Single Sign-on– Zentrale Identität für alle Dienste

SecTepe.Comm betreibt eine eigene Version des Anmeldeservers. Sie hat vier Erweiterungen: eine Passwortprüfung, einen Abgleich mit dem Chat, eine Sperre für bekannte schädliche IP-Adressen und bedingten Zugriff. Bedingter Zugriff heißt: Regeln entscheiden bei jeder Anmeldung neu. Der Server speichert seine Daten in einer eigenen Datenbank. Anwendungen wie Chat, Dashboards und Mail melden sich per OpenID Connect (OIDC) an.

Was bei der Anmeldung passiert

• Die Person gibt Benutzername und Passwort ein. Der Anmeldeserver fragt dann den Dienst für Identity Governance nach einer Entscheidung: erlauben, MFA verlangen oder ablehnen.
• Regeln können Gruppen, Rollen, die Anwendung, das Land der IP-Adresse, vertrauenswürdige Netze und offene Anmelderisiken prüfen.
• Ist MFA nötig, bestätigt die Person mit einem Einmalcode (TOTP) oder einem Passkey. Wer noch keinen zweiten Faktor hat, richtet zuerst einen Einmalcode ein. SMS zählt nicht als Faktor.
• Ein weiterer Schritt kann Anmeldungen von IP-Adressen auf den Threat-Intelligence-Listen von SecTepe sperren.

Typische Einsätze

• Vorhandenes Verzeichnis: Der Anmeldeserver bindet Ihr Active Directory über eine verschlüsselte Verbindung (LDAPS) an. Ihr Team nutzt dann das gewohnte Passwort für Mail, Chat, Dateien und Dashboards.
• Partner: Personen eines Partners melden sich bei ihrem eigenen Identitätsanbieter an. Per SAML oder OIDC kommen sie mit ihren Rollen und Gruppen in Ihren Anmeldebereich.
• Gäste: Eine verantwortliche Person lädt jemanden von außen für eine feste Zahl von Tagen ein. Danach wird das Konto abgeschaltet.
• Bereitstellung: Eine SCIM-2.0-Brücke nimmt Anfragen von Werkzeugen wie Azure AD, Okta oder Workday an. Sie gibt sie an den richtigen Mandanten weiter.
• Chat-Konten: Nehmen Sie eine Person in die Chat-Gruppe auf, entsteht sofort ihr Chat-Konto. Entfernen Sie sie, wird es deaktiviert.

Passwörter, Betrieb und Datenhoheit

Neue Passwörter brauchen mindestens 14 Zeichen und eine Mischung aus Zeichenarten. Die letzten fünf Passwörter sind gesperrt. Jedes neue Passwort wird zudem mit einer öffentlichen Datenbank geleakter Passwörter abgeglichen. Dabei verlässt nur ein kurzes Stück seines Hashwerts den Server, nie das Passwort. Mit einer eigenen Sperrliste verbieten Sie weitere Passwörter.

Jeder Mandant bekommt einen eigenen Anmeldebereich (Realm). Ein Bereitstellungs-Token eines Mandanten kann nicht in den Bereich eines anderen schreiben. Sie betreiben das System selbst, in einer einfachen Container-Umgebung oder auf Kubernetes. Auf Kubernetes läuft der Anmeldeserver mindestens doppelt. Seine Datenbank ist ein Cluster mit zwei Instanzen.

Häufige Fragen

Können wir eine Richtlinie testen, bevor sie greift? Ja. Neue Richtlinien für bedingten Zugriff starten im reinen Berichtsmodus. Das Protokoll zeigt, was sie getan hätten. Eine Was-wäre-wenn-Prüfung testet eine geplante Anmeldung gegen die aktiven Regeln.

Geht die Anmeldung auch ohne Passwort? Ja. Ein Einrichtungsskript schaltet die passwortlose Anmeldung mit FIDO2-Passkeys ein. Die Person registriert dann bei der nächsten Anmeldung einen Passkey.

Kann die Anmeldeseite unsere eigene Marke zeigen? Ja. Ein White-Label-Design übernimmt Ihren Namen, Ihr Logo, Ihre Hauptfarbe und Ihre rechtlichen Links aus den Einstellungen.