Migration Single-Sign-On (SSO • M365)

7education gewährleistet einen umfassenden und zukunftsorientierten Schutz der Webapplication PUPIL und ermöglicht sicheres Arbeiten im Browser.

Der Zugriff für Mitarbeitende auf PUPIL und PUPIL Connect erfolgt über einen gesicherten Microsoft Single-Sign-On (SSO). Bisher wurde das M365-SSO direkt in der PUPIL Instanz verbunden. Neu wird dies über einen IdP (Identity Provider) gesteuert, welcher von uns betrieben wird.

Neuigkeiten

2026-09 | Erkenntnisse der bisherigen Umstellungen

Voraussetzungen

Die PUPIL Mitarbeitende benötigt für diese Aktion den Zugriff auf die Ansicht "Aktivierung Single-Sign-On".

Bei PUPIL@SG wird dafür die vorliegende Funktionsrolle "SSO Admin" gewählt.

Zweck und Funktionen

Die Aktivierung des Single-Sign-On erfolgt im Menü Administration → PUPIL Konfiguration → Aktivierung Single-Sign-On.

Überblick: Die unterschiedlichen Schritte in PUPIL und in M365 Entra sind in folgender Reihenfolge durchzuführen:

Schritt 0: Verifizierung der Anwendungs-ID (M365 Entra) ↔ Client-ID (PUPIL)

Schritt 1: Umleitungs-URL in M365 Entra erfassen

Die Einrichtung in PUPIL erfolgt in drei Schritten (Abschnitte 2-4):

Schritt 2: Technische Daten prüfen

Schritt 3: Verbindung zu Microsoft M365 Entra testen

Schritt 4: Aktivierung durchführen

Schritt 5: Bisherige URI entfernen

Anleitung SSO-Migration

0 : Verifizierung

Die Anwendungs-ID (Client) aus der Microsoft Entra Admin Center [ 1 ] muss mit der Client ID aus PUPIL / Aktivierung Signle-Sign-On [ 2 ] übereinstimmen.

Es liegt in der Verantwortung der Schulträger, für rechtzeitige Erneuerung der Microsoft Zertifikate in Microsoft Entra Admin besorgt zu sein.

1 : Microsoft Entra Admin Center

Öffne im Microsoft Entra Admin Center den Bereich App-Registrierungen. Suche die Anwendung "PUPIL" und öffne die Hauptanwendung.

[ A ] - Unter Verwalten die Ansicht "Authentication (Preview)" öffnen.

[ B ] - Hier wird geprüft, ob die korrekte URL des Schulträgers eingetragen ist

[ C ] - via Button [ + Umleitungs-URL hinzufügen ]

Rechts erscheint das Einblendmenü "Eine Plattform auswählen, um eine Umleitungs-URL einzurichten". Unter Webanwendungen wird "Web" ausgewählt:

Bei Umleitungs-URL wird die URL aus dem PUPIL Menü "Aktivierung Signle-Sign-On", Schritt 1 → Redirect URI kopierte URL eingefügt. Siehe dazu unter → Schritt 2: Technische Daten prüfen.

2: Technische Daten prüfen

Öffne in PUPIL das Menü Aktivierung Single-Sign-On.

Kopiere die angezeigte Redirect-URI.

Füge diese im Microsoft Entra Admin Center (Schritt 1) ein.

Dieser Schritt wird unten mit Klick auf den Button [ Konfigurieren ] abgeschlossen.

3: Verbindung zu Microsoft Entra testen

Anschliessend wird wieder von Microsoft Entra zu PUPIL Ansicht "Aktivierung durchführen" gewechselt. Hier folgt Schritt 2: Verbindung zu Microsoft Entra testen. Nach dem Klick auf den Button [ Verbindung testen ] wird der erfolgreiche Verbindungsaufbau bestätigt: Verbindung erfolgreich.

4: Aktivierung durchführen

[ 1 ] - Nach dem erfolgreichen Verbindungstest wird die Option "Die Verbindung zu Microsoft Entra wurde erfolgreich getestet (Schritt 2) automatisch aktiviert.

