FoxIDs von innen
FoxIDs ist als mandantenfähige Identitätsplattform aufgebaut. Die administrative Konfiguration, die operativen Identitäten und die Protokoll-Endpunkte sind in explizite Bereiche unterteilt, sodass eine einzige Bereitstellung viele Organisationen und viele unabhängige Identitätsanbieter beherbergen kann.
Plattformhierarchie
Die Hierarchie trennt die Plattformverwaltung von der Mandantenverwaltung und der operativen Identitätskonfiguration.
| Geltungsbereich | Zweck | Enthält |
|---|---|---|
| Plattform-Master-Tenant | Verwaltet die Bereitstellung von FoxIDs | Die Plattform-Master-Umgebung, FoxIDs-Administratorbenutzer und die plattformweite Konfiguration |
| Mandant | Isoliert eine Organisation oder einen Kunden | Eine Mandanten-Master-Umgebung und eine beliebige Anzahl regulärer Umgebungen |
| