UniFi: Identity und UniFi Endpoint einrichten

Aus maxTechCorner

Auf einen Blick

Gilt fürUniFi Fabrics im Site Manager mit UniFi Endpoint (Windows, macOS, iOS, Android); Identity Provider Microsoft Entra ID, Google Workspace, Active Directory/LDAP
BereichIT-Security
Dauerca. 1–2 Stunden inklusive Entra-Anbindung und Pilotgruppe
RechteBesitzer der Fabric; in Entra ID mindestens Cloud Application Administrator
StandOktober 2026

UniFi Identity mit UniFi Endpoint einrichten bedeutet, WLAN, VPN und Türzugang nicht mehr über gemeinsame Passwörter und einzeln verteilte Konfigurationen zu vergeben, sondern über die Identität des Mitarbeiters: Die App UniFi Endpoint meldet den Benutzer über den Identity Provider des Unternehmens an – etwa Microsoft Entra ID mit Mehr-Faktor-Anmeldung – und stellt danach per Klick WLAN, VPN oder Türöffnung bereit. Neue Mitarbeiter erhalten ihre Zugänge automatisch, ausscheidende verlieren sie automatisch. Dieser Artikel zeigt Voraussetzungen, Anbindung von Entra ID, Rollen und die Verteilung der App.

UniFi Identity: Microsoft Entra ID synchronisiert Benutzer und Gruppen per SCIM in die UniFi Fabric und übernimmt die SAML-Anmeldung mit MFA; Rollen verknüpfen Gruppen mit Standorten und Diensten; die App UniFi Endpoint auf Notebook und Smartphone stellt One-Click WiFi, One-Click VPN und Smart Door Access bereit; Austritt im Verzeichnis entzieht alle Zugänge automatisch.

Was UniFi Endpoint bereitstellt

Dienst Funktion ersetzt
One-Click WiFi Anmeldung am Firmen-WLAN mit der eigenen Identität, an allen freigegebenen Standorten gemeinsames WLAN-Passwort, manuelle 802.1X-Profile
One-Click VPN VPN-Verbindung per Klick, optional mit Split Tunneling einzeln verteilte WireGuard-Dateien
Smart Door Access Türöffnung per Smartphone, NFC-Karte, PIN, Gesicht u. a. (UniFi Access) Schlüssel, getrennte Kartenverwaltung

Einzelstandorte können weitere Dienste nutzen (Softphone für UniFi Talk, Kamerafreigaben, Dateizugriff), in Fabrics stehen derzeit WLAN, VPN und Türzugang zur Verfügung. UniFi Endpoint ist ohne Lizenzkosten nutzbar.

Voraussetzungen

  • Eine Fabric im Site Manager mit aktiviertem Consolidated People Management – siehe UniFi: Mehrere Standorte mit dem Site Manager verwalten.
  • Für die Anbindung eines Identity Providers mindestens eine geeignete Konsole in der Fabric, u. a. UDM Pro, UDM SE, UDM Pro Max, UDM Beast, EFG oder EF Core.
  • Microsoft Entra ID: ein Tarif mit unbegrenztem SSO; für die Übernahme von Gruppen Entra ID P1 oder P2; für Einladungs-E-Mails Exchange Online (in den meisten Microsoft-365-Plänen enthalten).
  • Alternativ Google Workspace, Active Directory, LDAP oder JumpCloud LDAP.

Schritt 1: Identity Provider anbinden (Entra ID)

  1. Site Manager › Fabric › Settings › Identity.
  2. Consolidated People Management aktivieren und warten, bis der Identity Sync Service eingerichtet ist. Er läuft auf einer Konsole der Fabric (Master Site).
  3. Microsoft Entra wählen › Proceed › mit einem Entra-Konto anmelden, das mindestens Cloud Application Administrator ist, und die Berechtigungsanfrage bestätigen (automatische Einrichtung).
  4. Warten, bis SAML und die SCIM-Synchronisation eingerichtet sind.
  5. Festlegen, wer übernommen wird: alle Personen oder bestimmte Gruppen (mit Gruppeninformationen – empfohlen, z. B. UniFi-WLAN, UniFi-VPN, UniFi-Admins).
  6. Apply Changes.

Bei der manuellen Variante wird in Entra eine eigene Unternehmensanwendung (SAML, Bezeichner und Antwort-URL aus UniFi, Metadaten-XML zurück an UniFi) und die Bereitstellung mit Tenant-URL und Token aus UniFi angelegt.


WarnungDie Option Enforce IdP Authentication erzwingt die SAML-Anmeldung für alle Konten der E-Mail-Domäne an allen ui.com-Diensten – auch im Site Manager und für Konten, die mit dieser Fabric nichts zu tun haben. Sie ist pro Domäne nur einmal einrichtbar. Vorher Notfallzugang und Auswirkungen auf andere Teams klären.

Vorhandene Personen und Admins bleiben nach der Anbindung mit ihren Rechten und Zugangsmitteln (z. B. NFC-Karten) erhalten.

Schritt 2: Rollen anlegen

Rollen fassen Rechte und Standorte zusammen; eine Person kann mehrere Rollen haben, es gilt die großzügigste Kombination.

