Föderierte Identität
Federated Identity bzw. Federated Identity Management (FIM) ermöglicht es Benutzern, mit denselben vertrauenswürdigen Anmeldedaten auf Anwendungen und Cloud-Dienste verschiedener Unternehmen zuzugreifen. Da Unternehmen zunehmend mit Partnern und Anbietern vernetzt sind, darf die Identitätsverwaltung nicht länger auf ein einzelnes Unternehmen beschränkt bleiben. Diese Entwicklung hin zu unternehmensübergreifenden Strukturen und Cloud-Ökosystemen macht das Konzept heute so wichtig.
Wichtigste Erkenntnisse.
Eine föderierte Identität ermöglicht es Nutzern, mit einem einzigen vertrauenswürdigen Satz von Anmeldedaten auf Ressourcen mehrerer Organisationen zuzugreifen.
Das ist von Bedeutung, weil die moderne Arbeitswelt längst über die eigenen Unternehmensgrenzen hinausgeht und auch Partner, Anbieter und Cloud-Dienste einbezieht.
Zu den wichtigsten Vorteilen zählen weniger Passwörter, ein reibungsloserer Zugriff und eine schnellere Benutzerbereitstellung über verschiedene Domänen hinweg.
Wird die Sicherheit von Token, Sitzungen und Identitätsanbietern vernachlässigt, kann eine einzige Schwachstelle zahlreiche verbundene Anwendungen gefährden.
Was ist eine föderierte Identität?
Föderierte Identität, auch Identitätsföderation genannt, ist eine Vereinbarung, bei der mehrere Organisationen sich darauf einigen, einer gemeinsam genutzten, verifizierten digitalen Identität zu vertrauen, sodass ein an einem Ort authentifizierter Benutzer auf Ressourcen an einem anderen Ort zugreifen kann. Im Kern ist die föderierte Identität eine Vertrauensbeziehung zwischen einem Identitätsanbieter (IdP) und den Diensten, die auf ihn angewiesen sind. Anstatt für jeden Dienst ein neues Konto zu erstellen, verlässt sich der Benutzer auf eine einzige vertrauenswürdige Quelle, die für seine Identität bürgt.
Der IdP verifiziert den Benutzer, und jeder verbundene Dienst, der als Dienstanbieter (SP) bezeichnet wird, akzeptiert diese Verifizierung, anstatt den Benutzer erneut aufzufordern, seine Identität nachzuweisen. Dieses Vertrauen wird im Voraus durch vereinbarte Standards und den sicheren Austausch von Identitätsdaten hergestellt.
Sobald dieses Vertrauen besteht, erfolgt die Anmeldung nahtlos über alle Organisationen innerhalb der Föderation hinweg.
Wie funktioniert die föderierte Identität?
Bei Federated Identity bestätigt ein Identitätsanbieter die Identität eines Benutzers, sodass ein anderer Dienstanbieter den Zugriff gewähren kann, ohne dass eine erneute Anmeldung erforderlich ist. Die folgenden Schritte zeigen einen typischen Ablauf der föderierten Authentifizierung, der vom Identitätsanbieter initiiert wird.
Der Benutzer klickt auf eine Drittanbieter-App, die sich außerhalb seiner eigenen Organisation befindet.
Bei der ersten Anmeldung fordert der Identitätsanbieter (IdP) die Anmeldedaten des Benutzers an.
Der IdP überprüft diese Anmeldeinformationen anhand seines Verzeichnisses.
Der IdP sendet eine verschlüsselte Assertion über den Benutzer an den Dienstanbieter (SP).
Der SP akzeptiert die Assertion und leitet den Benutzer zur App weiter.
Anschließend kann der Benutzer auf alle Anwendungen innerhalb des Vertrauensverbunds zugreifen, ohne sich erneut authentifizieren zu müssen.
Die wichtigsten Komponenten der Identity Federation
Identity Federation basiert auf einigen zentralen Komponenten, die zusammenwirken, um Vertrauen zwischen verschiedenen Unternehmen herzustellen. Jede der folgenden Komponenten übernimmt dabei eine bestimmte Funktion.
Identitätsanbieter (IdP): authentifiziert den Benutzer und stellt eine vertrauenswürdige Assertion oder ein Token über die Identität des Benutzers aus.
Dienstanbieter (SP): die Anwendung oder der Dienst (manchmal auch als vertrauende Partei bezeichnet), die bzw. der die Assertion verarbeitet und Zugriff gewährt.
