Was ist ein Dienstleister?

Ein Dienstanbieter (SP) ist im Rahmen von Single Sign-On das System, das einem Identitätsanbieter (IdP) die Authentifizierung eines Benutzers anvertraut und anschließend auf der Grundlage der vom IdP ausgestellten Assertion Zugriff gewährt. Versa Director, Concerto und SSE Gateways fungieren jeweils als SP und werden durch eine eindeutige SP-Entitäts-ID sowie die URL des Assertion-Consumer-Dienstes identifiziert.

Die wichtigsten Erkenntnisse

• Der SP vertraut auf die Bestätigung eines IdP, anstatt die Anmeldedaten selbst zu überprüfen.
• Das von SP initiierte SSO beginnt auf der Anmeldeseite; das vom IdP initiierte SSO beginnt beim IdP.
• Versa Director, Concerto und SSE Gateways werden jeweils als eigenständiger Dienstanbieter (SP) registriert.
• Eine SP-Entitäts-ID und eine ACS-URL identifizieren jede SP-Integration von „ Versa “ eindeutig.
• Sowohl SAML als auch OpenID Connect nutzen eine SP-Rolle, die anhand von vier IdPs getestet wurde.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Dienstleister & Versa · Häufig gestellte Fragen

Warum ist ein Dienstleister wichtig?

Single Sign-On dient dazu, zu verhindern, dass jede Anwendung ihr eigenes Anmeldesystem betreibt. Ohne eine klar definierte SP-Rolle würde jedes Produkt – Director, Concerto, ein Portal – eine eigene Passwortdatenbank, eine eigene Multi-Faktor-Registrierung und einen eigenen Prozess zur Sperrung des Zugriffs eines ausscheidenden Mitarbeiters benötigen. Die SP-Rolle löst dieses Problem, indem sie die Authentifizierungsentscheidung an einen vertrauenswürdigen Identitätsanbieter delegiert, sodass die Anwendung lediglich einer signierten Assertion vertrauen muss und die Anmeldedaten nicht selbst verwalten muss.

Diese Trennung ist zugleich eine Sicherheitsmaßnahme. Durch die Zentralisierung der Authentifizierung beim IdP erfolgen die Durchsetzung der Multi-Faktor-Authentifizierung, die Passwortrichtlinie und der Lebenszyklus der Konten an einem einzigen Ort, anstatt dass diese bei jedem von einer Organisation betriebenen SP dupliziert – und möglicherweise vergessen – werden. Für Administratoren, die sich mit Anmeldungen bei Director, Concerto und dem „ Titan “-Portal herumschlagen, ermöglicht die SP-Rolle, dass sich alle diese Systeme mit einem einzigen IdP-Zugangsdatensatz unter einer einheitlichen Richtlinie öffnen lassen.

Was ist ein Dienstleister?

Technisch gesehen ist der SP die Hälfte des SSO-Handshakes, bei der niemals ein Passwort zum Einsatz kommt. Bei einem vom SP initiierten SAML-Ablauf erstellt der SP eine Authentifizierungsanfrage und leitet den Browser zum IdP weiter; der IdP authentifiziert den Benutzer und sendet eine signierte Assertion an die URL des Assertion Consumer Service (ACS) des SP zurück; der SP überprüft die Signatur und den Adressaten und meldet den Benutzer anschließend an. Bei vom IdP initiierten Abläufen beginnt die Sequenz stattdessen beim IdP, der die Assertion direkt an den SP sendet.

Zwei Identifikatoren machen einen SP adressierbar: die SP-Entitäts-ID (auch als „Audience-URI“ oder „SP-Issuer“ bezeichnet), die den SP innerhalb der Assertion benennt, und die ACS-URL, die dem IdP mitteilt, wohin die Anmeldeantwort gesendet werden soll.

Arten von Dienstleistern

VersaDie SSO-Implementierung von … definiert die SP-Rolle auf zwei Arten, entsprechend den beiden unterstützten Protokollen. Ein SAML-Dienstanbieter tauscht signierte XML-Assertions mit dem IdP aus, der durch eine SP-Entitäts-ID und eine ACS-URL identifiziert wird, und kann einen bestimmten Authentifizierungskontext verlangen – Passwort, Zertifikat oder Multi-Faktor-Authentifizierung. Ein OpenID Connect-Dienstanbieter – in der OIDC-Terminologie üblicherweise als „Relying Party“ bezeichnet, obwohl er auf den Bildschirmen v Versas selbst weiterhin als „Dienstanbieter“ bezeichnet wird – registriert stattdessen eine Client-ID und ein Geheimnis beim IdP und tauscht ein signiertes Token über die Endpunkte „authorize“, „token“, „userinfo“ und „revoke“ aus.