  1. Site Manager › Fabric › People › Roles › Create New Role.
  2. Name, z. B. Mitarbeiter Standard; Standorte auswählen.
  3. Admin Permissions (Verwaltung) und/oder UniFi Endpoint Services (WLAN, VPN, Tür) zuordnen.
  4. Speichern und über Assign People Gruppen aus Entra zuweisen.
Rolle Entra-Gruppe Rechte
Mitarbeiter Standard UniFi-WLAN One-Click WiFi an allen Standorten
Mobile Mitarbeiter UniFi-VPN One-Click WiFi und One-Click VPN
Netzwerk-Admins UniFi-Admins Admin-Rechte für UniFi Network, alle Standorte
Empfang UniFi-Empfang Hotspot-Verwaltung am Hauptstandort

Rechte über Gruppen statt einzelne Personen vergeben – dann reicht beim Ein- und Austritt die Pflege im Verzeichnis.

Schritt 3: Endpoint-Dienste aktivieren

Site Manager › Fabric › Settings › Identity › UniFi Endpoint Services:

  • One-Click WiFi: Name der SSID, die an den gewählten Standorten bereitgestellt und über die App angemeldet wird.
  • One-Click VPN: ab Werk geht aller Verkehr durch den Tunnel; mit Split Tunnel Routing nur die Firmennetze.
  • Smart Door Access: erlaubte Zugangsmittel (NFC-Karte, Mobile Unlock, Gesicht, PIN, Handbewegung, QR-Code); Remote Unlock (Öffnen aus der Ferne) bleibt aus Sicherheitsgründen ab Werk aus.
  • Einladungs-E-Mail: automatisch an neue Personen, sobald sie ein Recht erhalten; optional mit 2FA-Code; Gültigkeit Standard 30 Tage.
  • Standardmäßig gelten die Dienste für alle Standorte; bei Bedarf einschränken.

Schritt 4: App verteilen

Mitarbeiter installieren UniFi Endpoint aus dem App Store bzw. von Ubiquiti und folgen der Einladung. Für Firmen-PCs empfiehlt sich die Verteilung per Intune oder Gruppenrichtlinie mit dem MSI-Paket: 

msiexec /i "UniFi Endpoint.msi" /quiet /norestart ORG_DOMAIN=firma.ui.com ENFORCE_CONFIG_ORG_DOMAIN=1 LAUNCH_AT_STARTUP=1 CONNECT_VPN_ON_STARTUP=1 ENFORCE_CONFIG_CONNECT_VPN_ON_STARTUP=1
Eigenschaft Wirkung
ORG_DOMAIN Organisationsdomäne vorausfüllen (aus dem Site Manager)
ENFORCE_CONFIG_ORG_DOMAIN=1 Benutzer können nur an der eigenen Fabric anmelden
LAUNCH_AT_STARTUP=1 App startet mit der Windows-Anmeldung
CONNECT_WIFI_ON_STARTUP / CONNECT_VPN_ON_STARTUP WLAN bzw. VPN beim Start automatisch verbinden
AUTO_RECONNECT_WIFI=1 WLAN bei Abbruch neu verbinden
ENFORCE_CONFIG_…=1 Einstellung sperren; im Programm erscheint „managed by your organization“

Nur das MSI-Paket übernimmt diese Eigenschaften, der EXE-Installer nicht. Die Werte landen in der Registry (HKLM) und können alternativ per Gruppenrichtlinien-Einstellungen gesetzt werden. Für macOS gibt es eine entsprechende Anleitung zur Verteilung per MDM.

Ein- und Austritt im Alltag

  • Eintritt: Benutzer in Entra anlegen und in die passende Gruppe aufnehmen → SCIM legt die Person in UniFi an → Einladung per E-Mail → Mitarbeiter meldet sich in der App an.
  • Austritt: Konto in Entra sperren oder aus der Gruppe entfernen → WLAN, VPN und Türzugang sind ohne weiteres Zutun entzogen.
  • Prüfen: Regelmäßig in der Fabric unter People kontrollieren, ob nur aktive Mitarbeiter Rechte haben, und lokal angelegte Ausnahmen dokumentieren.

Hinweise

  • Pilot: Erst eine kleine Gruppe (IT, einige Freiwillige) umstellen, die klassische SSID parallel weiterbetreiben und erst nach erfolgreichem Pilot abschalten.
  • Gäste und Geräte ohne Benutzer (Drucker, IoT) bleiben bei klassischen SSIDs bzw. MAC-Authentifizierung, siehe UniFi: 802.1X und RADIUS einrichten.
  • VPN-Probleme über Mobilfunk lassen sich häufig über einen kleineren MTU-Wert lösen.
  • MSP: Dienstleister binden Identity Provider über ein MSP-Konto eine Ebene oberhalb der Kunden-Fabrics an.
  • Bei Zero-Trust-Konzept, Entra-Anbindung und Einführung von UniFi Identity unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=UniFi:_Identity_und_UniFi_Endpoint_einrichten&oldid=4598“