Wie funktioniert das zentralisierte Identitätsmanagement

Da das zentralisierte Identitätsmanagement über alle Anwendungen hinweg vereinheitlicht ist, muss der Benutzer nur auf eine Konsole zugreifen, um eine Vielzahl von Diensten und Infrastrukturen zu aktivieren. Benutzer können auf die benötigten Tools zugreifen, ohne sich bei mehreren Konten anmelden zu müssen, da eine Vertrauensbeziehung zwischen dem Benutzer, dem Unternehmen und den Partnerseiten besteht. Dies reduziert Frustration, Reibung und Passwortmüdigkeit, während es gleichzeitig die Datensicherheit erhöht.

Im Allgemeinen gibt es zwei Bereiche des zentralisierten Identitätsmanagements: Single Sign-On (SSO) und föderiertes Identitätsmanagement (FIM).  

Vor dem Single Sign-On benötigten die Benutzer für jeden Dienst, den sie nutzen wollten, ein separates Konto. Jeder Dienst musste seinen eigenen Satz an Benutzern, Authentifizierungsdaten und Authentifizierungsrichtlinien verwalten. Die Synchronisierung all dieser Benutzerverzeichnisse stellte eine kostspielige und fehleranfällige Herausforderung für das Management dar. Single Sign-On wurde zur Antwort auf die Vereinfachung der Kontoerstellungs-, Anmelde- und Verwaltungsprozesse, indem es Benutzern den Zugriff auf mehrere Anwendungen oder Dienste mit einem einzigen Satz von Anmeldeinformationen ermöglichte. 

SSO ist ideal, wenn Sie auf verschiedene Dienste innerhalb einer einzigen Organisation zugreifen müssen, selbst wenn diese auf unterschiedliche Systeme und Anwendungen verteilt sind. Es zentralisiert die Verantwortung für die Authentifizierung aus jedem Dienst heraus, reduziert die Komplexität des Dienstes, erhöht die Sicherheit und vereinfacht die Verwaltung von Authentifizierungsrichtlinien und Benutzerdaten.

Wählen Sie SSO für:

1. Einfacher Zugang: Verringert die Kontomüdigkeit, da sich die Benutzer nur ein Satz Anmeldedaten merken müssen

2. Verbesserte Benutzererfahrungen: Spart Zeit und erhöht die Benutzerzufriedenheit, indem wiederholte Anmeldeaufforderungen entfallen

3. Reduzierter IT-Arbeitsaufwand: Verringert die Belastung des IT-Supports bei Passwortrücksetzungen und Kontosperrungen

4. Reduzierte Angriffsfläche: Weniger Orte, an denen Benutzerpasswörter gespeichert werden, verringern die Anzahl der Systeme, die im Falle eines Angriffs zu kompromittierten Kontodaten führen könnten

Ideale SSO-Anwendungsfälle:

• Bekannte und/oder registrierte Benutzer

• Zugriff auf mehrere Dienste innerhalb einer einzelnen Organisation

Einschränkungen von SSO:

• SSO übermittelt keine Informationen über den Benutzer an die Dienste, auf die zugegriffen wird, außer dass der Benutzer angemeldet ist und eine Kennung, mit der auf ihn Bezug genommen werden kann – in der Regel ein Benutzername.

• SSO ermöglicht nur den Zugriff auf Systeme, die von Ihrer Organisation kontrolliert und innerhalb ihrer Domäne(n) bereitgestellt werden. Ein föderiertes Identitätsmanagement ist erforderlich, um von Ressourcen zu profitieren, die in Diensten anderer Unternehmen gespeichert sind.

Während SSO ideal für den Zugriff auf Dienste innerhalb einer Organisation ist, erweitert die Föderation ihre Vorteile über Organisationsgrenzen hinweg und ermöglicht die gemeinsame Nutzung von SSO und Autorisierungsinformationen über ein vertrauenswürdiges Netzwerk von Domänen. 

