Mehrere Marken konfigurieren

Durch die Verwendung mehrerer Marken können Sie von einem einzigen Mandanten aus verschiedene, markenspezifische Authentifizierungserlebnisse bereitstellen. Jede Marke kann ihr eigenes Design, ihre eigenen Bezeichnungen, Domains, Endpunkte und Markenpräferenzen haben, während gleichzeitig dieselben Benutzer, Anwendungen, Authentifizierungsrichtlinien und Sicherheitseinstellungen gemeinsam genutzt werden.

Dies ermöglicht es Unternehmen, unterschiedliche Authentifizierungserlebnisse für verschiedene Geschäftsbereiche, Tochtergesellschaften, Kunden oder Partnerorganisationen bereitzustellen, ohne separate Mandanten einsetzen zu müssen.

Was ist eine Marke?

Eine Marke individualisiert das Erscheinungsbild der Seiten, mit denen Ihre Benutzer interagieren, einschließlich der gehosteten Anmeldeseite, Fehlerseiten und des Endbenutzer-Dashboards. Eine Marke fungiert als Präsentationsschicht über Ihrem Mandanten und ändert weder das Authentifizierungsverhalten noch die Mandantenkonfiguration.

Jeder Mandant verfügt über eine Standardmarke . Sie können deren Erscheinungsbild anpassen, indem Sie Logos, Favicons, Farben, Beschriftungen und weitere Branding-Einstellungen konfigurieren. Ausführliche Anweisungen zur Konfiguration der Standardmarke finden Sie im Leitfaden „Branding und Anpassung“.

Das Branding ändert lediglich die Benutzererfahrung. Ihre Benutzer, Anwendungen, Authentifizierungsmethoden und Zugriffsrichtlinien bleiben innerhalb des Mandanten markenübergreifend erhalten.

Was versteht man unter markenübergreifender Individualisierung?

Die Multi-Brand-Anpassung ermöglicht es einem einzelnen Mandanten, mehrere, unabhängig voneinander gestaltete Nutzererlebnisse über verschiedene Domains hinweg bereitzustellen. Anstatt für jede Marke einen separaten Mandanten zu erstellen – die herkömmliche Vorgehensweise bei Multi-Tenant-Branding –, verwalten Sie alle Marken über einen einzigen Mandanten, der einen gemeinsamen Benutzer-Store, einen gemeinsamen Satz von Anwendungen und einen gemeinsamen Richtliniensatz nutzt.

Jede Marke ist an eine Domain gebunden. Bei Eingang einer Anfrage ordnet miniOrange die Domain einem Mandanten und einer Marke zu und rendert die Seiten mit den Assets und dem benutzerdefinierten Code dieser Marke.

Marken und Domains

Jede von Ihnen kreierte Marke wird für sich allein präsentiert. benutzerdefinierten Domain — Ihr eigener DNS-Name (zum Beispiel, login.org.com) verwies auf miniOrange. Benutzerdefinierte Marken werden auf benutzerdefinierten Domains bereitgestellt, wie in beschrieben. Richten Sie eine benutzerdefinierte Domäne ein.

Die Standardmarke bildet die Ausnahme: Sie wird auf der Xecurify-Subdomain Ihrer Organisation bereitgestellt.

Jede benutzerdefinierte Domain ist genau einer Marke zugeordnet.

Wie Markenauflösung funktioniert

Die Markenauflösung wird ausschließlich vom Host der Anfrage gesteuert. Eine Anfrage, die über die benutzerdefinierte Domain einer Marke eingeht, wird mit dem Design dieser Marke bedient; eine Anfrage über die Xecurify-Subdomain Ihrer Organisation wird mit der Standardmarke bedient.

Da die Auflösungsschlüssel vom Host stammen, wird beim gleichen Authentifizierungsablauf je nach Domain, über die der Benutzer einsteigt, eine andere Kennzeichnung angezeigt, obwohl sich alle Benutzer im selben Mandanten anmelden.

Richten Sie eine benutzerdefinierte Domäne ein

Bevor eine Marke auf einer benutzerdefinierten Domain bereitgestellt werden kann, muss die Domain bei miniOrange registriert, per DNS Ihrem Mandanten zugeordnet und mit einem TLS-Zertifikat versehen werden. Die Zertifikatsbereitstellung erfolgt durch das miniOrange-Team anhand der von Ihnen bereitgestellten Informationen.

