Hallo!
Brauchen Sie Hilfe? Wir sind hier!
Brauchen Sie Hilfe? Wir sind hier!
Search Results:
×Mit miniOrange können Sie Ihre Benutzer über einen API-Authentifizierungsanbieter in mehreren Anwendungen authentifizieren.
Auf diese Weise können Sie Single Sign-On (SSO) in Ihren Anwendungen erreichen, wobei sich die Benutzer über Ihre API-Server nur einmal und sie können auf alle konfigurierten Anwendungen zugreifen.
Authentifizierung ist die Methode oder der Prozess, mit dem die Identität eines Benutzers überprüft und erkannt wird. Die bereitgestellten Anmeldeinformationen werden normalerweise anhand eines Benutzerspeichers wie einer Datenbank, einem Active Directory, einer Datei usw. überprüft. API ist die Schnittstelle, die auf Anfrage eines Benutzers Zugriff auf geschützte Ressourcen ermöglicht. Beim Fernzugriff auf Ressourcen muss sichergestellt werden, dass nur autorisierte Benutzer Zugriff auf die Ressourcen haben. Hier kommt die API-Authentifizierung ins Spiel. API-Authentifizierung ist der Prozess zur Überprüfung der Identität des Benutzers, der versucht, auf Ressourcen auf dem Server zuzugreifen.
Authentifizierung ist der Prozess der Überprüfung der Identität des Benutzers, der versucht, auf eine Ressource zuzugreifen, und des Nachweises, dass der Benutzer tatsächlich derjenige ist, für den er sich ausgibt.
Die Autorisierung ist der Mechanismus, mit dem die Zugriffsebene oder die Benutzerberechtigungen für eine Ressource festgelegt werden können. Vereinfacht gesagt, bestimmt die Autorisierung, ob dem betreffenden Benutzer der Zugriff auf die angeforderte Ressource gestattet ist. Üblicherweise erfolgt die Autorisierung nach der Authentifizierung.
Kurz gesagt: Die Authentifizierung dient der Identifizierung Ihrer Person, die Autorisierung bestimmt Ihre Handlungsberechtigung.
Es gibt mehrere Implementierungen für die API-Authentifizierung, aber die beliebtesten Authentifizierungsmethoden sind die folgenden:
Bei allen API-Authentifizierungsmethoden besteht das Ziel darin, einen eindeutigen Hash, Token oder API-Schlüssel zu generieren, mit dem weiterer Zugriff auf Ressourcen autorisiert werden kann.
Die HTTP-Basisauthentifizierung ist die gebräuchlichste und einfachste Authentifizierungsmethode. Benutzername und Passwort des Benutzers werden kombiniert und Base64-kodiert. Das Ergebnis wird dann durch einen speziellen HTTP-Header namens Autorisierung geleitet. Wenn ein Benutzer eine Anfrage stellt, dekodiert der Server den Autorisierungsheader, um den Benutzernamen und das Passwort zu verifizieren. Nach erfolgreicher Authentifizierung erhält der Benutzer Zugriff auf die angeforderte Ressource.
Die HTTP-Bearer-Authentifizierung ähnelt der HTTP-Basisauthentifizierung, verwendet jedoch anstelle des Benutzernamens und des Kennworts des Benutzers ein Sicherheitszugriffstoken. Das Zugriffstoken ist normalerweise eine zufällige Zeichenfolge, die vom Server nach erfolgreicher Authentifizierung generiert wird und angibt, dass der mit diesem Token verknüpfte Benutzer Zugriff auf die angeforderten Ressourcen hat. Dieses Token wird vom Benutzer in der HTTP-Header-Autorisierung gesendet, um auf eine bestimmte Ressource zuzugreifen. Der HTTP-Header wird vom Server gelesen und validiert, um zu überprüfen, ob er gültig ist und Zugriff auf die angeforderte Ressource haben sollte.
Die API-Schlüsselauthentifizierung ähnelt der HTTP-Bearer-Authentifizierung, bietet jedoch mehr Flexibilität hinsichtlich der Stelle, an die der API-Schlüssel/das API-Token in der Anfrage gesendet wird. Der API-Schlüssel ist normalerweise eine lange Zeichenfolge aus alphanumerischen Zeichen, die normalerweise beim ersten Login oder dynamisch nach erfolgreicher Authentifizierung generiert wird. Bei nachfolgenden Anfragen wird der API-Schlüssel im Anfragetext oder Header gesendet. Der Server liest den API-Schlüssel und überprüft, ob es sich um einen gültigen Schlüssel handelt und auf welche autorisierten Ressourcen er zugreifen kann. Diese Methode bietet dem Administrator die Flexibilität, den Zugriff jederzeit zu widerrufen.
