Überblick über die SSO-Föderation
Dank der SSO-Föderation können eure Benutzer über das bestehende Identitätsmanagementsystem eures Unternehmens auf Criteo zugreifen – es sind keine separaten Criteo-Anmeldedaten erforderlich. Nach der Konfiguration werden Benutzer eurere föderierten Domäne bei Zugriff auf Criteo auf die Anmeldeseite eures Identitätsanbieters (IdP) weitergeleitet.
Criteo nutzt SAML 2.0 für die Verbundauthentifizierung. Zwei Systeme tauschen Metadaten aus, um Vertrauen aufzubauen:
Begriff | Rolle | Beispielsysteme |
|---|---|---|
Dienstanbieter (SP) | Criteo – die App, auf die eure Benutzer zugreifen möchten | — |
Identitätsanbieter (IdP) | Das Identitätssystem eurer Organisation, das Benutzer authentifiziert und eine SAML-Assertion an Criteo sendet | Okta, Microsoft Entra ID (Azure AD), AD FS |
Die SSO-Föderation steht allen Kunden zur Verfügung. Wendet euch an euren Criteo-Ansprechpartner, wenn ihr das System einsetzen möchtet.
Vor dem Beginn
Bitte haltet die folgenden Informationen bereit, bevor ihr euch an euren Criteo-Ansprechpartner wendet. Euer Criteo-Team wird euch im Rahmen des Onboarding-Prozesses um folgende Angaben bitten:
Was | Details |
|---|---|
Zu föderierende Domains | Die E-Mail-Domain(s), mit der/denen sich eure Benutzer anmelden werden (z. B. |
Testnutzer | Eine kurze Liste mit E-Mail-Adressen, um die Integration vor dem Live-Start zu überprüfen. Alle Testnutzer müssen über einen aktiven Criteo-Account verfügen, bevor mit dem Testen begonnen werden kann. |
IdP-Typ | Welchen Identitätsanbieter eure Organisation nutzt und welches SAML-Attribut ihr für den Abgleich der Benutzer-Identitäten übermitteln werdet. Criteo empfiehlt |
Umgebung | Unabhängig davon, ob ihr beabsichtigt, für eure Produktivumgebung eine separate Metadatendatei zu verwenden, oder ob eure Test- und Produktivumgebungen dieselben IdP-Metadaten nutzen. |
Geplantes Go-Live-Datum | Das Datum, ab dem SSO für alle Benutzer der verbundenen Domain(s) aktiv sein soll. |
So ermittelt ihr eure IdP-Werte
Im Rahmen des Onboarding-Prozesses müsst ihr Criteo euer Signaturzertifikat, die IdP-Entitäts-ID und die SSO-URL mitteilen. Der schnellste Weg, alle drei gleichzeitig zu sammeln, besteht darin, die XML-Datei mit den Metadaten eures IdP zu exportieren – sie enthält alle drei in einer einzigen Datei. Die folgenden Anleitungen führen euch Schritt für Schritt durch die Ermittlung dieser Werte für die gängigsten Identitätsanbieter.
Okta
Am schnellsten geht es, wenn ihr die IdP-Metadaten im XML-Format direkt aus eurer SAML-Anwendung herunterladet. So erhaltet ihr die Entitäts-ID, die SSO-URL und das Signaturzertifikat in einer einzigen Datei.
Öffnet in der für Criteo konfigurierten Okta-Anwendung: Einloggen → SAML-Signaturzertifikate → Aktionen → IdP-Metadaten anzeigen und speichert anschließend die XML-Datei.
Quellenangabe:
Microsoft Entra ID (Azure AD)
Zwei Quellen liefern die Werte, die Criteo benötigt:
SSO-Seite für Unternehmensanwendungen – enthält die Anmelde-URL, die Entra-Kennung und den Zertifikats-Download. Ruft eure Unternehmensanwendung auf → Seite zur Einrichtung von Single Sign-On.
