Active Directory ist in vielen Organisationen immer noch das maßgebliche Benutzerverzeichnis. Benutzer, Passwörter und Gruppenmitgliedschaften sind dort oft bereits vorhanden, und das in vielen Fällen schon seit Jahren.
Moderne Anwendungen erfordern jedoch häufig moderne Verbundprotokolle und stärkere Authentifizierungsoptionen.
Neue Webanwendungen, SaaS-Plattformen und kundenorientierte Portale unterstützen häufig OpenID Connect oder SAML 2.0. Sie erwarten moderne Token, Claims, Verbundmetadaten, Single-Sign-On-Abläufe und manchmal eine Step-up-Authentifizierung mit MFA.
Daraus ergibt sich eine gemeinsame Herausforderung: Wie modernisiert man die Authentifizierung, ohne Active Directory vom ersten Tag an zu ersetzen?
Hier wird FoxIDs Directory Connector for Active Directory nützlich. Damit können Unternehmen Active Directory als Quelle für Benutzer, Passwörter und Gruppenmitgliedschaften behalten, während FoxIDs die moderne Identitätsebene darüber hinaus fügt.
Benutzer können sich weiterhin mit ihren vorhandenen Active Directory-Anmeldeinformationen anmelden. Anwendungen können mithilfe von OpenID Connect oder SAML 2.0 in FoxIDs integriert werden. Und FoxIDs kann Claims, Rollen, Multi-Faktor-Authentifizierung und ein gebrandetes Anmeldeerlebnis rund um das bestehende Verzeichnis hinzufügen.
Active Directory kann bleiben, wo es ist
Viele Unternehmen streben keine große Migration weg von Active Directory an. Sie müssen lediglich dafür sorgen, dass ihr vorhandenes Verzeichnis mit modernen Anwendungen funktioniert.
Mit Directory Connector for Active Directory stellt FoxIDs eine Verbindung zu einer Komponente her, die in der Windows-Umgebung des Kunden in der Nähe der Domänencontroller installiert ist. FoxIDs ruft den Connector über HTTPS auf, und der Connector validiert Benutzer, verarbeitet Kennwortvorgänge und gibt ausgewählte Benutzereigenschaften und Claims von Active Directory zurück.
Der wichtige Teil ist, dass Active Directory weiterhin maßgeblich ist.
Das bedeutet, dass Passwörter weiterhin von AD validiert werden können. Bestehende Passwortrichtlinien können weiterhin gelten. Benutzer können weiterhin im gewohnten Verzeichnis verwaltet werden. Und die Gruppenzugehörigkeit kann weiterhin über die bestehenden IT-Prozesse gesteuert werden.
FoxIDs wird dann zur modernen Identitätsschicht vor AD.
Anstatt jede Anwendung direkt mit Active Directory oder LDAP zu verbinden, stellen Anwendungen eine Verbindung zu FoxIDs her. FoxIDs kümmert sich um das Verbundprotokoll, die Token-Ausstellung, Claims und den Authentifizierungsfluss, während AD das zugrunde liegende Verzeichnis bleibt.
Dies bietet Organisationen einen praktischen Migrationspfad. Sie können damit beginnen, Benutzer in Active Directory zu belassen und sie später, wenn es sinnvoll ist, nach FoxIDs zu verschieben. Der Übergang muss nicht auf einmal erfolgen.
OIDC und SAML 2.0 für bestehende AD-Benutzer
Der Hauptwert ist einfach: Bestehende Active Directory-Benutzer können sich über FoxIDs bei modernen OpenID Connect- und SAML 2.0-Anwendungen] anmelden.
Für OpenID Connect Anwendungen fungiert FoxIDs als OpenID-Anbieter. Anwendungen können Erkennung, Authentifizierung, Abmeldung und den UserInfo-Endpunkt verwenden. FoxIDs unterstützt auch PKCE und verschiedene Client-Authentifizierungsoptionen.
Für SAML 2.0 Anwendungen kann FoxIDs SAML-Assertionen ausgeben und als Identitätsanbieter für Anwendungen fungieren, die auf SAML-basiertem Enterprise Single Sign-On basieren.
