Authentifizierungsanbieter konfigurieren

Für Ping64 gilt: Ein Authentifizierungsanbieter legt die Parameter für die Anmeldung an einer Geschäftsanwendung fest. Die Identitätsverwaltung unterstützt dafür OAuth 2.0 / OpenID Connect (OIDC). Nach der Konfiguration muss der Anbieter mit der Anwendung verknüpft werden; anschließend sind die Einstellungen und Tests auf der Anwendungsseite durchzuführen.

Ein Anbieter und eine Verzeichnis-Identitätsquelle erfüllen unterschiedliche Aufgaben: Die Identitätsquelle verbindet oder verwaltet Identitätsdaten; der Anbieter dient der Anwendungsanmeldung. Das Speichern eines Anbieters bedeutet weder, dass die Integration abgeschlossen ist, noch, dass alle Benutzer Zugriff auf die Anwendung haben.

Die fett hervorgehobenen Oberflächenbezeichnungen in diesem Kapitel beziehen sich auf die englische Oberfläche. Bei einer anderen Anzeigesprache können die sichtbaren Bezeichnungen abweichen.

Hat die Zielanwendung bereits einen geeigneten Anbieter, prüfen und behalten Sie diese Zuordnung bei. Ist noch keiner zugeordnet, kann ein passend konfigurierter vorhandener Anbieter gewählt werden, der nicht von einer anderen Anwendung belegt ist. Ein Anbieter kann nicht gleichzeitig mehreren Anwendungen zugeordnet werden. Ist er belegt, stellen Sie einen anderen geeigneten Anbieter bereit und lösen Sie die bestehende Zuordnung nicht ohne Folgenabschätzung. Prüfen Sie vor Änderungen Abhängigkeiten und Wiederherstellung.

Voraussetzungen

• Verwenden Sie ein Administratorkonto mit Lese- und Konfigurationsberechtigung für die Identitätsverwaltung. Zum Löschen eines Anbieters ist die entsprechende Betriebsberechtigung erforderlich.
• Klären Sie mit dem Anwendungsverantwortlichen den Clienttyp, die Anmelde-Rückrufadresse, die Weiterleitungsadresse nach der Abmeldung, benötigte Scopes und Anforderungen an die Benutzerkennung.
• Bereiten Sie unter Certificates einen verfügbaren Signaturschlüssel, eine Testanwendung sowie Testkonten mit und ohne Zugriff vor.
• Ein Client Secret ist eine vertrauliche Zugangsinformation. Bewahren Sie es über einen von der Organisation genehmigten sicheren Kanal auf und übermitteln Sie es ebenso. Es gehört nicht in gewöhnliche Tickets, Screenshots oder öffentliche Dokumentation.

Anbieter erstellen

1. IAM > Authentication Configuration > Authentication Providers: Wechseln Sie in der Konsole zur Identitätsverwaltung, öffnen Sie unter Authentication Configuration den Eintrag Authentication Providers und wählen Sie Create.
2. Geben Sie unter Basic Information einen Namen und bei Bedarf eine Beschreibung ein. Der Name ist erforderlich.
3. Wählen Sie unter Protocol Settings den Client Type: Confidential eignet sich für Anwendungen, die ein Client Secret sicher speichern können; Public für Clients, die ein gemeinsames Secret nicht sicher speichern können. Bei einem neuen Anbieter ist Confidential voreingestellt. Prüfen Sie die Wahl anhand der tatsächlichen Integrationsmethode.
4. Überprüfen Sie die automatisch erzeugte Client ID. Bei einem vertraulichen Client wird auch ein Client Secret angezeigt. Bewerten Sie vor einer Neuerzeugung die Auswirkungen auf den Anwendungszugriff und übermitteln Sie neue Zugangsdaten sicher.
5. Geben Sie mindestens einen und höchstens zehn Redirect URI-Einträge ein. Jeder muss mit http:// oder https:// beginnen und mit der tatsächlich verwendeten Anmelde-Rückrufadresse der Anwendung übereinstimmen. Ergänzen Sie bei Bedarf höchstens zehn Logout Redirect URI-Einträge.
6. Wählen Sie einen verfügbaren Signing Key. Wählen Sie unter Advanced Protocol Settings die Werte für Scope, Subject Mode und Issuer Mode und stimmen Sie sie mit dem Anwendungsverantwortlichen ab. Scope begrenzt die angeforderten Identitätsinformationen; Subject Mode beeinflusst die Benutzerkennung, die die Anwendung erhält. Gewähren Sie keine unnötigen Scopes.
7. Speichern Sie und prüfen Sie die Erfolgs- oder Fehlermeldung. Die Rückkehr zur Liste beweist nicht, dass gespeichert wurde. Öffnen Sie den Anbieter erneut und kontrollieren Sie Name, Client ID, Rückrufadressen und übrige Einstellungen.

