---
title: "Anmeldeverfahren"
description: "Anmeldung bei LumiScan Annotation Web mit lokalen Konten, Active Directory / LDAP oder Single Sign-on mit OpenID Connect (Keycloak, Microsoft Entra ID)."
product: "LumiScan Annotation Web"
component: "lumiscan-annotation-web-de"
version: "2.4.1"
display_version: "2.4.1.2"
latest_version: true
language: "de"
url: "https://docs.hdvisionsystems.com/de/lumiscan-annotation-web-de/sign-in-methods.html"
---

# Anmeldeverfahren – LumiScan Annotation Web

Alle melden sich an; der Name im Speicherverlauf jedes Bildes ist der angemeldete Benutzer. Drei Verfahren lassen sich kombinieren. Sie und ihre Geheimnisse werden nur in der Konfigurationsdatei des Servers eingestellt (Abschnitt `auth`), nie im Browser.

![Anmeldekarte mit der Schaltfläche Mit Company SSO anmelden, den Feldern Benutzername und Passwort für das Firmenkonto und der Sprachauswahl unten](https://docs.hdvisionsystems.com/de/lumiscan-annotation-web-de/_images/screens/login-card.png)

## Lokale Konten

`"local_login": true` (Standard). Admins legen lokale Konten im Browser an (siehe [Benutzer und Rollen](https://docs.hdvisionsystems.com/de/lumiscan-annotation-web-de/users-and-roles.html)). Passwörter haben mindestens 10 Zeichen und werden als PBKDF2-SHA256-Hashes mit 600 000 Runden gespeichert.

> [!TIP]
> Behalten Sie mindestens einen lokalen Administrator, auch mit Verzeichnis oder Single Sign-on. Er ist Ihr Zugang, wenn das Verzeichnis nicht erreichbar ist.

## Active Directory / LDAP

Der Server sucht den Benutzer mit einem Dienstkonto mit Lesezugriff, prüft das Passwort mit einer Anmeldung als dieser Benutzer und liest die Gruppen. Die Benutzer melden sich mit demselben Namen und Passwort an wie an ihrem Arbeitsplatzrechner.

```json
"ldap": {
  "enabled": true,
  "label": "company account",
  "url": "ldaps://dc01.ad.example.com:636",
  "ca_file": "company-root-ca.pem",
  "bind_dn": "CN=ldap-bind,OU=Service Accounts,DC=ad,DC=example,DC=com",
  "bind_password_file": "ldap-bind.secret",
  "base_dn": "DC=ad,DC=example,DC=com",
  "user_filter": "(&(objectClass=user)(sAMAccountName={username})(!(userAccountControl:1.2.840.113556.1.4.803:=2)))",
  "group_attribute": "memberOf",
  "group_filter": "(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={dn}))"
}
```

|   |   |
| --- | --- |
| `url` | `ldaps://host:636` (empfohlen) oder `ldap://host:389` mit `"start_tls": true`. Das Zertifikat wird gegen `ca_file` oder den Zertifikatspeicher des Systems geprüft. |
| `bind_dn`, `bind_password_file` | Das Dienstkonto mit Lesezugriff. Leer: anonyme Suche. |
| `base_dn`, `user_filter` | Wo und wie Benutzer gesucht werden; `{username}` wird durch den eingegebenen Namen ersetzt. Das Beispiel überspringt deaktivierte Konten. |
| `group_attribute` | Gruppen am Benutzereintrag (`memberOf` im Active Directory). |
| `group_filter`, `group_base_dn` | Optionale Gruppensuche; das Beispiel findet verschachtelte Gruppen im Active Directory. `{dn}` und `{username}` werden ersetzt. |
| `username_attribute`, `display_name_attribute`, `email_attribute` | Standard `sAMAccountName`, `displayName`, `mail`. |
| `label` | Name auf der Anmeldeseite. |
| `timeout_s` | Standard 10. |

Eine zusätzliche Bibliothek ist nicht nötig: Der LDAP-Client ist Teil des Servers.

## Single Sign-on (OpenID Connect)

Die Benutzer klicken auf **Mit … anmelden** und melden sich beim Identitätsanbieter des Unternehmens an (Authorization Code Flow mit PKCE). Abmelden beendet auch die Sitzung beim Anbieter.

1. Registrieren Sie beim Anbieter einen **vertraulichen Client** mit der Rücksprungadresse `<public_url>/api/auth/oidc/callback`.
2. Konfigurieren Sie ihn:
   ```json
   "oidc": {
     "enabled": true,
     "label": "Company SSO",
     "issuer": "https://sso.example.com/realms/example",
     "client_id": "lumiscan-annotation",
     "client_secret_file": "oidc-client.secret",
     "scopes": "openid profile email",
     "username_claim": "preferred_username",
     "groups_claim": "groups"
   }
   ```
3. Setzen Sie `public_url` (siehe [Konfiguration](https://docs.hdvisionsystems.com/de/lumiscan-annotation-web-de/configuration.html)).
   - **Keycloak:** Client mit **Client authentication** an, **Valid redirect URI** wie oben, **Valid post logout redirect URI** `<public_url>/` und einem Mapper \*Group Membership mit dem Claim-Namen `groups`. Alternativ Client-Rollen: `"groups_claim": "resource_access.lumiscan-annotation.roles"`.
   - **Microsoft Entra ID:** Issuer `https://login.microsoftonline.com/<Tenant>/v2.0`; `"groups_claim": "groups"` (Objekt-IDs der Gruppen) oder App-Rollen mit `"roles"`.

## Wer welche Rolle bekommt

- Neue Verzeichnis- und Single-Sign-on-Benutzer erhalten `default_role` (Standard `annotator`; leer: keine Rolle, bis ein Admin oder eine Gruppenzuordnung eine vergibt).
- In `initial_admins` aufgeführte Namen werden bei ihrer ersten Anmeldung Admins.
- **Gruppen → Rollen** im Browser vergibt Rollen an ganze Gruppen; sie werden bei jeder Anmeldung aktualisiert. Siehe [Gruppen und Rollen](https://docs.hdvisionsystems.com/de/lumiscan-annotation-web-de/users-and-roles.html#groups).
- Benutzer ohne jede Rolle können sich nicht anmelden; sie werden gebeten, einen Administrator zu fragen, und den Admins aufgelistet.

Unter Ihrem Namen → **Benutzer und Anmeldung** → **Anmeldeverfahren** sehen Admins, was konfiguriert ist, die beim Anbieter einzutragende Rücksprungadresse und können eine Verzeichnisanmeldung testen:

![Reiter Anmeldeverfahren: lokale Konten, Verzeichniseinstellungen mit einem Formular zum Testen einer Verzeichnisanmeldung, Single-Sign-on-Einstellungen mit der Redirect URI](https://docs.hdvisionsystems.com/de/lumiscan-annotation-web-de/_images/screens/sign-in-methods.png)