Dies ist nützlich, wenn eine Organisation über eine Mischung verschiedener Anwendungstypen verfügt. Eine Anwendung kann OpenID Connect verwenden. Für einen anderen ist möglicherweise noch SAML 2.0 erforderlich. Ein Dritter benötigt später möglicherweise OAuth 2.0 Zugriffstoken für APIs.
Die Benutzer können weiterhin dieselben AD-Benutzer sein.
Dadurch wird vermieden, dass das Unternehmen Benutzer duplizieren, benutzerdefinierte LDAP-Integrationen erstellen oder Identitäten migrieren muss, bevor die erste moderne Anwendung live gehen kann.
Stattdessen kann FoxIDs die Lücke zwischen dem vorhandenen Verzeichnis und den Protokollen schließen, die moderne Anwendungen erwarten.
Verwenden Sie AD-Gruppen als moderne Anwendungs-Claims
Die Authentifizierung ist nur ein Teil der Geschichte. Anwendungen müssen außerdem wissen, wer der Benutzer ist und worauf er zugreifen darf.
Active Directory enthält diese Informationen häufig bereits durch Gruppenmitgliedschaften. Ein Benutzer kann Mitglied einer Mitarbeitergruppe, einer Administratorengruppe, einer Finanzgruppe oder einer Kundensupportgruppe sein.
Der Directory Connector kann konfigurierte AD-Attribute als Claims und konfigurierte AD-Gruppenmitgliedschaften als Claims zurückgeben. Gruppen-Claims werden üblicherweise als Rollen-Claims zurückgegeben und es können verschachtelte Gruppen eingeschlossen werden.
Dadurch ist es möglich, bestehende AD-Gruppenstrukturen in modernen Anwendungen zu nutzen.
Beispielsweise kann eine AD-Gruppe wie „Employees“ als Rollen-Claim mit dem Wert „Employees“ zurückgegeben werden. Die Anwendung muss LDAP nicht verstehen oder Active Directory direkt abfragen. Es müssen nur die von FoxIDs ausgegebenen Claims gelesen werden.
Der Screenshot unten zeigt einen Active Directory-Benutzer, der Mitglied der Gruppe „Mitarbeiter“ ist. Dies ist die bestehende Gruppenmitgliedschaft, die bereits in Active Directory verwaltet wird.
Wenn sich der Benutzer über FoxIDs anmeldet, kann die AD-Gruppenmitgliedschaft als Rollen-Claim in das ausgestellte Anwendungstoken aufgenommen werden. In diesem Beispiel wird die Gruppe „Mitarbeiter“ als Rollen-Claim zurückgegeben.
Die Anwendung muss Active Directory nicht direkt abfragen. Es müssen nur die von FoxIDs ausgegebenen Claims gelesen werden.
Das ist eine saubere Aufgabentrennung.
Active Directory bleibt der Ort, an dem die Mitgliedschaft verwaltet wird. FoxIDs wandelt diese Verzeichnisinformationen in moderne Identitäts-Claims um. Die Anwendung erhält das Ergebnis in dem Protokoll, das sie bereits unterstützt.
Fügen Sie MFA zusätzlich zum Active Directory-Login hinzu
Ein großer Vorteil der Verwendung von FoxIDs vor Active Directory besteht darin, dass die Anmeldung verbessert werden kann, ohne dass das Verzeichnis ersetzt werden muss.
FoxIDs unterstützt sowohl die einfache Zwei-Faktor-Authentifizierung als auch die erweiterte Mehr-Faktor-Authentifizierung in der Anmeldeauthentifizierungsmethode. Zu den unterstützten integrierten Faktoren gehören der SMS-Code, der E-Mail-Code, der Authentifizierungs-App-Code und der Wiederherstellungscode. FoxIDs kann auch andere Authentifizierungsmethoden wie OIDC oder SAML 2.0 als MFA-Schritte verwenden.
MFA kann auf verschiedene Arten erforderlich sein.
Es kann für ausgewählte Benutzer aktiviert werden. Dies kann für die Anmeldeauthentifizierungsmethode erforderlich sein. Oder eine Anwendung kann bei Bedarf MFA anfordern. Für OpenID Connect kann die Anwendung MFA mit acr_values=urn:foxids:mfa anfordern. Für SAML 2.0 kann MFA über den Authentifizierungskontext angefordert werden.