Vertrauensbeziehung (Federation Agreement): Eine im Vorfeld etablierte Vertrauensbeziehung und der Austausch von Metadaten, die es dem Dienstanbieter (SP) ermöglichen, dem Identitätsanbieter (IdP) zu vertrauen.
Federation-Protokolle und -Standards: Gemeinsame Standards wie SAML, OAuth 2.0 und OpenID Connect, die eine sichere Übertragung von Identitätsdaten zwischen verschiedenen Domänen ermöglichen.
Die föderierte Identität selbst: der verifizierte Benutzer (oder Workload), dessen Identität über die vertrauenswürdigen Domänen hinweg geteilt wird.
Protokolle hinter föderierter Identität
SAML: Ein XML-basierter Standard für den Austausch von Authentifizierungs- und Autorisierungsinformationen zwischen einem Identitätsanbieter (IdP) und einem Dienstanbieter (SP).
OAuth 2.0: ein Autorisierungsframework, das Apps begrenzten Zugriff auf Ressourcen gewährt, ohne Passwörter weiterzugeben.
OpenID Connect (OIDC): Eine auf OAuth 2.0 aufbauende Identitätsschicht, die die Identität des Benutzers überprüft und Profilinformationen bereitstellt.
Föderierte Identität vs. Single Sign-On (SSO)
Identity Federation und Single Sign-on (SSO) sind eng miteinander verbunden, unterscheiden sich jedoch in ihrem Anwendungsbereich. Beim Vergleich von Federated Identity und SSO lässt sich der Unterschied am einfachsten daran erkennen, für welche Anwendungen der Zugriff mit nur einem Klick möglich ist.
Single Sign-on (SSO) ermöglicht den Zugriff auf Anwendungen innerhalb eines Unternehmens mit nur einem Klick.
Federated Identity Management (FIM) ermöglicht den Zugriff auf Anwendungen verschiedener Unternehmen mit nur einem Klick.
Betrachten Sie die Acme Bank als Beispiel. Mit SSO können sich die Kunden der Bank einmal anmelden, Kontostände prüfen und Geld über die bankeigenen Apps transferieren.
Mit FIM können dieselben Kunden außerdem Schecks bestellen, Zelle nutzen und über Partnerdienste einen Kredit beantragen, ohne sich jedes Mal erneut authentifizieren zu müssen. Das Vertrauen erstreckt sich über die Acme Bank hinaus auf die anderen Organisationen in der Föderation.
Vorteile föderierter Identität
Weniger Passwörter und eine einfachere Anmeldung für alle Benutzer.
Schnellere Einbindung von Partnern und Anbietern über Unternehmensgrenzen hinweg.
Geringerer Aufwand für IT und Helpdesk durch weniger Passwortrücksetzungen und eine reduzierte Anzahl an Benutzerkonten.
Einheitliche Sicherheitsrichtlinie, die über mehrere Domänen hinweg angewendet wird.
Skalierbarkeit in Cloud- und Hybridumgebungen bei wachsenden Ökosystemen.
Sicherheitsaspekte & Risiken
Identity Federation schafft eine zentrale Vertrauensbasis und bringt damit sowohl Effizienzvorteile als auch eine größere Verantwortung mit sich. Da so viel vom Identitätsanbieter abhängt, verdient dessen Schutz besondere Aufmerksamkeit.
Der Identitätsanbieter (IdP) wird damit zu einer zentralen, besonders schützenswerten Vertrauensinstanz für zahlreiche verbundene Dienste.
Phishing und der Diebstahl von Anmeldedaten bleiben erhebliche Risiken, da Angreifer mit gestohlenen Zugangsdaten auf sämtliche Dienste innerhalb des Vertrauensverbunds zugreifen können.
Die Token- und Sitzungssicherheit muss aktiv verwaltet werden, um Hijacking oder Replay zu verhindern.
Starke Authentifizierung, wie Multi-Faktor-Authentifizierung (MFA), verringert das Risiko kompromittierter Zugangsdaten.
Gängige Anwendungsfälle und Beispiele
Partner- und B2B-Zugang: Lieferanten, Wiederverkäufer und Distributoren greifen mit ihren eigenen Anmeldedaten auf gemeinsame Systeme zu.
Cloud-SaaS-Zugriff: Mitarbeitende melden sich mit einer einzigen vertrauenswürdigen Identität bei Anwendungen wie Salesforce, Workday und Zoom an.