Föderiertes Identitätsmanagement (FIM) ermöglicht es einem von einer Organisation authentifizierten Benutzer, mit seiner Identität auf Dienste zuzugreifen, die von einer anderen Organisation betrieben werden. Darüber hinaus übermittelt FIM weitaus anspruchsvollere Informationen über einen angemeldeten Benutzer, einschließlich der Art und Weise, wie sich der Benutzer authentifiziert hat, Profilattribute und Berechtigungen. FIM arbeitet über Standards, um sicherzustellen, dass Dienste, die Benutzer authentifizieren und ihre Daten und Berechtigungen übertragen (der „Identitätsanbieter“ oder „IdP“) und Dienste, die auf diese Daten angewiesen sind (die „vertrauende Partei“), einander verstehen können. 

Wie SSO reduziert FIM die Anzahl der registrierten Konten, die eine Person verwalten muss, und die Anzahl der Authentifizierungsdaten, die sie aufbewahren muss. Solange sowohl der Benutzer als auch die vertrauende Partei einem bestimmten Anbieter vertrauen, kann ein einziges Konto verwendet werden, um auf eine Vielzahl von Diensten zuzugreifen, die von verschiedenen Organisationen betrieben werden.

Ein Nachteil von FIM besteht darin, dass es auf diesen Anbieter als zentrale Figur in der Authentifizierung angewiesen ist. Da der Anbieter Informationen über den Benutzer weitergeben muss, muss ein Benutzer diesem Anbieter zunächst eine erhebliche Menge an Informationen über sich selbst zur Verfügung stellen. Darüber hinaus wird der Anbieter jedes Mal, wenn seine Daten mit einer vertrauenden Partei geteilt werden, über diese Interaktion informiert. 

Wählen Sie FIM für Folgendes:

1. Domänenübergreifende Authentifizierung: Ermöglicht den nahtlosen Zugriff auf Ressourcen über verschiedene Domänen oder Organisationen hinweg

2. Unabhängige Autonomie: Jede Entität behält die Kontrolle über ihre eigenen Richtlinien zum Identitätsmanagement, während sie an einem gemeinsamen Authentifizierungssystem teilnimmt

3. Verbesserte Zusammenarbeit: Erleichtert die Zusammenarbeit und das Teilen von Ressourcen zwischen verschiedenen Organisationen auf sichere und kontrollierte Weise

Ideale FIM-Anwendungsfälle:

• Wenn ein entfernter oder fremder Identitätsanbieter verwendet wird, um die Verantwortung für Authentifizierung- und Identitätsverwaltungsprozesse auszulagern

• Sie gestatten den Zugriff auf Daten und Vorgänge in Ihren Diensten, die von einem Benutzer gesteuert werden, indem Sie Remote-Clients die Berechtigung erteilen, diese im Namen des Benutzers zu inspizieren oder auszuführen

• Sie unterstützen verschiedene Anbieter für Fernzugriffsanmeldungen, bei denen Benutzer möglicherweise bereits Konten haben, wie z. B. soziale Netzwerke

• Um Informationen über die Identität eines Benutzers aus einer vertrauenswürdigen Quelle zu sammeln, die innerhalb des Angebots Ihres Dienstes verwendet werden, um eine einheitliche Ansicht der Benutzeridentität zu erstellen, die von beiden geteilt wird

Einschränkungen von FIM:

• Erfordert Backend-Integrationen zwischen Organisationen, die umständlich zu organisieren und teuer zu warten sein können

• Bedrohungsakteure können Benutzeranmeldeinformationen durch Man-in-the-Middle-Angriffe oder Sitzungshijacking kompromittieren

• Die Benutzererfahrung ist oft störend, da die Benutzer zwischen den Diensten wechseln müssen, um sich anzumelden, und ihnen Listen von „Dingen, die bald geteilt werden“ präsentiert werden, die für den Einzelnen schwer zu verarbeiten sein können

• Standards wurden mit Blick auf die Interaktion mit Webanwendungen entwickelt und können zu einem mobilen Erlebnis führen, das sich auf die Darstellung von Webansichten verlässt, anstatt den Benutzer in einer nativen App zu halten

In Kombination mit Orchestrierung ermöglichen sowohl SSO als auch FIM Authentifizierungs- und Autorisierungsfunktionen. Um Identitäten und Geschäftsressourcen so agil und sicher wie möglich zu halten, ist es außerdem wichtig, ein Zero-Trust-Sicherheitsmodell zu verstehen und zu befolgen sowie Identitätsstandards und -protokolle zu nutzen.