Dies ist wertvoll, da nicht alle Anwendungen immer das gleiche Maß an Sicherheit benötigen.
Für eine normale interne Anwendung sind möglicherweise nur Benutzername und Passwort erforderlich. Ein sensibles Admin-Portal erfordert möglicherweise jedes Mal MFA. Eine andere Anwendung fordert MFA möglicherweise nur für bestimmte Aktionen oder Sitzungen mit höherem Risiko an.
FoxIDs kann diese Art von Step-up-Modell unterstützen, während der erste Faktor weiterhin anhand von Active Directory validiert wird.
In der Praxis bedeutet dies, dass Unternehmen AD als Benutzer- und Passwortquelle beibehalten und gleichzeitig moderne Sicherheitskontrollen rund um das Anmeldeerlebnis hinzufügen können.
Ein besserer Migrationspfad
Der Austausch eines Identitätsverzeichnisses ist selten nur eine technische Entscheidung. Es betrifft Benutzer, Anwendungen, IT-Betrieb, Sicherheitsrichtlinien und Supportprozesse.
Deshalb ist ein schrittweiser Weg wichtig.
Mit FoxIDs kann eine Organisation damit beginnen, Active Directory zu verbinden und Benutzern die Anmeldung mit ihren vorhandenen Anmeldeinformationen zu ermöglichen. FoxIDs kann einen internen Benutzerdatensatz mit Bezeichnern, Eigenschaften, Claimsn, MFA-Einstellungen und Zugriffszuweisungen führen, während das externe Verzeichnis weiterhin für die Kennwortvalidierung und Kennwortänderungen maßgeblich ist.
Wenn die Organisation später Benutzer vollständig in FoxIDs verschieben möchte, gibt es dafür einen Weg.
Dies ist besonders nützlich für Organisationen, die zunächst die Authentifizierung modernisieren und sich später für eine Benutzermigration entscheiden möchten. Es hilft auch, wenn sich verschiedene Benutzergruppen mit unterschiedlichen Geschwindigkeiten bewegen. Mitarbeiter können im AD bleiben. Externe Benutzer wohnen möglicherweise bereits in FoxIDs. Neue Anwendungen verwenden möglicherweise OIDC. Ältere Unternehmensanwendungen verwenden möglicherweise SAML 2.0.
FoxIDs kann in der Mitte sitzen und dafür sorgen, dass diese Welten zusammenarbeiten.
Ein Marken-Login-Erlebnis
Bei der modernen Authentifizierung geht es nicht nur um Protokolle und Sicherheit. Auch die Benutzererfahrung ist wichtig.
Wenn Benutzer zur Anmeldung weitergeleitet werden, sollte die Anmeldeseite vertraut und vertrauenswürdig aussehen. FoxIDs unterstützt Anpassung des Anmeldeerlebnisses, einschließlich Browsertitel, Browsersymbol und CSS. Der gleiche Anmeldeablauf kann Benutzer auch durch die Multi-Faktor-Authentifizierung führen, wenn eine höhere Sicherheit erforderlich ist.
Dies ist sowohl für interne als auch für kundenorientierte Szenarien nützlich.
Bei der Anmeldung eines Mitarbeiters können der Name und das Format der Organisation verwendet und zusätzlich zum vorhandenen Benutzernamen und Passwort Active Directory MFA hinzugefügt werden. Ein Kundenportal kann die Marke des Kunden nutzen. Eine Partneranwendung kann ein maßgeschneidertes Anmeldeerlebnis bieten, ohne die zugrunde liegende AD-Integration zu ändern.
Das folgende Beispiel zeigt einen Anmeldebildschirm mit der Marke MFA für ein fiktives Unternehmen, Northbridge Systems. Der Benutzer meldet sich mit einem bestehenden Konto an und wird dann aufgefordert, die Zwei-Faktor-Authentifizierung SMS in FoxIDs durchzuführen.
Der vollständige für dieses Beispiel verwendete CSS ist am Ende des Artikels enthalten.
Das Ergebnis ist eine vollständigere Identitätsschicht: moderne Protokolle, AD-gestützte Benutzer, Claims, MFA und ein markenspezifischer Anmeldeablauf.