OAuth ist derzeit unter allen Authentifizierungsmethoden die beste Wahl für die Benutzerauthentifizierung und -autorisierung. Bei dieser Methode werden Benutzer beim Versuch, auf eine Ressource zuzugreifen, aufgefordert, sich zu authentifizieren oder anzumelden. Nach erfolgreicher Authentifizierung wird ein Token generiert, mit dem auf Ressourcen zugegriffen werden kann, ohne dass sich der Benutzer mehrfach authentifizieren muss. OAuth bietet außerdem eine bessere Sicherheit durch strengere Umfangsprüfungen und eine zeitliche Gültigkeit der Token. Da das Token nach einer Weile widerrufen wird, ist die Wahrscheinlichkeit geringer, dass Angreifer es verwenden, um Zugriff auf Ressourcen zu erhalten.
SAML ist ein weit verbreiteter, XML-basierter SSO-Standard für den Austausch von Authentifizierungs- und Autorisierungsdaten zwischen einem Identitätsanbieter und einem Dienstanbieter. Er wird hauptsächlich zur Authentifizierung und zum sicheren Austausch von Benutzerinformationen zwischen Webanwendungen verwendet.
OAuth ist ein weit verbreitetes Autorisierungsframework, das es zwei Anbietern ermöglicht, mithilfe von Bereichen und zeitkritischen Token auf sichere Weise benutzerbezogene Ressourcen gemeinsam zu nutzen.
OpenId ist das am häufigsten verwendete Authentifizierungsprotokoll. Es ist eine Authentifizierungsschicht über OAuth2.0, die zur Überprüfung der Identität des Benutzers verwendet wird. Im Vergleich zu OAuth, bei dem die Benutzeridentität nicht bekannt ist, stellt OpenId ein Token mit Benutzerinformationen bereit. Dieses Token kann bei Bedarf weiter verwendet werden, um Zugriff auf andere Ressourcen zu erhalten.
JWT oder JSON Web Token ist ein Standard für die Datenerstellung. Es empfiehlt ein festes JSON-Format für das Token, das mit einem gemeinsamen Geheimnis oder einem privaten/öffentlichen Schlüssel signiert wird. Dies ist in OAuth- und OpenID-Standards nützlich, bei denen Token mit Benutzerdaten ausgetauscht werden.
Bei der API-Schlüsselauthentifizierung wird ein Schlüssel-Wert-Paar entweder in den Anforderungsheadern oder im Anforderungstext an den API-Server gesendet.
miniOrange bietet kostenlose Hilfe durch ein Beratungsgespräch mit unseren Systemingenieuren zur Konfiguration von SSO für verschiedene Apps mit API-Authentifizierung in Ihrer Umgebung mit 30-Tage kostenlose Testversion.
Senden Sie uns hierzu einfach eine E-Mail an idpsupport@xecurify.com um einen Termin zu buchen und wir helfen Ihnen umgehend.
| Benutzerauthentifizierungs-URL | Die URL Ihres API-Authentifizierungsanbieters. Beispiel: https://example.com/endpoint/ |
| API-Schlüssel | Der von Ihrem API-Authentifizierungsanbieter bereitgestellte API-Schlüsselwert |
Bei dieser Methode wird der API-Schlüssel als „Authorization_key“ über den Anforderungsheader gesendet. Sie können sich auf das folgende Beispiel beziehen.
| Authentifizierungsparameter | { „Benutzername“: „##Benutzername##“, „Passwort“: „##Passwort##“ } |
| Status | Name des Feldes in der Serverantwort, das den Statuscode enthält |
| Statusnachricht | Name des Feldes, das die Beschreibung des Status in der Antwort enthält |
Bei dieser Methode wird der API-Schlüssel als Parameter „api_key“ im gesendet jetzt lesen Körper als JSON.
