Ein gehosteter OIDC-Provider für jeden Client Ihres Produkts
Ein OIDC-Provider, also ein OpenID-Connect-Provider, ist der Server, zu dem Ihre Anwendungen Benutzer zur Anmeldung schicken und der signierte Tokens zurückgibt, die sagen, wer der Benutzer ist. Die Skycloak Platform gibt jedem Ihrer Mandanten einen eigenen OIDC-Provider, den wir für Sie betreiben, damit Web-App, Mobile-App und APIs derselben Anmeldung vertrauen.
Was ein OIDC-Provider Ihren Anwendungen bietet
OpenID Connect ist eine dünne Identitätsschicht über OAuth 2.0. Ihre Anwendung leitet den Benutzer zum Provider weiter, er meldet sich dort an, und die Anwendung erhält ein ID Token, das den Benutzer beschreibt, und ein Access Token, das Ihre APIs als Zugriffsnachweis akzeptieren. Beide sind JSON Web Tokens, signiert mit Schlüsseln, die der Provider veröffentlicht, sodass jeder Dienst sie ohne Rückfrage prüfen kann.
Jeder Mandant der Plattform hat eine eigene Issuer-Adresse und ein eigenes Discovery-Dokument, die bekannte Datei, die einer Clientbibliothek sagt, wo die Endpunkte für Autorisierung, Tokens und Schlüssel liegen. Einen Standard-Client auf diesen Issuer zu richten, ist meist die ganze Konfiguration.
Die Flows, auf denen die Plattform aufbaut
Web- und Mobile-Anwendungen nutzen den Authorization Code Flow mit PKCE, die heutige Empfehlung für jede Art von Client, auch für solche, die kein Geheimnis bewahren können. Die Plattform folgt OAuth 2.1, das die älteren Implicit- und Password-Flows streicht, die nicht mehr als sicher gelten.
Pushed Authorization Requests, an den Absender gebundene Tokens mit DPoP und Client-Authentifizierung per Private Key JWT stehen für die erste Version im Plan, für Teams, deren Kunden diesen stärkeren Schutz verlangen. Die Plattform rotiert die Signaturschlüssel und veröffentlicht sie, bevor sie sie nutzt, sodass Ihre Dienste einen neuen Schlüssel ohne Deployment übernehmen.
Warum als Dienst betreiben
Ein OIDC-Provider ist klein im Code, aber groß in der Verantwortung: Gelangen seine Signaturschlüssel nach außen oder fällt er aus, meldet sich niemand mehr irgendwo an. Wer ihn selbst betreibt, verantwortet Schlüsselablage, Rotation, die Datenbank der Benutzer und Sitzungen und das Patchen jeder Abhängigkeit, rund um die Uhr.
Auf der Plattform ist diese Arbeit Sache von Skycloak. Ihr Mandant läuft in den USA oder in der Europäischen Union, von anderen Mandanten durch die Datenbank selbst getrennt, und Ihr Team arbeitet mit dem Standardprotokoll statt mit dem Server dahinter.
Häufige Fragen
Kann ich meine bisherige Clientbibliothek behalten?
Ja. Jede zertifizierte oder verbreitete OpenID-Connect-Clientbibliothek funktioniert, weil die Plattform für jeden Mandanten ein Standard-Discovery-Dokument veröffentlicht.
Bekommt jede meiner Umgebungen einen eigenen Issuer?
Ja. Jede Umgebung ist ein Mandant mit eigenem Issuer, eigenen Benutzern und Schlüsseln, sodass Tokens Ihres Staging-Mandanten in Produktion nie akzeptiert werden.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.