Dieses Anmeldeverfahren können Sie mit der OAUTH2 Variante nutzen, bitte nutzen Sie dafür die folgenden Hilfeartikel:
​https://support.talent2go.de/de/articles/239763-single-sign-on-mit-microsoft-bei-talent2go-einrichten-oauth2 & https://support.talent2go.de/de/articles/458472-zusatzliche-verifizierung-uber-azure-id

Ja, sobald Sie einen User über Microsoft Entra zur angelegten Microsoft App Talent2Go hinzugefügt haben, kann sich der User bei Talent2Go per SSO einloggen und wird automatisch Ihrem Unternehmensaccount angelegt und zugeordnet. Beachten Sie hier dass Sie im Nachgang noch die Stammdaten ergänzen müssten.

Ja, hierzu muss die Checkbox bei „Autorisierung ausschließlich über Microsoft SSO“ deaktiviert werden. Die Benutzer können sich dann über E-Mail + Passwort, „Anmelden mit Microsoft“ und das Microsoft App-Dashboard anmelden.

Das ist kein Problem. Als Administrator/in können Sie einfach zunächst eine individuelle Rolle anlegen, z.B: "IT-Support". Jetzt können Sie in den Talent2Go Unternehmenseinstellungen die Berechtigungen anpassen, wichtig ist die Berechtigung "Unternehmenseinstellungen", hier muss "Darf sehen und bearbeiten" ausgewählt sein. Danach können Sie die betreffende Person über das Stammdatenmenü einladen und sie kann die technische Integration vornehmen.

Ja, es ist möglich SSO auch mit anderen Integration zu nutzen, z.B. in Kombination mit Personio. Die Benutzer, die nur bei Microsoft hinterlegt sind, loggen sich dann über SSO ein. Benutzer, die nicht im Active Directory des Unternehmens integriert sind und z.B. über eine Integration importiert werden, bekommen bei der Synchronisation mit dem Stammdatensystem eine E-Mail mit einem initialen Passwort und können sich ganz normal über den Loginscreen mit ihrer E-Mail Adresse und ihrem Passwort einloggen.

Benutzer, die sowohl bei Microsoft als auch bei der Integration hinterlegt sind, bekommen bei der Synchronisation eine E-Mail mit Passwort und können sich sowohl über den Loginscreen mit ihrer E-Mail-Adresse und ihrem Passwort als auch über SSO einloggen. Beim letzten Fall ist es wichtig, dass die E-Mail Adressen übereinstimmen.

OAuth2 ermöglicht den Login über den Login-Button mit SSO direkt auf der Talent2Go-Seite für bereits bestehende Nutzer:innen. SAML ist die Anmeldung über die Microsoft-eigene Oberfläche (App-Dashboard/Intranet), bei der Rollen automatisch aus dem Active Directory übernommen werden.

Nein, das ist technisch nicht vorgesehen. Bei aktivierter SAML-Konfiguration werden Rollen ausschließlich über die Gruppenzuordnung in Ihrem Active Directory / Microsoft Entra ID gesteuert und bei jedem Login übertragen. Eine rein Talent2Go-seitige Verwaltung der Rollen – etwa über eine „Sammelgruppe“ – ist bei aktivem SAML nicht möglich, da ohne Gruppenzuordnung im aktuellen Microsoft-Konto keine Rolle übermittelt werden kann und der Login entsprechend fehlschlägt.

Ja, das ist möglich. In diesem Fall müssen jedoch zusätzlich alle Voraussetzungen der OAuth2-Integration erfüllt werden, d. h. die Azure-Objekt-ID muss bei allen Personen/Rollen eingepflegt sein, die sich über den Button „Fortfahren mit Microsoft“ anmelden sollen. Von einer parallelen Nutzung raten wir im Regelfall ab, da sie zu doppeltem Pflegeaufwand (Objekt-IDs zusätzlich zur AD-Gruppenzuordnung) und häufig zu Verwirrung bei den Endnutzenden führt, welcher Login-Weg gerade gilt.
​-> Hier der Hilfeartikel bezüglich der Azure-Objekt ID

SCIM wird von Talent2Go aktuell nicht angeboten. Es steht auf der Produkt-Roadmap; ein konkreter Zeithorizont kann derzeit noch nicht genannt werden. Wir informieren alle Kunden immer proaktiv, sobald SCIM oder andere Neuerungen verfügbar sind. Vielen Dank für dein Verständnis.