Erste Schritte
Für den Einstieg ist es nicht erforderlich, dass jede Anwendung oder jeder Benutzer migriert wird.
Ein typischer erster Schritt besteht darin, Directory Connector for Active Directory in der Windows-Umgebung zu installieren, wo es die Domänencontroller erreichen kann. Von dort aus kann FoxIDs Benutzer über den Connector validieren und moderne OpenID Connect oder SAML 2.0 Antworten an Anwendungen ausgeben.
Die Einrichtung wird dann zu einem inkrementellen Prozess. Beginnen Sie mit einer Anwendung, ordnen Sie die AD-Attribute und Gruppenmitgliedschaften zu, die die Anwendung benötigt, entscheiden Sie, ob MFA erforderlich sein soll, und optional customise das Anmeldeerlebnis.
Sobald die erste Anwendung funktioniert, kann dasselbe Muster für weitere Anwendungen wiederverwendet werden. Einige verwenden möglicherweise OpenID Connect, andere verwenden möglicherweise SAML 2.0, und sensible Anwendungen können bei Bedarf MFA erfordern.
Die detaillierten Konfigurationsschritte finden Sie in der Dokumentation FoxIDs Directory Connector for Active Directory.
Abschluss
Active Directory ist für viele Organisationen immer noch von zentraler Bedeutung, aber moderne Anwendungen benötigen eine moderne Authentifizierung.
Mit FoxIDs Directory Connector for Active Directory ist es möglich, vorhandene AD-Benutzer, Passwörter und Gruppen beizubehalten und gleichzeitig OpenID Connect, SAML 2.0, Claims und MFA bis FoxIDs zu aktivieren.
Es bietet Unternehmen eine praktische Möglichkeit, die Authentifizierung zu modernisieren, die Sicherheit zu verbessern und neue Anwendungen zu unterstützen, ohne alles auf einmal ersetzen zu müssen.
Für viele Unternehmen ist dies der realistischste Weg: Behalten Sie das bei, was bereits funktioniert, fügen Sie die moderne Identitätsebene hinzu und migrieren Sie, wenn das Unternehmen bereit ist.
Beispiel CSS für den Marken-Anmeldebildschirm
Der Screenshot oben verwendet den CSS unten, um die Anmeldeseite FoxIDs für das fiktive Unternehmen Northbridge Systems zu gestalten. Es ändert den Firmennamen, die Farbpalette, den Seitenhintergrund, die Anmeldekarte, die Eingabefokusfarbe, Schaltflächen, Links und die Informationsnachricht.
In FoxIDs kann dieser CSS auf der Registerkarte Anmelde-UI der Anmeldeauthentifizierungsmethode zusammen mit dem Browsertitel und dem Browsersymbol hinzugefügt werden.
:root {
--brand-primary: #16324f;
--brand-primary-dark: #0f2439;
--brand-accent: #1f8a8a;
--brand-accent-dark: #176d6d;
--brand-accent-soft: #e9f6f6;
--brand-bg: #f4f8fb;
--brand-surface: rgba(255, 255, 255, 0.97);
--brand-border: #dbe5ec;
--brand-text: #14202b;
--brand-muted: #5f6f7f;
}
/* Page background */
body {
background:
radial-gradient(circle at top right, rgba(31, 138, 138, 0.12), transparent 28rem),
radial-gradient(circle at bottom left, rgba(22, 50, 79, 0.10), transparent 26rem),
linear-gradient(135deg, #ffffff 0%, var(--brand-bg) 100%);
color: var(--brand-text);
}
/* Page spacing */
.container.body-content {
padding-top: 3.5rem;
padding-bottom: 3.5rem;
}
/* Main content card */
.page-content {
background: var(--brand-surface);
border: 1px solid var(--brand-border);
border-radius: 1.25rem;
box-shadow: 0 1.25rem 3rem rgba(15, 36, 57, 0.10);
padding: 2.25rem 2.5rem;
}
/* Brand block */
.brand-content {
margin-bottom: 2rem;
}
/* Hide default text and replace with fictive company name */
.brand-content-text {
visibility: hidden;
height: auto;
}