Registrieren Sie die vollständige Anmelde-Rückrufadresse der Anwendung einschließlich Pfad, abschließendem Schrägstrich und Abfrageparametern. Verwenden Sie bei Autorisierung und Austausch des Autorisierungscodes dieselbe Rückrufadresse; die Domain allein genügt nicht. Fordert die Anwendung eine Weiterleitung nach der Abmeldung an, registrieren Sie die vollständige Adresse zuvor unter Logout Redirect URI. Nicht registrierte Adressen werden abgelehnt. Ohne eine solche Weiterleitung muss keine Adresse hinzugefügt werden.

Dass die Konfigurationsseite eine http://-Adresse akzeptiert, bedeutet weder, dass sie für den Produktivbetrieb geeignet ist, noch, dass die Übertragung geschützt ist. Bewerten Sie Übertragung und Rückrufadressen anhand der Sicherheitsanforderungen Ihrer Organisation.

Scopes auswählen und prüfen: Die Seite bietet openid, profile, email und offline_access. Die Auswahl legt fest, was eine Anwendung anfordern darf; sie muss die benötigten Scopes bei der Anmeldung auch tatsächlich anfordern. Die Anfrage muss mindestens einen Scope enthalten und darf den erlaubten Umfang nicht überschreiten. Wählen Sie für die OIDC-Anmeldung openid gemäß den Integrationsanforderungen. Um Namen oder E-Mail über Benutzerinformationen abzurufen, prüfen Sie, ob profile beziehungsweise email erlaubt ist und tatsächlich angefordert wird. Die E-Mail-Information hängt auch davon ab, ob im Konto eine Adresse hinterlegt ist. offline_access betrifft Refresh-Tokens, garantiert aber keinen funktionierenden Token-Refresh: Über diese Seite gespeicherte Konfigurationen erlauben den Refresh-Token-Grant nicht. Weder Discovery-Angaben noch der Erhalt eines Refresh-Tokens beweisen, dass ein späterer Refresh gelingt. Wenn eine dauerhafte Anmeldung erforderlich ist, stimmen Sie eine verfügbare Lösung mit der Anwendungsverantwortung und dem technischen Support ab und testen Sie das Verhalten nach Token-Ablauf vor der Inbetriebnahme.

Anwendung verknüpfen und prüfen

Erfüllt ein vorhandener Anbieter die Anforderungen und ist er bereits mit der Zielanwendung verknüpft, überspringen Sie Schritte 1 und 2, beginnen mit den Prüfungen in Schritt 3 und setzen die Überprüfung fort. Führen Sie Schritte 1 und 2 nur aus, wenn eine Anwendung erstellt oder die Zuordnung geändert werden muss. Bewerten Sie vor Änderungen die Auswirkungen auf andere Anwendungen und Benutzer und bereiten Sie eine Wiederherstellung vor.