Consumer- und Social-Logins: Personen nutzen ein bestehendes Konto, um auf neue Dienste zuzugreifen, ohne ein weiteres Passwort zu erstellen.
Workload Identity Federation: Nicht-menschliche Identitäten wie Anwendungen, Dienste und Cloud-Ressourcen authentifizieren sich cloud- und domänenübergreifend mithilfe kurzlebiger Token anstelle gespeicherter Zugangsdaten.
SSO & föderierte Identität verstehen
Vergleichen Sie Single Sign-on und Federated Identity und erfahren Sie mehr
über die jeweiligen Vorteile und Anwendungsfälle.
Häufig gestellte Fragen
Föderierte Identität ist eine Vereinbarung, die es einem Benutzer ermöglicht, mit einer einzigen vertrauenswürdigen, verifizierten Identität auf Ressourcen mehrerer Organisationen zuzugreifen. Ein Identitätsanbieter authentifiziert den Benutzer, und verbundene Dienstanbieter akzeptieren diese Verifizierung. Dadurch entfällt die Notwendigkeit eines separaten Kontos bei jedem Dienst.
Nein, Identity Federation und Single Sign-on sind nicht dasselbe, hängen jedoch eng miteinander zusammen. SSO ermöglicht den Zugriff auf Anwendungen innerhalb eines Unternehmens mit nur einem Klick, während Identity Federation diesen Zugriff auf Anwendungen verschiedener Unternehmen ausweitet. Identity Federation ermöglicht es, Vertrauensbeziehungen über Unternehmensgrenzen hinweg aufzubauen.
Bei Federated Identity kommen häufig SAML, OAuth 2.0 und OpenID Connect (OIDC) zum Einsatz. SAML dient dem Austausch von Authentifizierungsinformationen, OAuth 2.0 ermöglicht die delegierte Autorisierung und OIDC ergänzt OAuth 2.0 um eine Identitätsschicht. Mithilfe dieser Standards können Identitätsanbieter und Dienstanbieter sicher miteinander kommunizieren.
Eine föderierte Identität kann sehr sicher sein, wenn sie mit starken Kontrollen implementiert wird. Da der Identitätsanbieter zu einem zentralen Vertrauenspunkt wird, sind Schutzmaßnahmen wie Multi-Faktor-Authentifizierung, Token-Sicherheit und Sitzungsverwaltung unerlässlich. Eine gut verwaltete Föderation verbessert oft die Sicherheit, indem sie die Wiederverwendung von Passwörtern und den Kontenwildwuchs reduziert.
Bei Identity Federation werden Vertrauensbeziehungen zwischen verschiedenen Domänen aufgebaut, sodass eine einmal verifizierte Identität domänenübergreifend genutzt werden kann. Ein Identitätsanbieter bestätigt die Identität des Benutzers, und die jeweiligen Dienstanbieter erkennen diese Bestätigung an. So können Benutzer auf Anwendungen verschiedener Unternehmen zugreifen, ohne sich bei jedem Unternehmen erneut anmelden zu müssen.
Zu den zentralen Komponenten von Federated Identity zählen ein Identitätsanbieter, ein oder mehrere Dienstanbieter, eine Vertrauensbeziehung zwischen diesen sowie Federation-Protokolle wie SAML, OAuth 2.0 und OpenID Connect. Der Identitätsanbieter überprüft die Identität des Benutzers, und die jeweiligen Dienstanbieter gewähren auf Grundlage dieser Überprüfung den Zugriff. Die Vertrauensbeziehung und die gemeinsam genutzten Protokolle sorgen dafür, dass Identitätsdaten sicher zwischen verschiedenen Domänen übertragen werden.
Auf einen Identitätsanbieter kann man sich verlassen, wenn er ausreichend abgesichert ist und überwacht wird. Multi-Faktor-Authentifizierung, Verschlüsselung von Identitätsdaten und kontinuierliche Überwachung verringern das Risiko einer Kompromittierung. Da zahlreiche Dienste vom Identitätsanbieter abhängig sind, muss dieser dauerhaft durch umfassende Sicherheitsmaßnahmen geschützt werden.
Ressourcen zu diesem Thema:
Starten Sie jetzt
Kontaktieren Sie uns
Erfahren Sie, wie Ping Ihnen helfen kann, sichere Erlebnisse für Mitarbeiter, Partner und Kunden in einer sich schnell wandelnden digitalen Welt zu bieten.