Was ist ein Identitätsanbieter (IdP)?

Ein Identitätsanbieter (IdP) ist ein externer Dienst – wie beispielsweise Okta, Microsoft ADFS, Azure AD, OneLogin oder Ping Identity –, der Benutzer authentifiziert und signierte Bestätigungen ausstellt, die deren Identität bestätigen. Ein Dienstanbieter, wie beispielsweise „ Versa Director“ oder die Concerto-Anmeldung, vertraut diesen Bestätigungen, um den Zugriff zu gewähren oder zu verweigern, ohne die Anmeldedaten der Benutzer direkt zu verwalten.

Die wichtigsten Erkenntnisse

• IdPs authentifizieren Benutzer und stellen Dienstanbietern signierte Bestätigungen aus.
• SAML und OpenID Connect sind die beiden Standardformate für Assertions.
• „SP-initiiert“ und „IdP-initiiert“ sind die beiden SSO-Anmeldeabläufe.
• Versa Director, Concerto und der Anwendungs-Reverse-Proxy nutzen alle IdP-Assertions.
• Zu den gängigen Identitätsanbietern (IdPs) zählen Okta, Azure AD, ADFS, OneLogin und Ping Identity.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · IdP & Versa · Häufig gestellte Fragen

Warum ist ein IdP wichtig?

Jede Anwendung, mit der ein Benutzer in Berührung kommt – Director, Concerto, ein SaaS-Tool, eine interne Web-App – muss wissen, um wen es sich bei diesem Benutzer handelt. Ohne einen gemeinsamen Identitätsanbieter verwaltet jeder Dienst seinen eigenen Passwortspeicher, und jede Neueinstellung oder jeder Austritt bedeutet, dass die Anmeldedaten in voneinander getrennten Systemen aktualisiert werden müssen – ein Risiko: veraltete Konten, schwache Passwörter, kein zentraler Punkt, um MFA durchzusetzen oder den Zugriff sofort zu widerrufen.

Ein IdP zentralisiert stattdessen die Authentifizierung. Benutzer authentifizieren sich einmal, und der IdP bürgt bei jedem vertrauenden Dienst für sie – ein Dienstanbieter wie Director sieht das Passwort niemals und speichert es auch nicht. Diese Zentralisierung ermöglicht die Durchsetzung von MFA und Gerätezustandsprüfungen an einer einzigen Stelle und macht den IdP zum ersten Kontrollpunkt im Zero-Trust-Modell: Reverse-Proxy- und ZTNA-Gateways stützen sich auf dessen Bestätigung, bevor sie Zugriff gewähren.

Was ist ein IdP?

Ein IdP ist die Partei in einem Authentifizierungsvorgang, die die Anmeldedaten eines Benutzers überprüft und eine signierte Bestätigung ausstellt, in der dessen Identität und häufig auch die zutreffenden Attribute (Rolle, Organisation, Gruppe) bestätigt werden. Die Gegenpartei ist der Dienstanbieter (SP); dieser vertraut der Signatur und verarbeitet das Passwort niemals direkt.

Zwei Standards bilden die Grundlage für diesen Austausch. SAML ist ein XML-basiertes Format, bei dem der IdP und der SP vorab Metadaten austauschen und der IdP nach der Authentifizierung eine Assertion zurückgibt. OpenID Connect, das auf OAuth 2.0 aufbaut, verwendet ein JSON-Web-Token und eignet sich für API-first-Integrationen. Beide können entweder SP-initiiert (der Nutzer beginnt in der Anwendung und wird zum IdP weitergeleitet) oder IdP-initiiert (bereits am Portal des IdP authentifiziert) ablaufen.

Das Signaturzertifikat des IdP und die Uhrensynchronisation mit jedem verbundenen SP gewährleisten die Gültigkeit der Kette.

Arten von IdPs

IdPs lassen sich in mehrere Kategorien einteilen. Cloud-gehostete IdPs – Okta, Microsoft Entra ID (Azure AD), OneLogin, Ping Identity – werden als verwaltetes SaaS betrieben; ein Unternehmen konfiguriert die Benutzer über die Konsole des Anbieters, und der IdP kümmert sich um die Verfügbarkeit und die Zertifikatsrotation. Lokale IdPs wie die Active Directory Federation Services (ADFS) werden innerhalb der eigenen Infrastruktur des Unternehmens betrieben, wobei diese Bequemlichkeit gegen die Kontrolle über den Datenspeicherort und die Verzeichnisintegration eingetauscht wird.