Tenant-weiter Endpunkt für Verbund-Metadaten – oft die schnellste Einzelquelle. Verfügbar unter:
https://login.microsoftonline.com/<tenant>/FederationMetadata/2007-06/FederationMetadata.xml
Quellenangaben:
AD FS
Da es sich bei AD FS um eine lokal installierte Software handelt, gibt es keine einheitliche Anleitung für Kunden, die den Standort der Werte angeben. Daher sind zwei separate Schritte erforderlich:
URL der Förderations-Metadaten – enthält die Entitäts-ID und den SSO-Endpunkt.
Zertifikat zur Token-Signierung – separat aus der AD FS-Verwaltungskonsole unter Dienst → Zertifikate exportiert.
Wendet euch bitte an euren Criteo-Ansprechpartner, falls ihr Hilfe bei der Interpretation dieser Verweise benötigen.
Quellenangaben:
Was Criteo bereitstellt
Sobald der Onboarding-Prozess beginnt, stellt Criteo eine Metadatendatei für den Dienstleister (SP) zur Verfügung. Verwendet diese Option, um die Criteo-Anwendung in eurem IdP zu konfigurieren. Diese Datei enthält die folgenden Werte:
Feld | Beschreibung |
|---|---|
Zielgruppen-URI (Entitäts-ID) | Eindeutige Kennung für den SSO-Dienst von Criteo |
Antwort-URL (ACS-URL) | Die Ziel-URL, an die Ihr IdP die SAML-Assertion nach einer erfolgreichen Anmeldung sendet |
X.509-Zertifikat | Das Signaturzertifikat von Criteo |
SSO-Onboarding-Prozess
Schritt 1: Onboarding anfordern
Wendet euch an euren Criteo-Ansprechpartner, um den SSO-Verbundprozess einzuleiten. Sobald eure Anfrage registriert wurde, sendet euch euer Criteo-Ansprechpartner eine Einführungs-E-Mail mit folgenden Inhalten:
Die SP-Metadaten-Datei und ihre Schlüsselwerte – die Zielgruppen-URI (Entity-ID), die Antwort-URL (ACS-URL), das NameID-Format und das X.509-Zertifikat –, die ihr benötigt, um Criteo in eurem IdP als Dienstanbieter zu konfigurieren.
Eine Liste mit Fragen, die ihr für Criteo beantworten müsst, bevor die Integration fortgesetzt werden kann.
Leitet diese E-Mail an die zuständigen Mitglieder eures IT-Teams weiter, damit diese mit der Konfiguration des Identitätsanbieters (IdP) beginnen können.
Schritt 2: Euren IdP konfigurieren und antworten
Konfiguriert Criteo mithilfe der von Criteo bereitgestellten SP-Metadatendatei als Dienstanbieter bei eurem Identitätsanbieter. Wenn euer IdP das Hochladen von Metadaten unterstützt, könnt ihr die Datei direkt verwenden. Andernfalls fügt ihr die einzelnen Werte manuell in euer SAML-Konfiguration ein.
Sobald die Konfiguration eures IdP abgeschlossen ist, antwortet ihr bitte auf die Einführungs-E-Mail mit folgenden Angaben:
Eure IdP-Metadatendatei – fügt die XML-Datei eurer Antwort bei. Alternativ könnt ihr die Werte auch einzeln angeben:
IdP-Entitäts-ID
URL des SSO-Endpunkts
Signaturzertifikat
Zu föderierende Domain(s) – die E-Mail-Domain(s), für die SSO verwendet werden soll (z. B.
@euerunternehmen.de)Identitätsanbieter – der Name eures IdP (z. B. Microsoft Entra ID, Okta, AD FS)
Benutzerkennung – das SAML-Attribut, das Criteo zum Abgleichen von Benutzern verwendet. Wir empfehlen
emailAddressTestnutzer – die E-Mail-Adressen der Benutzer, die SSO vor dem Rollout testen werden
Umgebung – unabhängig davon, ob ihr beabsichtigt, eine separate Metadatendatei für eure Produktivumgebung bereitzustellen
Geplantes Go-Live-Datum (optional)
Schritt 3: Criteo validiert und konfiguriert
Das Criteo-Team prüft eure Antwort und validiert die technischen Informationen. Sollte etwas fehlen oder unklar sein, werden sie sich direkt mit euch in Verbindung setzen, um das Problem zu klären, bevor sie fortfahren.