[ 2 ] - Die Option "Alle technischen Daten sind korrekt und ich will die Aktivierung des Single-Sign-Ons nun durchführen" ist zu aktivieren

[ 3 ] - mit Klick auf Button [ Aktivierung durchführen ] wird der SSO-Login via Keycloak aktiviert.

5: Bisherigen URI-Eintrag entfernen

Nachdem die neue URI erfolgreich getestet wurde, kann der bisherige URI-Eintrag entfernt werden. Als Fallback könnte die alte URI irgendwo gespeichert werden.

Tipps & Tricks

M365 Login funktioniert nach Migration nicht

Sollte das M365 Login bei PUPIL nach der Umstellung auf IdP (Identity Provider) nicht mehr funktionieren, ist als erstes zu prüfen:

▶️ Cache im Browser löschen → siehe Ausführungen weiter unten

oder

▶️ die Anmeldung über den Inkognito-Modus vornehmen

Tastenkombinationen für den Schnellstart:

▶️ Google Chrome / Microsoft Edge: Strg + Shift + N (Windows) oder Cmd + Shift + N (Mac)

▶️ Mozilla Firefox / Safari: Strg + Shift + P (Windows) oder Cmd + Shift + P (Mac)

Falsche URL für PUPIL

Es ist die aktuell gültige URL für das PUPIL Login zu verwenden. Gespeicherte Links, Lesezeichen oder Favoriten sind zu überprüfen und passend zu machen.

Bereinigung der Accounts

Ein Einzelfällen kann es vorkommen, dass Benutzer:innen sich nicht mehr bei PUPIL einloggen können. Die Ursachen können beim Browser Cache liegen (siehe vorangehend), oder beim M365 Account. Die möglichen Fehlermeldungen:

Anmeldung fehlgeschlagen

Wir konnten die Identität des Benutzers nicht eindeutig überprüfen:

Dein Konto ist möglicherweise nicht aktiv oder wurde gelöscht.

seven education / Es tut uns leid...

Erklärungen zur Ursache

Anders als bei der bisherigen SSO Anbindung in PUPIL werden bei dieser IdP Variante neben der E-Mail der Schule weitere Werte bei der Authentifizierung herangezogen. Vorhandene Ungereimtheiten bei einem M365 Account führen neu zur Blockierung des Login bei PUPIL.

A | E-Mail-Kontoname gleich wie E-Mail-Adresse

Die E-Mail der Schule (in PUPIL) ist ein Kernwert bei dieser Migration. Folgende Voraussetzungen sind zu beachten, damit sich die Mitarbeitenden nach der Migration auch erfolgreich einloggen können:

▶️ In Microsoft Entra entspricht der E-Mail-Kontonamen der E-Mail-Adresse der Schule aus PUPIL

▶️ Nach Mutationen bei E-Mail der Schule in PUPIL ist zwingend eine Synchronisation "Sync. MD zu PUPIL" durchzuführen.

B | Doppelte Benutzerkonten

Feststellen, welches der richtige aktive Account ist oder sein sollten und passend machen. In einigen Fällen wurde der falsche Account gelöscht. Dabei gilt auch zu Beachten, welche Bedeutung der Account in PUPIL hat! Bei Mitarbeitenden-Account - wie auch beim SuS - sind unter Umständen Daten in Personendossier, MAB/MAG etc. vorhanden. Würde in PUPIL auf einen andern PUPIL-Schlüssel gewechselt, wären diese Daten nicht mehr einsehbar. Das ist Thema Duplikate und wird in jener Dokumentation separat behandelt.

C | Nicht korrekt nachgeführte Namensänderungen

Schreibfehler u/o nicht korrekt und vollständig nachgeführte Namensänderungen bei Heirat, Trennungen etc. sind zu berichtigen.

D | Fehlerhafte Verlinkung eines Accounts

Es kann vorkommen, dass nach Mutationen die korrekte Verlinkung der Accounts zwischen den System Microsoft und PUPIL nicht mehr vorhanden ist.

Browser Cache löschen

Wie oft soll der Cache vom Browser gelöscht werden?