Ein zweiter Aspekt ist die Protokollunterstützung: Einige IdPs unterstützen ausschließlich SAML, andere ausschließlich OpenID Connect, und die meisten IdPs für Unternehmen – darunter alle fünf, die mit Director und Concerto getestet wurden – unterstützen beide Protokolle. Ein drittes Muster ist der Broker-IdP, der eine Föderation mit vorgelagerten IdPs bildet; der Anwendungs-Reverse-Proxy von Versanutzt dieses Muster und ist zwischen einem SaaS-Anbieter und dem eigentlichen IdP angesiedelt, sodass Richtlinien dazwischen durchgesetzt werden können.

IdP & Versa

Sowohl Director als auch Concerto führen die Authentifizierung von Administratoren über einen externen Identitätsanbieter (IdP) durch – entweder anstelle von oder zusätzlich zu lokalen Konten. Die Konfiguration von Single Sign-On in Director oder Single Sign-On in Concerto umfasst das Hochladen der Metadaten-XML-Datei des IdP, die Eingabe der SP-Entitäts-ID und der ACS-URL sowie die Zuordnung von SAML- oder OpenID Connect-Attributen zu Rollen. Beide unterstützen sowohl SP- als auch IdP-initiierte Abläufe, die mit Okta, ADFS, Azure AD, OneLogin und Ping Identity getestet wurden.

Das Modell erstreckt sich auch auf Endbenutzer. Der Anwendungs-Reverse-Proxy ermöglicht es Versa , als IdP-Broker vor SaaS-Anwendungen (Box, Dropbox, Salesforce, Office) sowie privaten Web-, SSH- oder RDP-Anwendungen zu fungieren: Der eigentliche IdP authentifiziert den Benutzer, übermittelt Versa eine SAML-Assertion, und erst dann gewährt der Reverse-Proxy Zugriff – wobei ZTNA, SWG, CASB und DLP im selben Pfad durchgesetzt werden.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem IdP und einem Dienstanbieter (SP)?

Der IdP authentifiziert den Benutzer und stellt eine signierte Bestätigung aus; der SP ist die Anwendung, auf die der Benutzer zugreifen möchte, und vertraut dieser Bestätigung, anstatt das Passwort selbst zu verwalten. Director und Concerto fungieren als Dienstanbieter, wenn sie für SSO konfiguriert sind.

Was ist der Unterschied zwischen SAML und OpenID Connect?

SAML ist ein älterer, XML-basierter Standard für den Austausch signierter Assertions zwischen einem IdP und einem SP, der häufig im Bereich des SSO in Unternehmen zum Einsatz kommt. OpenID Connect, das auf OAuth 2.0 aufbaut, verwendet stattdessen JSON-Web-Tokens und eignet sich besser für API-first-Ansätze und moderne Web-Integrationen. Director und Concerto unterstützen beide Standards.

Was ist der Unterschied zwischen einem vom SP-initiierten und einem vom IdP-initiierten SSO?

Das SP-initiierte SSO beginnt, wenn ein Benutzer auf einen Anmeldelink in der Anwendung klickt und zur Authentifizierung an den IdP weitergeleitet wird. Das IdP-initiierte SSO beginnt auf dem eigenen Portal des IdP, wobei ein bereits authentifizierter Benutzer direkt in die Anwendung weitergeleitet wird – ein separater Klick zur Anmeldung ist nicht erforderlich.

Kann eine Organisation mehr als einen IdP nutzen?

Ja. Director unterstützt mehrere SSO-Konnektoren, und der Anwendungs-Reverse-Proxy kann als Frontend für mehrere SaaS- und interne Anwendungen dienen, wobei jede auf einen anderen Identitätsanbieter oder ein anderes Authentifizierungsprofil verweist – so kann ein Unternehmen Cloud- und lokale Identitätsanbieter kombinieren, wo immer dies sinnvoll ist.

Ersetzt ein IdP lokale Benutzerkonten?

Nicht unbedingt. Director und Concerto unterstützen sowohl die IdP-basierte als auch die lokale Authentifizierung parallel, sodass Administratoren ein lokales Notfallzugangskonto beibehalten können, während sich die meisten Benutzer über SSO authentifizieren – als Ausweichlösung für den Fall, dass der IdP selbst einmal nicht erreichbar ist, nicht reagiert oder falsch konfiguriert ist.

Mehr zum Thema IdP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über IdP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.