbieter erforderlich sind, können variieren. Im Folgenden finden Sie allgemeine Anweisungen zur Einrichtung von SSO für privaten Content.

SSO für eine SAML-basierte Anwendung einrichten 

So erstellen Sie eine neue SAML-Anwendung für in HubSpot gehosteten privaten Content bei Ihrem Identity Provider:

• Melden Sie sich bei Ihrem Identity Provider-Konto an.
• Navigieren Sie zu Ihren Anwendungen innerhalb Ihres Identity Provider-Kontos.
• Erfassen Sie in Ihrem HubSpot-Account die erforderlichen Werte für Ihre neue HubSpot-Anwendung:
  • Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das settings Zahnradsymbol, um die Einstellungen aufzurufen.
  • Gehen Sie im Menü der linken Seitenleiste zu Content > Privater Content.
  • Klicken Sie oben auf der Seite auf das Dropdown-Menü „Domain zum Bearbeiten auswählen:“ und wählen Sie eine Subdomain aus.
  • Klicken Sie im Abschnitt Single-Sign-On (SSO) auf „SSO einrichten“.
  • Klicken Sie im rechten Bereich auf das Dropdown-Menü „Format des Sicherheitstoken“ und wählen Sie „SAML“ aus.
  • Kopieren Sie die Zielgruppen-URL und die Anmeldungs-URL.

• In Ihrem Identity Provider-Konto:
  • Fügen Sie die in HubSpot kopierte Zielgruppen-URL und Anmeldungs-URL in die entsprechenden Felder ein.

• • Kopieren Sie die IDs für die Aussteller-URL, die URL für Single-Sign-On und das Zertifikat.
• In Ihrem HubSpot-Account:
  • Fügen Sie die Werte für Aussteller-URL, URL für Single-Sign-On und Zertifikat in die entsprechenden Felder im Bereich „Single-Sign-On einrichten“ ein.
  • Klicken Sie auf Verifizieren.

Sobald der Verifizierungsprozess abgeschlossen ist, sehen Sie eine Bestätigung, dass Single-Sign-On für Ihre Domain in den Einstellungen für privaten Content aktiviert ist. 

SSO für eine JWT-basierte Anwendung einrichten

• In Ihrem Identity Provider-Konto:
  • Navigieren Sie zu Ihren Anwendungen innerhalb Ihres Identity Provider-Kontos.
  • Kopieren Sie die IDs für Remote-Anmelde-URL und Geheimer Schlüssel. Suchen Sie den Signaturalgorithmus. 
  • Kopieren Sie für zusätzliche Sicherheit Herausgeber, Betreff und Zielgruppe. 
• Geben Sie in Ihrem HubSpot-Account diese Werte In Ihre SSO-Einstellungen ein:
  
  • Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das settings Zahnradsymbol, um die Einstellungen aufzurufen.
  • Gehen Sie im Menü der linken Seitenleiste zu Content > Privater Content.
  • Klicken Sie oben auf der Seite auf das Dropdown-Menü „Domain zum Bearbeiten auswählen:“ und wählen Sie eine Subdomain aus.
  • Klicken Sie im Abschnitt Single-Sign-On (SSO) auf „SSO einrichten“.
  • Klicken Sie im rechten Bereich auf das Dropdown-Menü „Format des Sicherheitstoken“ und wählen Sie „JWT“ aus.
  • Fügen Sie die Remote-Anmelde-URL ein.
  • Klicken Sie auf das Dropdown-Menü „Signaturalgorithmus“ und wählen Sie den Wert in Ihrem Identity Provider-Konto aus.
  • Fügen Sie den Geheimen Schlüssel ein. Wenn Sie einen asymmetrischen Signieralgorithmus mit öffentlichen und privaten Schlüsseln verwenden, ist der geheime Schlüssel der öffentliche Schlüssel.

• • Einfügen Sie für zusätzliche Sicherheit den Herausgeber, den Betreff und die Zielgruppe.
  • Klicken Sie auf Verifizieren. 

Es öffnet sich ein Fenster mit der in den SSO-Einstellungen angegebenen "Remote Login URL". Die im Fenster geöffnete URL enthält einen Abfrageparameter "redirect_url" mit dem Wert einer URL auf der von Ihnen konfigurierten Domain und dem Pfad "_hcms/mem/jwt/verify".

Zur Überprüfung muss eine Anfrage an die im Parameter "redirect_url" angegebene URL gestellt werden, nachdem die Anmeldedaten in die "Remote Login URL" eingegeben wurden. Diese Anfrage muss einen unterstützten Abfrage-Parameter enthalten, dessen Wert ein JWT/Hash sein muss, der nach der Entschlüsselung ein Feld "E-Mail" mit einer gültigen E-Mail-Adresse in seiner Nutzlast enthält. Unterstützte Abfrageparameter sind "jwt", "code", "id_token" und "access_token".

Der JWT/Hash wird von HubSpot mit dem in den SSO-Einstellungen angegebenen Signieralgorithmus und geheimen Schlüssel entschlüsselt. Das Senden dieser nachfolgenden Anfrage, die nach Eingabe gültiger Anmeldedaten auf der Seite "Remote Login URL" erfolgt, sollte in Ihrem Identitätsanbieter Account konfiguriert werden. 

Sobald der Verifizierungsprozess abgeschlossen ist, sehen Sie eine Bestätigung, dass Single-Sign-On für Ihre Domain in den Einstellungen für privaten Content aktiviert ist.