Beide Varianten erfüllen denselben Zweck – dem IdP vertrauen, dessen Antwort validieren, den Benutzer anmelden –, unterscheiden sich jedoch lediglich hinsichtlich des Protokolls, des Formats der Anmeldedaten und der vom SP registrierten Identifikatoren.

Dienstleister & Versa

Versa Director, Concerto und SSE Gateways übernehmen alle die SP-Rolle und wurden mit ADFS, Azure, Okta und Ping Identity getestet. Die Konvention von Versaregistriert die SP-Entitäts-ID als http://versa-networks.com/sp, wobei SAML-Antworten an eine ACS-URL wie beispielsweise https://<director-ip>/versa/sso/loginConsumer, sowie OpenID Connect-Antworten auf eine parallele /versa/sso/openid/loginConsumer Endpunkt. Siehe Single Sign-On für Concerto konfigurieren für die vollständige Anleitung auf Basis von Okta.

SSO kann auf Mandantenebene festgelegt werden: Der Konnektormodus „None“, „Default IdP Connector“ oder „Single IdP Connector“ bestimmt, ob sich System- und Mandantenbenutzer über einen bestimmten SP authentifizieren, und jede Organisation ist an ihren eigenen IdP-Konnektor gebunden. Der Abschnitt „Benutzer verwalten“ befasst sich mit der separaten, auf den Provider-Administrator bezogenen Bedeutung des Begriffs „Service Provider“, die regelt, wer diese Einstellungen konfiguriert.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem vom SP-initiierten und einem vom IdP-initiierten SSO?

Beim SP-initiierten SSO beginnt der Ablauf auf der eigenen Anmeldeseite des SP – durch Klicken auf „Mit SSO anmelden“ in Concerto oder Director –, von wo aus der Nutzer zum IdP weitergeleitet wird. Beim IdP-initiierten SSO startet der Nutzer auf dem Dashboard des IdP und wird direkt zum SP weitergeleitet.

Was ist eine SP-Entitäts-ID?

Die SP-Entitäts-ID ist eine eindeutige URI, die den Dienstanbieter gegenüber dem Identitätsanbieter während der SAML-Föderation identifiziert – „ Versa “ Director und Concerto registrieren sich als http://versa-networks.com/sp. Der IdP nutzt diese zusammen mit der URL des Assertion-Consumer-Dienstes, um Anmeldeantworten weiterzuleiten und zu validieren.

Welche Identitätsanbieter sind mit der Dienstanbieterrolle von Versakompatibel?

VersaDie SSO-Implementierung von [Name] wurde mit ADFS, Azure, Okta und Ping Identity als Identitätsanbieter über SAML oder OpenID Connect getestet. Jeder standardkonforme Identitätsanbieter (IdP), der eines dieser Protokolle unterstützt, kann in der Regel eine Verbundlösung mit Versa Director, Concerto oder einem SSE-Gateway als Dienstanbieter (SP) bilden.

Verwendet OpenID Connect dieselbe Dienstanbieterrolle wie SAML?

Konzeptionell ja – in der Dokumentation unter Versawerden beide Rollen als „Dienstanbieter“ bezeichnet, obwohl sie bei OpenID Connect üblicherweise als „Relying Party“ bezeichnet werden. Anstelle einer SP-Entitäts-ID und einer ACS-URL registriert ein OpenID Connect-SP eine Client-ID, ein Geheimnis und Redirect-URIs beim IdP.

Ist der Begriff „Service Provider“ in der Concerto-Benutzerverwaltung dasselbe wie die Rolle des SSO-Dienstanbieters?

Nein. Concerto verwendet den Begriff „Service Provider“ auch für die Administratorrolle, die Mandanten und Infrastruktur verwaltet (Service-Provider-Administrator, Service-Provider-Ansicht) – ein MSP-Konzept, das nichts mit SAML oder OpenID Connect zu tun hat, wobei „Service Provider“ hier das System bezeichnet, das die Assertion eines IdP nutzt.

Mehr zu Dienstleistern

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Dienstleister informieren, sollten Sie sich diese als Nächstes einmal ansehen.