1. Öffnen Sie unter Applications & Access den Eintrag Applications und erstellen oder bearbeiten Sie eine Anwendung.
2. Öffnen Sie im Anbieterfeld der Anwendung das Auswahlfenster und wählen Sie einen geeigneten verfügbaren Anbieter. Vervollständigen Sie die übrigen erforderlichen Einstellungen und speichern Sie. Legen Sie den Zugriffsbereich nach der tatsächlichen Nutzung fest; die Verknüpfung allein gewährt noch keinen Benutzerzugriff.
3. Kehren Sie zu Authentication Providers zurück und öffnen Sie über den Namen die Details. Prüfen Sie die verknüpfte Anwendung, Client ID, Rückrufadressen und angezeigte OpenID-Konfigurationsinformationen.
4. Prüfen Sie zuerst die Verbindungsparameter der Geschäftsanwendung; nur wenn sie die Anforderungen nicht erfüllen, passt die verantwortliche Person sie nach einem genehmigten Plan an. Prüfen Sie mit kontrollierten Testkonten sowohl erlaubten als auch verweigerten Zugriff und kontrollieren Sie die tatsächlichen Weiterleitungen nach An- und Abmeldung.
5. Prüfen Sie angeforderte Scopes, Benutzerkennung und Signaturprüfung. Gleichen Sie den Issuer Mode mit dem tatsächlichen Discovery-Dokument, den Token und den Integrationstests ab; leiten Sie den tatsächlichen Aussteller nicht allein aus der Beschreibung der Auswahloption ab.
6. Klären Sie mit der für die Anwendung verantwortlichen Person, dass die Anwendung den Autorisierungscode-Ablauf verwendet. Prüfen Sie bei einem vertraulichen Client mit Secret über einen sicheren Kanal, dass die Einstellungen beider Seiten übereinstimmen. Ein öffentlicher Client muss PKCE unterstützen und bei der Autorisierung und beim Austausch des Autorisierungscodes zusammenpassende Prüfparameter verwenden; bevorzugen Sie S256. Ohne PKCE-Unterstützung oder bei nicht zusammenpassenden Parametern kann die Authentifizierung fehlschlagen. Wechseln Sie nicht zu einem vertraulichen Client, um die fehlende sichere Speicherung eines Secrets zu umgehen.

Ändern und löschen

Wählen Sie beim Anbieter in der Liste Edit, um Einstellungen zu ändern. Wird das Secret beim Bearbeiten nicht neu erzeugt, kann eine Maske angezeigt werden; verwenden Sie diese nicht als tatsächliches Secret. Änderungen an Client ID, Secret, Redirect URI, Signaturschlüssel oder Benutzerkennungsmodus können verbundene Anwendungen beeinträchtigen. Planen Sie vorab ein Änderungsfenster und eine Rückfallmöglichkeit und prüfen Sie die verknüpften Anwendungen anschließend erneut.

Prüfen Sie vor dem Löschen die Abhängigkeiten der Anwendungen und den Migrationsplan. Das Löschen entfernt Anwendungsverknüpfungen und beeinflusst zugehörige Authentifizierungsdaten; Benutzer können betroffene Anmeldeabläufe möglicherweise nicht fortsetzen. Gehen Sie nicht davon aus, dass Verknüpfungen automatisch wiederhergestellt werden.

Fehlerbehebung

• Anbieter nicht gefunden: Die Namenssuche kann vorhandene Einträge auslassen. Löschen Sie den Suchbegriff und prüfen Sie Liste und Kontoberechtigungen.
• Speichern fehlgeschlagen: Prüfen Sie Name, Rückrufadressen, Signaturschlüssel, Scopes, weitere Pflichtfelder und die Meldung auf der Seite. Die Rückkehr zur Liste belegt keinen Erfolg.
• Anmelde-Rückruf fehlgeschlagen: Vergleichen Sie die tatsächlich verwendete Rückrufadresse mit den Anbietereinstellungen, dem Clienttyp und den Parametern der Anwendung. Prüfen Sie die vollständige Adresse auf beiden Seiten.
• Token oder Benutzerkennung unerwartet: Prüfen Sie Scope, Subject, tatsächlichen Issuer und Signaturschlüssel und untersuchen Sie die Integration anhand der Anwendungsprotokolle.
• Anmeldung nach einer Änderung nicht möglich: Prüfen Sie Verknüpfung, Client ID, Secret, Signaturschlüssel und Anwendungsstatus und folgen Sie dem genehmigten Wiederherstellungsplan.