Wie Sie Ihren Anbieter so konfigurieren, dass er den API-Schlüssel als Feld im Anfragetext sendet, erfahren Sie weiter unten.
| Authentifizierungsparameter | { „api_key“: „Wert“, „Benutzername“: „##Benutzername##“, „Passwort“: „##Passwort##“ } |
Geben Sie anstelle von „value“ den API-Schlüsselwert ein, den Sie in Schritt 1 kopiert haben. |
| Status | Name des Feldes in der Serverantwort, das den Statuscode enthält |
| Statusnachricht | Name des Feldes, das die Beschreibung des Status in der Antwort enthält |
Wenn Sie Ihre Anwendung bereits in miniOrange konfiguriert haben, können Sie die folgenden Schritte überspringen.
| Anzeigename (erforderlich) | Geben Sie die Anzeigename für Ihre App nach Ihren Vorlieben. |
| SP-Unternehmens-ID oder Aussteller (erforderlich) | Dient zur Identifizierung Ihrer App anhand der vom Service Provider (SP) empfangenen SAML-Anfrage. Die SP-Entitäts-ID oder der Aussteller kann entweder als URL oder im String-Format vorliegen. |
| ACS-URL oder Assertion Consumer Service-URL (erforderlich) | Legt fest, wohin die SAML-Assertion nach der Authentifizierung gesendet werden soll. Stellen Sie sicher, dass die ACS-URL folgendes Format hat: https://www.domain-name.com/a/[domain_name]/acs |
| Zielgruppen-URL | Wie der Name schon sagt, legt dieses Feld die gültige Zielgruppe für die SAML-Assertion fest. Diese entspricht in der Regel der SP-Entitäts-ID. Falls die Zielgruppen-URL nicht separat vom Service Provider (SP) angegeben wird, lassen Sie das Feld leer. |
| Einzelne Abmelde-URL | Die URL, an die die Abmeldeanfrage verarbeitet werden soll und zu der Ihre Benutzer nach einer einmaligen Abmeldung von den Anwendungen weitergeleitet werden sollen. |
| Logo der Upload-App | Laden Sie ein Logo für Ihre Anwendung hoch. |
| Unterzeichnete Anfrage | Aktivieren Sie diese Option, um die vom Service Provider (SP) gesendete SAML-Anfrage zu signieren. Stellen Sie das X.509-Zertifikat bereit oder laden Sie es hoch. |
| Antwort unterschreiben | Aktivieren Sie diese Option, wenn die gesamte SAML-Antwort signiert werden soll. |
| Unterschreiben Sie die Behauptung | Aktivieren Sie diese Option, wenn nur die Assertion innerhalb der SAML-Antwort signiert werden soll. |
| Signaturalgorithmus | Wählen Sie den Algorithmus aus, der zum Signieren der SAML-Anfrage/-Antwort verwendet wird. |
| Behauptung verschlüsseln | Wählen Sie diese Option aus, wenn Sie die Assertion in der SAML-Antwort verschlüsseln und den Algorithmus und das Zertifikat für die Verschlüsselung angeben möchten. |
| Relaiszustand | Geben Sie die URL ein, zu der der Benutzer nach der Anmeldung bei der Anwendung weitergeleitet werden soll. |
| Relaisstatus überschreiben | Aktivieren Sie diese Option, um den Standard-Relay-Status des SP zu überschreiben. |
| Bindung der Abmeldeantwort | Eine Abmeldeantwort wird als Antwort auf eine Abmeldeanforderung von SP gesendet. Sie kann von einem Identitätsanbieter oder Dienstanbieter gesendet werden. |
| IdP-initiierte Abmeldeanforderungsbindung: | Eine Abmeldeantwort wird als Antwort auf eine Abmeldeanforderung vom IdP-Dashboard gesendet. Sie kann von einem Identitätsanbieter oder Dienstanbieter gesendet werden.