.brand-content-text::before {
content: "Northbridge Systems";
visibility: visible;
display: block;
color: var(--brand-primary);
font-size: 2.9rem;
font-weight: 600;
line-height: 1.05;
letter-spacing: -0.03em;
}
.brand-content-text::after {
content: "Secure Login";
visibility: visible;
display: block;
color: var(--brand-accent);
font-size: 1.15rem;
font-weight: 500;
margin-top: 0.35rem;
letter-spacing: 0.01em;
}
/* Hide the default icon if you want a clean text-led brand */
.brand-content-icon {
display: none;
}
/* Main headings, e.g. SMS two-factor */
h1, .h1 {
color: var(--brand-primary);
font-weight: 300;
letter-spacing: -0.03em;
margin-bottom: 1.5rem;
}
/* General supporting text */
.info-message,
.info-message-filter,
.help-block,
.text-muted,
small {
color: var(--brand-muted) !important;
}
/* Labels */
label,
.label-control {
color: var(--brand-primary) !important;
font-weight: 500;
}
/* Inputs */
.form-control,
.input-control {
border: 1px solid #cfd9e2;
border-radius: 0.5rem;
color: var(--brand-text);
min-height: 2.8rem;
background-color: #ffffff;
}
.form-control:focus,
.input-control:focus,
.input:focus {
border-color: var(--brand-accent);
box-shadow: 0 0 0 0.2rem rgba(31, 138, 138, 0.18);
outline: none !important;
}
/* Primary button */
.btn-primary,
.btn-primary:hover,
.btn-primary:focus,
.btn-primary:active,
.btn-primary:not(:disabled):not(.disabled).active,
.btn-primary:not(:disabled):not(.disabled):active,
.show > .btn-primary.dropdown-toggle {
color: #ffffff;
background-color: var(--brand-primary);
border-color: var(--brand-primary);
border-radius: 0.5rem;
font-weight: 500;
padding-left: 1.15rem;
padding-right: 1.15rem;
}
.btn-primary:hover,
.btn-primary:active,
.btn-primary:not(:disabled):not(.disabled):active {
background-color: var(--brand-primary-dark);
border-color: var(--brand-primary-dark);
}
.btn-primary:focus,
.btn-primary:not(:disabled):not(.disabled).active:focus,
.btn-primary:not(:disabled):not(.disabled):active:focus,
.show > .btn-primary.dropdown-toggle:focus {
box-shadow: 0 0 0 0.2rem rgba(22, 50, 79, 0.22);
}
/* Disabled button */
.btn-primary.disabled,
.btn-primary:disabled {
color: #ffffff;
background-color: #8ea3b7;
border-color: #8ea3b7;
}
/* Links */
a,
a:hover,
.btn-link,
.btn-link:hover,
.btn-link:focus,
.btn-link:not(:disabled):not(.disabled):active,
.btn-link:not(:disabled):not(.disabled).active,
.show > .btn-link.dropdown-toggle {
color: var(--brand-accent-dark);
text-decoration: none;
}
a:hover,
.btn-link:hover {
text-decoration: underline;
}
/* Checkbox */
.form-check-label {
color: var(--brand-text) !important;
font-weight: 400;
}
/* Optional info panel before or inside login box */
div.page-content::before {
content: "Sign in with your company account. Multi-factor authentication may be required for added security.";
display: block;
background: var(--brand-accent-soft);
color: var(--brand-primary);
border: 1px solid #cfe7e7;
border-radius: 0.75rem;
padding: 0.9rem 1rem;
margin-bottom: 1.5rem;
font-size: 0.96rem;
line-height: 1.45;
}
/* Footer */
.footer,
footer {
color: var(--brand-muted);
font-size: 0.85rem;
}
/* Mobile */
@media (max-width: 767.98px) {
.container.body-content {
padding-top: 1.5rem;
padding-bottom: 1.5rem;
}
.page-content {
border-radius: 0.9rem;
padding: 1.5rem;
box-shadow: 0 0.75rem 2rem rgba(15, 36, 57, 0.08);
}
.brand-content-text::before {
font-size: 2.2rem;
}
.brand-content-text::after {
font-size: 1rem;
}
}