Den SAML-Identity-Provider jedes Kunden anbinden, ohne SAML-Code zu schreiben
Kauft ein größeres Unternehmen Ihr Produkt, verlangt seine IT Single Sign-on über den eigenen SAML-Identity-Provider, etwa Entra ID, Okta oder Google Workspace. Die Skycloak Platform ist dafür ausgelegt, diese SAML-Verbindung für Sie zu übernehmen, eine pro Kunde, und Ihrer Anwendung dieselben OpenID-Connect-Tokens zu geben, die sie schon für alle anderen nutzt.
Was ein SAML-Identity-Provider ist und warum Kunden darauf bestehen
SAML ist ein älterer, XML-basierter Standard für Single Sign-on. Der SAML-Identity-Provider eines Unternehmens ist das Verzeichnis, in dem sich seine Mitarbeitenden jeden Morgen ohnehin anmelden, und er schickt jeder Anwendung eine signierte Assertion, die sagt, wer die Person ist. Sicherheitsteams schätzen das, weil sie den Zugang zu allen Anwendungen an einer Stelle gewähren und entziehen.
Für ein Softwareunternehmen heißt das: Jeder Großkunde kommt mit eigenem Identity Provider, eigenen Metadaten und einem eigenen Zertifikat, das nach eigenem Zeitplan abläuft. Sie einzeln im eigenen Code zu unterstützen, wird zu einer langen Reihe von Problemen mit XML-Parsing, Uhrzeitabweichungen und Zertifikatswechseln.
Wie die Plattform zwischen ihnen und Ihrer App sitzt
Auf der Plattform ist jeder Geschäftskunde eine Organisation in Ihrem Mandanten, und Enterprise SSO über SAML steht im Plan, umgesetzt mit Ory Polis, einem Open-Source-SAML-Dienst. Die IT des Kunden richtet eine SAML-Verbindung für ihre Organisation ein, und danach melden sich ihre Mitarbeitenden über den eigenen Identity Provider an.
Ihre Anwendung ändert sich nicht. Sie leitet weiter per OpenID Connect zu Ihrem Mandanten und erhält weiter ein ID Token und ein Access Token, nun für einen Benutzer, der sich über das Verzeichnis seines Unternehmens angemeldet hat. Eine Integration in Ihrem Code deckt die SAML-Einrichtung jedes Kunden ab.
Provisionierung und Rollen neben dem SSO
Single Sign-on klärt, wer jemand ist, aber Kunden wollen auch, dass Personen automatisch angelegt und entfernt werden. Eingehendes SCIM steht ebenfalls im Plan: Das Verzeichnis des Kunden schickt Benutzer und Gruppen an die Plattform, und jede Organisation ordnet ihre Gruppen ihren eigenen Rollen in Ihrem Produkt zu.
Entfernt die IT jemanden aus einer zugeordneten Gruppe, verliert die Person die Rolle nur in dieser Organisation. Wir nennen eine Funktion erst verfügbar, wenn sie ausgeliefert ist; in einer Demo sehen Sie, was Sie heute nutzen können.
Häufige Fragen
Muss meine Anwendung SAML verstehen?
Nein. Die Plattform ist dafür gebaut, die SAML-Seite mit dem Identity Provider jedes Kunden zu übernehmen und Ihrer Anwendung Standard-OpenID-Connect-Tokens zu geben.
Mit welchen SAML-Identity-Providern wird sie sich verbinden?
Mit allen, die dem Standard SAML 2.0 folgen, darunter Entra ID, Okta, Google Workspace, Ping und ADFS.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.