Signaturzertifikate für die Authentifizierung verwalten

Certificates (Zertifikate) in der einheitlichen Identitätsverwaltung verwaltet Signaturschlüssel für die Authentifizierung. Ein Authentifizierungsanbieter kann einen verfügbaren Schlüssel auswählen. Schlüssel erstellen, Anbieter konfigurieren und Anwendung prüfen sind getrennte Schritte. Ein Listeneintrag allein belegt keine abgeschlossene Anwendungsanbindung.

Das herunterladbare Zertifikat ist selbstsigniert, nicht von einer öffentlich vertrauenswürdigen Stelle ausgestellt und nicht mit dem HTTPS-Serverzertifikat einer Website gleichzusetzen. Die Anwendungsverantwortlichen müssen anhand der konkreten Anbindung festlegen, wie die Anwendung Authentifizierungsergebnisse vertraut und prüft.

Die englischen Bedienelemente entsprechen den geprüften Oberflächenbezeichnungen; deutsche Erläuterungen stehen jeweils dabei.

Vorbereitung

• Prüfen Sie die Rechte zum Anzeigen und Verwalten der Identitätskonfiguration. Für Erstellen und Löschen können unterschiedliche Rechte gelten.
• Klären Sie Zweck, Algorithmuskompatibilität und Gültigkeit des Schlüssels sowie abhängige Anbieter und Anwendungen. Bereiten Sie ein kontrolliertes Testkonto, ein Änderungsfenster und einen Wiederherstellungsplan vor.
• Private Schlüssel sind hochsensible Zugangsdaten. Laden Sie sie nur bei Bedarf und mit Genehmigung herunter. Speichern, übertragen und bereinigen Sie Kopien nach den sicheren Verfahren Ihrer Organisation; fügen Sie Schlüssel nicht in Tickets, Chats oder öffentliche Materialien ein.

Signaturschlüssel erstellen und auswählen

1. IAM > Authentication Configuration > Certificates: Öffnen Sie in der Authentifizierungskonfiguration der Identitätsverwaltung Certificates und wählen Sie Create (Erstellen).
2. Geben Sie Namen und Validity Days (Gültigkeitstage) ein und wählen Sie Key Type (Schlüsseltyp). Die Seite bietet RSA und ECDSA; prüfen Sie vorher die Algorithmusunterstützung der angebundenen Anwendung.
3. Für ein bestimmtes Schlüsselablaufdatum geben Sie eine positive ganze Anzahl Tage ein und speichern. 0 legt kein bestimmtes Ablaufdatum für den Schlüssel fest. Auch ohne Schlüsselablauf besitzt das heruntergeladene Zertifikat eine eigene Gültigkeit; prüfen Sie das tatsächliche Zertifikat.
4. Kontrollieren Sie Name, Typ und Ablauf in der Liste. Die Rückkehr zur Liste allein belegt keinen erfolgreichen Vorgang. Fehlt der Eintrag oder trat ein Anfragefehler auf, wenden Sie sich an die Administration.
5. Öffnen Sie den verwendenden Authentifizierungsanbieter, wählen Sie unter Protocol Settings (Protokolleinstellungen) den Signing Key (Signaturschlüssel), prüfen Sie die übrigen Anbindungsparameter und speichern Sie. Die Auswahlliste enthält verfügbare, nicht abgelaufene Schlüssel. Fehlt ein neuer Schlüssel, öffnen Sie die Konfiguration erneut und prüfen Sie Status und Ablauf.
6. Richten Sie das Vertrauen auf Anwendungsseite nach den Anforderungen der Anwendungsverantwortlichen ein. Prüfen Sie mit einem Pilotkonto kontrolliert Anmeldung und Authentifizierungsergebnis. Kontrollieren Sie Anbieter, Anwendungsberechtigung und Anwendungskonfiguration getrennt; Speichern allein belegt keine funktionierende Authentifizierung.

Anzeigen und herunterladen

1. Suchen Sie den Eintrag in der Zertifikatliste und erweitern Sie die Zeile, um Zertifikatssubjekt und Fingerabdrücke anzuzeigen.
2. Wählen Sie bei Bedarf Download Certificate (Zertifikat herunterladen) oder Download Key (Schlüssel herunterladen). Ersteres exportiert das Zertifikat, Letzteres den privaten Schlüssel und unterliegt strengeren Vorgaben für Zugangsdaten. Prüfen Sie Empfänger, Zweck und Dateiintegrität vor der Übergabe.
3. Detailansicht und Download erzeugen Zertifikate getrennt. Der angezeigte Fingerabdruck kann deshalb von einer später heruntergeladenen Datei abweichen. Prüfen Sie die tatsächlich übergebene Datei statt eines früheren Seitenfingerabdrucks.