|
| Gültigkeitsdauer der SAML-Authentifizierung | Die Zeit, für die die Authentifizierung als gültig angesehen werden soll und der Benutzer SSO durchführen kann. Danach muss sich der Benutzer erneut anmelden. |
| Gemeinsame Identität aktivieren | Mit dieser Funktion können Sie steuern, ob eine bestimmte Anwendung von einem gemeinsam genutzten Benutzer aufgerufen werden kann oder nicht. |
| Primärer Identitätsanbieter | Wählen Sie die Identitätsquelle aus, von der aus die Authentifizierung erfolgen soll. Sie sehen die Liste aller konfigurierten Quellen. |
| Authentifizierung erzwingen | Aktivieren Sie diese Option, um bei jeder Anforderung zum Zugriff auf die Anwendung eine Authentifizierung zu erzwingen. |
| Auf Endbenutzer-Dashboard anzeigen | Deaktivieren Sie diese Option, wenn die App nicht für alle Benutzer im Endbenutzer-Dashboard sichtbar sein soll. |
| NameID | Die NameID ist die eindeutige Kennung des authentifizierten Benutzers in der SAML-Assertion. Sie ermöglicht dem Dienstanbieter, den Benutzer zu erkennen und einem Konto zuzuordnen. In der Regel handelt es sich bei der NameID um einen Benutzernamen oder eine E-Mail-Adresse. |
| NameID-Format | Legt fest, welcher Identifikatortyp (z. B. E-Mail, persistent, temporär) in der NameID verwendet wird, damit der Service Provider (SP) den Benutzer korrekt zuordnen kann. Falls der SP kein bestimmtes Format anfordert, kann der Identity Provider (IdP) dieses nicht spezifizieren und einen Standardwert verwenden. |
| Namensformat hinzufügen | Das Namensformat definiert, wie Attributnamen in einer SAML-Assertion dargestellt werden (z. B. als einfache Zeichenketten oder URIs). Es hilft dem Service Provider (SP), die Attributbenennung korrekt zu interpretieren und gewährleistet die Konsistenz zwischen Identity Provider (IdP) und SP. |
| Mehrwertige Attribute aktivieren | Aktiviert: Kommas (,) und Semikolons (;) werden als Trennzeichen behandelt, sodass das Attribut in eine übersichtliche Liste aufgeteilt wird. Beispiel: roles = ['admin', 'editor', 'viewer']. Deaktiviert: Kommas und Semikolons werden nicht als Trennzeichen behandelt, daher bleibt das Attribut als eine zusammenhängende Zeichenkette erhalten. Beispiel: roles = "admin;editor;viewer". |
| Attributzuordnung | Sie können Attribute hinzufügen, die in der SAML-Assertion an den Service Provider (SP) gesendet werden sollen. Zu diesen Attributen gehören Benutzerprofilattribute wie Vorname, Nachname, vollständiger Name, Benutzername, E-Mail-Adresse, benutzerdefinierte Profilattribute und Benutzergruppen usw. |
| Display Name | Geben Sie die Display Name (d. h. der Name dieser Anwendung). |
| URL umleiten | Geben Sie die URL umleiten. Stellen Sie sicher, dass es diesem Format entspricht: https://<mycompany.domain-name.com> |
| Kunden-ID | Automatisch generiert. Klicken Sie auf das Kopiersymbol, um es in Ihrer Anwendung zu verwenden. |
| Kundengeheimnis | Kundengeheimnis ist standardmäßig ausgeblendet. Klicken Sie auf das Augensymbol, um es einzublenden, und verwenden Sie das Zwischenablagesymbol, um es zu kopieren. |
| Betreff (optional) | Wählen Sie ein Attribut aus der Dropdown-Liste aus. |
| Beschreibung (optional) | Fügen Sie bei Bedarf eine Beschreibung hinzu. |
| App-Logo hochladen (optional) | Laden Sie ein App-Logo hoch (optional). Die App wird im Endbenutzer-Dashboard mit dem hier konfigurierten Logo angezeigt. |
| Primärer Identitätsanbieter | Wählen Sie die Standard-ID-Quelle aus der Dropdown-Liste für die Anwendung. Andernfalls wird den Benutzern der Standard-Anmeldebildschirm angezeigt und sie können ihren eigenen IDP auswählen. [Wählen Sie in diesem Fall miniOrange.] |
| SSO-Flows | Wählen Sie den gewünschten SSO-Flow aus der Dropdown-Liste aus, z. B. miniOrange als IDP, miniOrange als Brokerden miniOrange als Broker mit Discovery Flow. |
| Auf dem Endbenutzer-Dashboard anzeigen | Aktivieren Sie diese Option, wenn Sie diese App im Endbenutzer-Dashboard anzeigen möchten. |
| Authentifizierung erzwingen | Wenn Sie diese Option aktivieren, müssen sich Benutzer jedes Mal anmelden, auch wenn ihre Sitzung bereits besteht. |
| Erlaubte Abmelde-URIs | Klicken Sie auf den Link „Zulässige Abmelde-URIs“, um eine Liste mit Weiterleitungs-URIs nach der Abmeldung hinzuzufügen. Benutzer werden nach einer erfolgreichen Abmeldung von miniOrange zu einer dieser URIs weitergeleitet. |