Sobald die Validierung abgeschlossen ist, richtet Criteo das SSO für die von euch benannten Test-Benutzer ein und benachrichtigt euch, dass mit den Tests begonnen werden kann.
Schritt 4: Aktivierung testen
Criteo aktiviert SSO bislang nur für die von euch festgelegten Test-Benutzer, noch nicht für alle Benutzer der Domain. Ihr erhaltet per E-Mail einen Link, über den ihr mit dem Testen beginnen könnt.
Um optimale Ergebnisse zu erzielen, sollte jeder User das SSO anhand der folgenden Schritte testen:
Öffnen eines Inkognito-Fensters, um die Verwendung vorhandener Cookies oder Sitzungen zu verhindern.
Wechsel zu account.criteo.com und Eingabe eurer geschäftlichen E-Mail-Adresse.
Ihr werdet zur Anmeldeseite eures Unternehmens weitergeleitet.
Einloggen mit euren Unternehmenszugangsdaten (nicht mit euren Criteo-Account-Daten).
Nach erfolgreicher Authentifizierung wird die Seite „Account-Informationen“ mit euren persönlichen Daten angezeigt. Dies bestätigt, dass der SSO-Test erfolgreich war.
Sobald der Test abgeschlossen ist, könnt ihr wie gewohnt auf eure übliche Criteo-Plattform zugreifen.
In dieser Phase wird SSO für jeden Benutzer aktiviert. Eure anderen Benutzer melden sich bis zum Go-Live weiterhin wie gewohnt an.
Schritt 5: Testen
Eure Testnutzer melden sich über die von Criteo bereitgestellte URL an und überprüfen Folgendes:
Werden sie auf die Anmeldeseite Ihres IdP weitergeleitet?
Werden sie nach der Anmeldung werden zu ihrem Criteo-Account weitergeleitet?
Können sie die richtigen Accounts und Daten einsehen?
Sollte etwas nicht funktionieren, sendet bitte Screenshots oder Fehlermeldungen über den bestehenden E-Mail-Thread an Criteo. Die Integration kann in dieser Phase auf Wunsch rückgängig gemacht werden.
Schritt 6: Go-Live
Sobald sich alle Testnutzer erfolgreich anmelden können, aktiviert Criteo zum vereinbarten Termin das SSO für alle Benutzer eurer föderierten Domains.
Sollte nach dem Go-Live ein Problem auftreten, wendet euch bitte an Criteo, um die Konfiguration zurückzusetzen oder zu korrigieren.
Laufende Wartungsarbeiten am SSO
Einige Felder werden beim ersten Onboarding festgelegt und müssen nur selten geändert werden. Andere erfordern während der gesamten Laufzeit der Integration regelmäßige Aktualisierungen.
Wird selten geändert
Diese Felder werden beim Onboarding festgelegt und bleiben unverändert:
SP-Entitäts-ID
SP ACS/Antwort-URL
IdP-Entitäts-ID
SAML-Attribut, das für den Benutzerabgleich verwendet wird
Im Laufe der Zeit aktualisierte Felder
Feld | Warum sich das ändert |
|---|---|
Das SP-Signaturzertifikat von Criteo | Gültig für fünf Jahre ab Ausstellungsdatum. Criteo wird euch benachrichtigen, wenn eine Verlängerung erforderlich ist. |
Das Signaturzertifikat eures IdP | Die Gültigkeitsdauer hängt von eurer IdP-Konfiguration ab. Ersetzt es, bevor es abläuft – sendet die aktualisierte Metadaten-Datei rechtzeitig an Criteo. |
Föderierte E-Mail-Domains | Nach der Live-Inbetriebnahme könnt ihr neue Domains hinzufügen oder alte entfernen. |
IdP-Metadaten | Möglicherweise ist eine Aktualisierung erforderlich, wenn ihr IdP-Systeme migriert oder die Umgebung ändert. |
Um eines dieser Felder nach der Live-Inbetriebnahme zu aktualisieren, wendet euch bitte an euren Criteo-Ansprechpartner.