Die heruntergeladene private Schlüsseldatei selbst ist nicht verschlüsselt; gehen Sie nicht davon aus, dass zum Öffnen ein Passwort erforderlich ist. Klären Sie vor dem Herunterladen einen kontrollierten Speicherort und den Empfänger. Beschränken Sie den Zugriff auf die Datei und ihre Kopien, übertragen Sie diese auf einem von der Organisation genehmigten sicheren Weg und entsorgen Sie sie bei Nichtbedarf gemäß den Vorgaben.

Ersetzen und löschen

• Namen bearbeiten: Die Bearbeitungsaktion ändert nur den Namen; sie erzeugt keinen Schlüssel und schließt keine Rotation ab. Prüfen Sie die Liste nach dem Speichern.
• Schlüssel ersetzen: Erstellen Sie einen neuen Schlüssel und prüfen Sie die Anwendungskompatibilität. Ändern Sie in einem kontrollierten Vorgang die Anbieterauswahl und das anwendungsseitige Vertrauen und prüfen Sie Anmeldung und Authentifizierungsergebnis. Legen Sie Aufbewahrung und Bereinigung des alten Schlüssels anhand bestehender Prüfanforderungen und Organisationsregeln fest.
• Schlüssel löschen: Stellen Sie zuvor sicher, dass kein Anbieter und keine Anwendung mehr davon abhängt und Migration und Prüfung abgeschlossen sind. Löschen kann Ausstellung oder Prüfung der Authentifizierung beeinträchtigen; automatische Umschaltung oder Wiederherstellung ist nicht vorauszusetzen.

Algorithmuskompatibilität: RSA auf der Seite entspricht RS256, ECDSA entspricht ES256. Anwendungen müssen Signaturalgorithmus und öffentlichen Schlüssel anhand ihrer tatsächlichen Integration prüfen. Die aktuelle Authentifizierungs-Discovery veröffentlicht RS256; allein die ECDSA-Auswahl auf der Seite bedeutet nicht, dass eine Anwendung ES256 über Discovery automatisch akzeptiert. Falls ECDSA erforderlich ist, prüfen Sie tatsächliche Ausstellung und Validierung zuerst mit der Anwendungsverantwortung; klären Sie andernfalls, ob RSA verwendet werden kann.

Bestehende Authentifizierung bei Rotation prüfen: Wird beim Provider ein neuer Schlüssel ausgewählt, wechselt der für Anwendungen veröffentlichte öffentliche Schlüssel. Auch wenn der alte Schlüssel in der Zertifikatsliste verbleibt, darf nicht angenommen werden, dass der Provider ihn gleichzeitig weiter bereitstellt. Anwendungen, die den alten Schlüssel zur Prüfung noch gültiger Authentifizierungsergebnisse benötigen, können betroffen sein. Klären Sie vorab mit der Anwendungsverantwortung die Gültigkeitsdauer bestehender Ergebnisse, Bezug und Cache öffentlicher Schlüssel sowie eine geeignete Übergangslösung. Testen Sie anschließend neue Authentifizierungen und noch gültige alte Ergebnisse getrennt. Der Erhalt des alten Schlüssels oder eine erfolgreiche neue Anmeldung allein belegt keine abgeschlossene Rotation.

Fehlerbehebung

• Erstellung fehlgeschlagen oder Eintrag fehlt: Prüfen Sie Name, Gültigkeitstage, Schlüsseltyp und Rechte, kontrollieren Sie die Liste erneut und beachten Sie Seitenhinweise.
• Schlüssel beim Anbieter nicht auswählbar: Prüfen Sie Verfügbarkeit, Ablauf und Anbieterkonfiguration; öffnen Sie die Konfiguration erneut oder kontaktieren Sie die Administration.
• Schlüssel nach Bearbeitung unverändert: Bearbeiten ändert nur den Namen. Ersetzen erfordert neuen Schlüssel, Anbieteränderung und Anwendungsprüfung.
• Authentifizierung oder Signaturprüfung schlägt fehl: Prüfen Sie Anbieterauswahl, Schlüsselgültigkeit, anwendungsseitiges Vertrauen und Zugriffsberechtigung sowie die konkrete Anbindung.
• Fingerabdrücke unterscheiden sich: Prüfen Sie die tatsächlich übergebene Datei; die Detailansicht ersetzt keine Dateiprüfung.