# Google Workspace

Costfluent meldet die Nutzer deines Workspace über Google per OpenID Connect an. Du legst einen OAuth-Client in einem Google-Cloud-Projekt deiner Workspace-Organisation an, und Costfluent vertraut den Adressen der Domains, die du bestätigst.

## Bevor du beginnst

- Du brauchst in Costfluent die Organisationsrolle Eigentümer und ein Google-Cloud-Projekt in deiner Workspace-Organisation.
- Die Adressen deiner Leute liegen in einer Domain, für die du einen DNS-TXT-Eintrag veröffentlichen kannst.
- Google sendet keine Gruppen, deshalb werden Teams in Costfluent vergeben und nicht aus Google zugeordnet.

<PlanAvailability feature="Sso" plan="Core" />

## Anwendung registrieren

<Stepper>

1. Richte in der Google Cloud Console den OAuth-Zustimmungsbildschirm deines Projekts für interne Nutzer ein, sodass nur Konten deiner Workspace-Organisation ihn verwenden können.
2. Lege eine OAuth-Client-ID vom Typ Webanwendung an.
3. Füge den autorisierten Weiterleitungs-URI `https://app.costfluent.com/api/auth/sso/callback` hinzu.
4. Kopiere die Client-ID und den Clientschlüssel.

</Stepper>

Deine Discovery-URL ist `https://accounts.google.com/.well-known/openid-configuration`.

## Gruppen senden

Googles ID-Token enthält keinen Gruppen-Claim, und auch der Userinfo-Endpunkt liefert keinen. Die Zuordnung von Gruppen zu Teams bewirkt bei einer Google-Verbindung deshalb nichts. Nimm Personen stattdessen in Costfluent in Teams auf: siehe [Benutzer, Teams und Rollen](/de/admin/users-teams-and-roles).

:::note
Eine Google-Verbindung legt Konten mit ihrer Standardrolle an und überlässt dir die Teamzugehörigkeit. Lass die Gruppenzuordnungen der Verbindung leer.
:::

## In Costfluent verbinden

<Stepper>

1. Öffne **Einstellungen**, dann **Single Sign-on**, und verbinde deinen Anbieter mit der Discovery-URL, der Client-ID und dem Client-Secret.
2. Füge der Verbindung deine E-Mail-Domains hinzu und bestätige jede mit ihrem DNS-TXT-Eintrag.
3. Aktiviere die Verbindung.

</Stepper>

[Anmeldung und Sicherheit](/de/admin/sign-in-security) beschreibt jeden dieser Schritte, das Erzwingen und die Notfall-Eigentümer.

## So verhält es sich

Costfluent liest diese Claims aus dem ID-Token und, wo das ID-Token einen auslässt, vom Userinfo-Endpunkt:

- `iss`, der `https://accounts.google.com` gleichen muss, dem Aussteller, den das Discovery-Dokument beim Verbinden nannte.
- `sub`, die feste ID des Google-Kontos, als die Identität, die Costfluent speichert.
- `email`, die in einer der bestätigten Domains der Verbindung liegen muss. Google ist ein Aussteller für alle Google-Konten, deshalb hält die bestätigte Domain ein Konto einer anderen Organisation fern: Eine Adresse außerhalb aller bestätigten Domains wird abgelehnt, ebenso eine Anmeldung ohne Adresse.
- `name`, für den Namen eines Kontos, das Costfluent anlegt.

Costfluent lehnt außerdem ein Token ab, dessen Signatur, Zielgruppe, Nonce oder Gültigkeit nicht stimmt, und ein Discovery-Dokument, das plötzlich einen anderen Aussteller nennt.

## Verwandte Seiten

- [Anmeldung und Sicherheit](/de/admin/sign-in-security)
- [Benutzer, Teams und Rollen](/de/admin/users-teams-and-roles)