Ja, das ist korrekt und so auch im Hilfeartikel zur SAML-Einrichtung dokumentiert. Bei reiner SAML-Konfiguration ist der Login-Button „Fortfahren mit Microsoft“ nicht vorgesehen; die Anmeldung erfolgt über das Microsoft App-Dashboard, eine im Intranet eingebundene Kachel oder klassisch per E-Mail-Adresse und Passwort. Möchte ein Unternehmen den Button „Fortfahren mit Microsoft“ zusätzlich nutzen, muss ergänzend OAuth2 eingerichtet werden (inkl. Pflege der Objekt-IDs).

Bei aktivierter Talent2Go-2FA wird diese aktuell zusätzlich zum SSO-Login abgefragt – unabhängig davon, ob sich die Person intern oder extern anmeldet. Eine Unterscheidung „intern ohne 2FA, extern mit 2FA“ ist in den Talent2Go-Unternehmenseinstellungen derzeit nicht konfigurierbar; die 2FA-Einstellung gilt unternehmensweit.

Für dieses Szenario sollte die Steuerung stattdessen im Identity Provider erfolgen, z. B. über Microsoft Entra Conditional Access: MFA lässt sich dort gezielt nur außerhalb des Firmennetzwerks, für bestimmte Gruppen (z. B. Auszubildende) oder abhängig von der Geräte-Compliance erzwingen. Talent2Go vertraut in diesem Fall dem bereits erfolgreich durchgeführten SSO-Login und fragt keine zusätzliche Talent2Go-2FA ab, wenn diese im Unternehmen deaktiviert ist.

Grundsätzlich ja, technisch ist beides möglich – die konkreten Voraussetzungen unterscheiden sich aber je nach SSO-Verfahren:

Bei OAuth2: Der Login läuft browserbasiert über den Button „Fortfahren mit Microsoft“ und funktioniert auf jedem Gerät mit Internetzugang, sofern die Azure-Objekt-ID der Person hinterlegt ist. Es besteht keine technische Einschränkung auf Firmengeräte.

Bei SAML: Der Login läuft über das Microsoft App-Dashboard (myapps.microsoft.com) und ist ebenfalls browserbasiert erreichbar – auch von privaten Geräten aus, sofern sich die Person erfolgreich gegenüber Microsoft Entra ID authentifizieren kann.

Wichtig: Ob ein Login von privaten/unternehmensfremden Geräten überhaupt erlaubt ist, entscheidet nicht Talent2Go, sondern die Sicherheitsrichtlinien des Unternehmens im Microsoft-Umfeld (z. B. Conditional-Access-Regeln zu Geräte-Compliance, Standort oder MFA). Wir empfehlen Kund:innen mit dieser Frage, sich intern mit der IT-Abteilung bzw. den Entra-ID-Administrator:innen abzustimmen.

Bei korrekt konfigurierter SAML-Anbindung (App-Zuweisung und Gruppenzuordnung in Entra ID) wird der Account beim ersten Login über die Kachel im Intranet automatisch angelegt (Just-in-Time-Provisioning). Tritt die Fehlermeldung dennoch auf, deutet das in der Regel auf eine fehlende App-Zuweisung oder Gruppenzuordnung in Entra ID hin, nicht auf eine grundsätzlich fehlende Automatik. Bitte stellen Sie sicher, dass der Login darüber erfolgt ist.

Bei der Oauth2 Konfiguration müssen die Benutzer:Innen manuell angelegt werden.

Das deutet darauf hin, dass die reine SAML-Konfiguration genutzt wird. Bei SAML ist der Button „Fortfahren mit Microsoft“ standardmäßig nicht vorgesehen – Login ist nur über das Microsoft App-Dashboard oder per E-Mail & Passwort möglich. Setzt man zusätzlich den Haken „Autorisierung ausschließlich über Microsoft SSO“, wird dies faktisch mit OAuth2 vermischt: Damit diese Einstellung wirkt, müssen für alle betroffenen Personen (Nachwuchskräfte wie auch alle anderen Rollen) die Azure-Objekt-IDs manuell eingepflegt werden – siehe Hilfeartikel „Zusätzliche Verifizierung über Azure-ID“. Ohne hinterlegte Objekt-ID bleibt der Passwort-Login für die betroffene Person weiterhin möglich, auch wenn der Haken gesetzt ist.

Für SAML gilt: Ja. Sobald in Microsoft Entra ID alles korrekt konfiguriert ist (App der Person zugewiesen, passende App-Rolle/AD-Gruppe hinterlegt) und sich die Person erstmalig über die MyApps-Kachel bei Talent2Go anmeldet, wird automatisch ein Talent2Go-Account angelegt und die entsprechende Rolle zugewiesen (Just-in-Time-Provisioning). Danach müssen lediglich noch gewünschte weitere Felder ergänzt werden, z. B. in der Personalakte (Personalnummer, Ausbildungsberuf, Einsatzplanung etc.).