Voraussetzungen:

Administratorzugriff auf Ihr miniOrange-Dashboard.
Die Möglichkeit, DNS-Einträge für die Domain zu verwalten, die Sie verwenden möchten.
Der private TLS-Schlüssel und die vollständige Zertifikatskette für diese Domain, ausgestellt von einer öffentlichen Zertifizierungsstelle.

miniOrange bedient benutzerdefinierte Domains über HTTPS, daher ist ein gültiges Zertifikat für die jeweilige Domain erforderlich.

Konfigurationsschritte:

Registrieren Sie die benutzerdefinierte Domain in miniOrange. Bearbeiten Sie in der Admin-Konsole die Marke, der Sie diese Domain zuordnen möchten, und navigieren Sie dann zu Domains. Fügen Sie die Domain hinzu, auf der Sie eine Marke bereitstellen möchten – zum Beispiel: login.org.comDadurch wird die Domain Ihrem Mandanten zugeordnet.
Erstellen Sie einen CNAME-Eintrag bei Ihrem DNS-Anbieter. Fügen Sie bei Ihrem DNS-Anbieter einen CNAME-Eintrag hinzu, der die benutzerdefinierte Domain auf die Xecurify-Subdomain Ihrer Organisation verweist. Das Alias-Ziel ist die Xecurify-Subdomain Ihrer Organisation – zum Beispiel: org.xecurify.comVerwenden Sie das genaue Ziel für Ihre Organisation.

Typ	Hostname	Wert/Ziel
CNAME	`login.example.com`	`org.xecurify.com`

DNS-Änderungen benötigen Zeit, um sich zu verbreiten; die Verzögerung hängt von Ihrem Provider und der Gültigkeitsdauer (TTL) des Eintrags ab.
Senden Sie Ihr Zertifikat an miniOrange. Senden Sie den privaten Schlüssel und die vollständige Zertifikatskette für die Domain per E-Mail an idpsupport@xecurify.comDas miniOrange-Team nutzt sie, um die TLS-Terminierung für die Domain bereitzustellen und die Einrichtung auf der Plattform abzuschließen. Senden Sie den privaten Schlüssel über einen sicheren Kanal – beispielsweise als verschlüsselten oder passwortgeschützten Anhang.
Sobald die plattformseitige Einrichtung abgeschlossen ist und die DNS-Einträge propagiert wurden, ist die Domain bereit, Datenverkehr über HTTPS zu verarbeiten.
Sobald die DNS-Propagation abgeschlossen ist, gehen Sie zum Admin-Dashboard, bearbeiten Sie die Marke, der Sie diese Domain zuordnen möchten, und Füge diese Domäne hinzu Anfragen werden also an die gewünschte Marke weitergeleitet.

Verify

Öffnen Sie die benutzerdefinierte Domäne in einem Browser – zum Beispiel https://login.org.comDie personalisierte Anmeldeseite sollte über HTTPS mit einem gültigen Zertifikat geladen werden. Falls dies nicht der Fall ist, überprüfen Sie, ob der CNAME-Eintrag auf Ihre Xecurify-Subdomain verweist (z. B. mit einem DNS-Lookup-Tool wie z. B. [Name des DNS-Lookup-Tools einfügen]). dig or nslookup hilft hier) und geben Sie zusätzliche Zeit für die Ausbreitung.

Zertifikatserneuerung

Öffentliche Zertifikate laufen ab. Da das Zertifikat vom miniOrange-Team anhand der von Ihnen bereitgestellten Informationen erstellt wird, senden Sie bitte einen aktualisierten privaten Schlüssel und die Zertifikatskette an idpsupport@xecurify.com Um Unterbrechungen Ihrer benutzerdefinierten Domain zu vermeiden, bitten wir Sie, die Verlängerung vor Ablaufdatum zu beantragen. Bitte bestätigen Sie den genauen Vorlauf und die Übergabe mit dem miniOrange-Team.