Sobald die Überprüfung abgeschlossen ist, sollten Besucher, die die Überprüfung an der "Remote Login URL" bestehen, mit zwei Abfrageparametern an "_hcms/mem/jwt" weitergeleitet werden:

• jwt', 'code', 'id_token' oder 'access_token' Abfrageparameter mit einem Hash, der nach der Entschlüsselung die E-Mail-Adresse des Besuchers in einem E-Mail-Feld enthält. 
• redirect_url' Abfrageparameter, der die Seite angibt, an die der Besucher weitergeleitet werden soll. Diese URL sollte mit dem Wert des Abfrageparameters "redirect_url" in der an die "Remote login URL" gesendeten Anfrage übereinstimmen.

Fehlerbehebung bei häufigen JWT-Fehlern

Wenn Sie Probleme beim Einrichten von SSO für eine JWT-basierte Anwendung haben, empfiehlt es sich, Ihr JSON-Web-Token mit dem Debugger von JWT zu überprüfen. 

Sobald Sie Ihr JWT überprüft haben, können Sie die folgenden Fehler beheben: 

• NO_SETTINGS: die Kombination aus Portal und Domain liefert keine JWT-Einstellungen
• COULD_NOT_PARSE_HEADER: JWT-Kopfzeile muss vorhanden und base64-kodiert sein
• WRONG_TYPE_IN_HEADER: JWT Token Kopfzeile hat ein Feld "typ" und es ist nicht gleich "jwt"
• ALGORITHM_MISSING_IN_HEADER: JWT Token Kopfzeile hat kein "alg" Feld für den Algorithmus
• NONE_ALGORITHM_PROVIDED: Feld "alg" ist gleich "none", was unsicher ist und nicht unterstützt wird
• TOKEN_VERIFICATION_FAILED: Token ist möglicherweise leer, ungültig oder falsch, oder der Abfrageparameter wird nicht unterstützt. Wir unterstützen die Abfrageparameter "jwt", "code", "id_token" und "access_token".
• MISSING_EMAIL_IN_TOKEN: dem dekodierten Token fehlt ein E-Mail-Feld oder es ist leer oder ungültig
• INVALID_KEY: geheimer Schlüssel fehlt oder ist ungültig
• INVALID_KEY_LENGTH: Die Länge des geheimen Schlüssels entspricht nicht den Anforderungen des gewählten Signieralgorithmus
• PRIVATE_KEY_PROVIDED: Der gewählte Signieralgorithmus erfordert einen öffentlichen Schlüssel als geheimen Schlüssel, aber es wurde ein privater Schlüssel bereitgestellt
• INVALID_LOGIN_URL: angegebene Remote-Login-URL ist nicht gültig
• JTI_CLAIM_INVALID: JWT-Prüfungen können nicht wiedergegeben werden

SSO für Ihren Content verlangen

Es gibt zwei Optionen für das Verlangen von privatem Content mit SSO:

• Privat – Single-Sign-On (SSO) erforderlich: Alle Benutzer Ihres Identity Providers mit Zugriff auf die HubSpot-Anwendung können sich mit SSO anmelden, um den privaten Content anzuzeigen.
• Privat – Single-Sign-On (SSO) mit Listenfilterung erforderlich: Benutzer in der Organisation Ihres Identity Providers, die außerdem über spezifische HubSpot-Listenmitgliedschaften verfügen, können sich mit SSO anmelden, um privaten Content anzuzeigen. Diese Personen müssen Zugriff auf die HubSpot-Anwendung in Ihrem Identity Provider-Konto (z. B. Okta oder Google) haben, sie müssen jedoch keine Benutzer in Ihrem HubSpot-Account sein.

SSO für einen Blog verlangen

Sie können SSO für Blogs verlangen, die auf der Subdomain gehostet werden, die Sie in Ihrem Identity Provider-Konto verknüpft haben. Die Aktivierung von SSO für einen bestimmten Blog wirkt sich auf alle Blog-Beiträge in diesem Blog aus. Es ist nicht möglich, SSO für einen bestimmten Blog-Beitrag zu verlangen.

Bitte beachten Sie: Wenn Sie SSO für einen Blog benötigen, der bereits private Inhalte mit Mitgliederregistrierung enthält, ist dieser Blog für diese Kontakte nicht mehr zugänglich.

So richten Sie SSO für einen Blog ein:

• Klicken Sie in Ihrem HubSpot-Account in der Hauptnavigationsleiste auf das settings Zahnradsymbol, um die Einstellungen aufzurufen.
• Navigieren Sie im Menü der linken Seitenleiste zu Content > Blog.
• Klicken Sie oben links auf das Dropdown-Menü „Wählen Sie einen zu ändernden Blog aus“ und wählen Sie einen Blog aus, der auf der bei Ihrem Identity Provider eingerichteten Subdomain gehostet wird.
• Richten Sie im Abschnitt „Zielgruppenzugriff steuern“ SSO ein:
  • Wählen Sie „Privat – Single-Sign-On (SSO) erforderlich“ aus, um allen Benutzern Ihres Identity Providers mit Zugriff auf die HubSpot-Anwendung Zugriff zu gewähren.
  • Wählen Sie „Privat – Single-Sign-On (SSO) mit Listenfilterung erforderlich“ aus, um Benutzern Ihres Identity Providers mit Zugriff auf die HubSpot-Anwendung und spezifische HubSpot-Listenmitgliedschaften Zugriff zu gewähren. Wählen Sie dann die Listen aus, die Zugriff auf diesen Content haben sollen.
• Klicken Sie unten links auf „Speichern“.