Bei der täglichen Arbeit mit grossen Datenmengen sollte der Browser-Cache idealerweise täglich am Ende des Arbeitstages oder wöchentlich gelöscht werden, um Performance-Einbrüche und Darstellungsfehler zu vermeiden. Da Browser-Caches auf grosse Datenmengen ausgelegt sind, ist das Intervall stark von Ihrem Workflow abhängig.

Empfohlene Vorgehensweisen

• Tägliche Löschung: Ratsam bei intensiver Nutzung datenintensiver Web-Anwendungen (z. B. CRM-Systeme, Web-Editoren), um Speicherprobleme und veraltete Skripte zu vermeiden.
• Automatisierte Löschung: Stellen Sie den Browser so ein, dass temporäre Daten beim Schließen des Programms automatisch entfernt werden.
• Anlassbezogene Löschung: Leeren Sie den Cache manuell, sobald Webseiten fehlerhaft laden, Funktionen einfrieren oder der Rechner langsamer wird.
• Vermeidung bei Bandbreiten-Engpässen: Wenn Sie mit statischen Webseiten arbeiten und keine Fehlfunktionen auftreten, kann ein zu häufiges Löschen die Ladezeiten verlangsamen, da der Browser alle Daten neu laden muss.

Vorteile vs. Nachteile

• Vorteile: Gibt wertvollen Speicherplatz frei, verhindert Abstürze durch beschädigte Dateien und lädt die neuesten Versionen von Webseiten und Web-Apps.
• Nachteile: Seiten können beim ersten Neuladen langsamer laden und temporäre Website-Einstellungen oder Formulardaten gehen möglicherweise verloren

Tastaturbefehle

Für die gängigen Browser öffnet die Tastenkombination zum direkten Löschen des Caches in der Regel direkt das Einstellungsmenü für die Browserdaten.

• Windows / Linux: Drücken Sie gleichzeitig Strg + Umschalt + Entf.
• Mac: Drücken Sie gleichzeitig Cmd + Umschalt + Entf (oder Cmd + Shift + Delete).

Die Ausnahme bildet Safari auf dem Mac: Hier lautet der Befehl Cmd + Alt + E.

Windows Anmeldung nicht gleich PUPIL Login

Teils führen unterschiedliche Logins beim Gerät und für PUPIL zu Störungen. Die Rede ist von Diskrepanz zwischen dem primären Benutzerkontonamen (UPN – User Principal Name) und der primären E-Mail-Adresse (Mail-Attribut).

Warum es zu Störungen kommen kann

Fehlschlagende Single Sign-On (SSO) Logins: Viele moderne Web-Applikationen nutzen Protokolle wie SAML 2.0 oder OpenID Connect (OIDC) für das automatische Einloggen. Erwartet die Web-Applikation als eindeutige Kennung die Windows-Anmeldeadresse (UPN), übermittelt der Browser aber die abweichende E-Mail-Adresse (oder umgekehrt), schlägt die Anmeldung fehl oder es wird fälschlicherweise ein neues, leeres Benutzerkonto in der Web-App erstellt.

Synchronisationsprobleme (z.B. Microsoft Entra ID / Office 365): In Microsoft-Umgebungen führt ein Unterschied zwischen UPN (Windows-Login) und dem Mail-Attribut oft zu Synchronisationskonflikten. Dienste wie Microsoft Teams, SharePoint oder OneDrive nutzen im Hintergrund beide Attribute. Weichen diese voneinander ab, kann es zu permanenten Anmeldeschleifen (Login-Loops) kommen.

Probleme mit Outlook und Exchange: Outlook nutzt standardmäßig die Windows-Anmeldedaten, um das Postfach zu konfigurieren (Autodiscover). Wenn die E-Mail-Adresse eine andere ist, scheitert die automatische Einrichtung oft, oder Nutzer müssen Passwörter mehrfach eingeben.

Zertifikats- und Token-Konflikte: Sicherheits-Token (z. B. von Kerberos oder OAuth) werden auf Basis der Windows-Identität ausgestellt. Wenn eine Web-Applikation dieses Token validieren will, aber mit der abweichenden E-Mail-Adresse abgleicht, wird der Zugriff verweigert.

E N D E dieser Anleitung 😉