Themengestaltung und Anpassung

Jede Marke kann die folgenden Einstellungen unabhängig von allen anderen Marken im Mieter überschreiben:

Logo und Favicon
Farbpalette (Primär-/Akzentfarben, Hintergrund)
Hintergrundbild
Seiteninhalt und Beschriftungen auf den Anmelde- und Fehlerseiten
Benutzerdefiniertes CSS und benutzerdefiniertes JavaScript

Anpassungen sind deklarativ und auf die jeweilige Marke beschränkt. Änderungen an einer Marke haben niemals Auswirkungen auf andere Marken, und keine dieser Änderungen beeinflusst das Authentifizierungsverhalten.

Verwenden Sie die Administratorkonsole.

Das Markenmanagement – das Erstellen von Marken, das Verwalten von Domains, das Hochladen von Assets und die Markeneinstellungen – erfolgt in der Admin-Konsole unter der Registerkarte „Branding“.

SSO-Verhalten für Anwendungen

Branding dient lediglich der Anpassung der Benutzererfahrung. Benutzerverwaltung , Anwendungen, Authentifizierungsrichtlinien, MFA-Einstellungen und andere Sicherheitskonfigurationen werden auf Mandantenebene verwaltet und gelten für alle Marken. Eine Marke bestimmt nicht, auf welche Anwendungen ein Benutzer zugreifen kann oder welche Richtlinien gelten. Sie steuert lediglich das Erscheinungsbild der Benutzerseiten. Zugriff und Authentifizierung werden durch die Konfiguration des Mandanten geregelt.

SSO-Metadaten/Endpunkte

Im Bearbeitungsfenster der Anwendung wird auf der Registerkarte „Metadaten/Endpunkte“ die für die Integration Ihrer Anwendung erforderliche Endpunkt-URL bzw. die SAML-Metadaten angezeigt. Standardmäßig werden die Metadaten und Endpunkte für die Xecurify-Subdomain Ihrer Organisation angezeigt. Wenn Sie SSO mit einer bestimmten Marke integrieren möchten, wählen Sie die zugehörige benutzerdefinierte Domain aus der Dropdown-Liste aus und sehen Sie sich die entsprechenden Metadaten/Endpunkt-URLs an, die für diese benutzerdefinierte Domain generiert wurden.

miniOrange als Identitätsanbieter (IdP)

Wenn eine Anwendung miniOrange als Identitätsanbieter im SSO-Ablauf verwendet, werden Benutzer über die Domain authentifiziert, von der die Authentifizierungsanfrage stammt. Wird die Anfrage an eine markenspezifische Domain gesendet, zeigt miniOrange die für diese Marke konfigurierte Anmeldeoberfläche an, einschließlich Design, Logo und anderer Branding-Elemente.

Die Marke wird automatisch anhand der in der Anfrage verwendeten benutzerdefinierten Domain ausgewählt, wie unter „ So funktioniert die Markenauflösung“ beschrieben.

miniOrange als Identitätsbroker

Wenn miniOrange im SSO-Ablauf als Identitätsbroker fungiert , authentifiziert es Benutzer über einen externen Identitätsanbieter und erhält dabei das Markenerlebnis aufrecht.

Wird die Authentifizierungsanfrage mit einer markenspezifischen Domain initiiert, verwendet miniOrange automatisch dieselbe markenspezifische Domain bei der Generierung der an den externen Identitätsanbieter gesendeten Endpunkte.

SAML (Externer SAML-Identitätsanbieter): Die Assertion Consumer Service (ACS)-URL verwendet die markenspezifische Domäne, und der externe Identitätsanbieter sendet die SAML-Antwort an diese ACS-URL zurück.
OAuth / OpenID Connect (Externer OAuth/OIDC-Anbieter): Das redirect_uri Die an den externen Anbieter gesendete Callback-URL verwendet die markenspezifische Domain.
JWT: Die Weiterleitungs- oder Rückruf-URL verwendet ebenfalls die markenspezifische Domain.

Da diese Endpunkte mit der markeneigenen Domain generiert werden, müssen sie beim externen Identitätsanbieter registriert und als vertrauenswürdig eingestuft werden. Stellen Sie sicher, dass die ACS-URL der Marke (für SAML) und die Redirect-/Callback-URIs (für OAuth, OpenID Connect und JWT) der Liste der zulässigen URLs des externen Identitätsanbieters hinzugefügt werden. Andernfalls lehnt der externe Anbieter die Authentifizierungsantwort oder den Callback ab.

Inhalte