| Single Logout aktiviert | Aktivieren Sie diese Option, um beim Abmelden von dieser App Abmeldeanforderungen an andere Anwendungen zu senden. |
| Anmelde-URL | Sie können Benutzerattribute in die Anmelde-URL einfügen, indem Sie Platzhalter wie {{username}}, {{primaryEmail}}, {{customAttribute1}} usw. verwenden. Diese Platzhalter werden während des vom Identitätsanbieter initiierten SSO-Ablaufs dynamisch durch die tatsächlichen Benutzerwerte ersetzt. Sie können eine URL mit den folgenden Attributen generieren: Benutzername, primäre E-Mail-Adresse, alternative E-Mail-Adresse, Vorname, Name, primäre Telefonnummer und benutzerdefiniertes Attribut1. Die URL könnte so lauten https://<sso-url>>?username={{username}}
https://<sso-url>>?username={{username}}&email={{primaryEmail}}https://<sso-url>>/{{customAttribute1}}/{{customAttribute2}}/?username={{username}} |
https://<your-company-name>.xecurify.com/moas/idp/openidsso ]https://<your-company-name>.xecurify.com/moas/rest/oauth/token ]| iss | https-URI, die den Aussteller angibt |
| unten | Kennung des Benutzers beim Herausgeber |
| aud | client_id des anfragenden Clients |
| Nuntius | der vom Client empfangene Nonce-Parameterwert |
| exp | Ablaufzeit dieses Tokens |
| siehe unten | Zeitpunkt der Ausgabe dieses Tokens |
| Authentifizierungszeit | Zeitpunkt der Authentifizierung |
| at_hash | die erste Hälfte eines Hashs des Zugriffstokens |
https://<your-domain>.xecurify.com/moas/api/oauth/getuserinfo ] Nur im Fall von OAuth erforderlichhttps://<your-domain>.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri ]:
| Display Name | Geben Sie die Display Name (d. h. der Name dieser Anwendung) |
| URL umleiten | Geben Sie die URL umleiten (d. h. der Endpunkt, an den Sie Ihr JWT-Token senden/posten möchten). Sie können mehrere Weiterleitungs-URLs hinzufügen, indem Sie sie mit einem ';' trennen. Z. B. abc.com;xyz.com |
| Kunden-ID | Das Kunden-ID wird im Feld unten angezeigt. Klicken Sie auf das Zwischenablagesymbol, um es zu kopieren. |
| Kundengeheimnis | Kundengeheimnis ist standardmäßig ausgeblendet. Klicken Sie auf das Augensymbol, um es einzublenden, und kopieren Sie es über das Zwischenablagesymbol. Dies wird im HS256-Signaturalgorithmus zur Generierung der Signatur verwendet. |
| Beschreibung (optional) | Fügen Sie bei Bedarf eine Beschreibung hinzu. |
| App-Logo hochladen (optional) | Laden Sie ein App-Logo hoch (optional). Die App wird im Endbenutzer-Dashboard mit dem hier konfigurierten Logo angezeigt. |
| Zugangstoken | Geben Sie das Zugriffstoken ein, das nach der Anmeldung eines Benutzers an Ihre Umleitungs-URL gesendet wird. Anhand dieses Tokens erkennt Ihre App, dass der Benutzer auf bestimmte Funktionen zugreifen darf. |
| Ablauf des ID-Tokens (in Min.) | Legen Sie fest, wie lange (in Minuten) das ID-Token gültig sein soll. Nach Ablauf dieser Zeit muss sich der Benutzer erneut anmelden, um ein neues Token zu erhalten. |
| Betreff | Wählen Sie aus, welche Informationen (z. B. die E-Mail-Adresse des Benutzers) zur Identifizierung im Token verwendet werden sollen. So erkennt Ihre App, welcher Benutzer angemeldet ist. |
| Signaturalgorithmus | Wählen Sie Ihren Signaturalgorithmus aus der Dropdown-Liste aus. |
| Die Abmelde-URL Ihrer Anwendung | Geben Sie die Webadresse ein, an die Benutzer nach der Abmeldung weitergeleitet werden sollen. |
| Gemeinsame Identität aktivieren | Mit dieser Funktion können Sie steuern, ob eine bestimmte Anwendung von einem gemeinsam genutzten Benutzer aufgerufen werden kann oder nicht. |
| Primärer Identitätsanbieter | Wählen Sie die Standard-ID-Quelle aus der Dropdown-Liste für die Anwendung. Andernfalls wird den Benutzern der Standard-Anmeldebildschirm angezeigt und sie können ihren eigenen IDP auswählen. [Wählen Sie in diesem Fall miniOrange.] |
| Authentifizierung erzwingen | Wenn Sie diese Option aktivieren, müssen sich Benutzer jedes Mal anmelden, auch wenn ihre Sitzung bereits besteht. |
| Benutzerzuordnung aktivieren | Aktivieren Sie diese Option, wenn die App bei der Antwort anzeigen soll, welcher Benutzer angemeldet ist. |
| Auf Endbenutzer-Dashboard anzeigen | Aktivieren Sie diese Option, wenn Sie diese App im Endbenutzer-Dashboard anzeigen möchten. |
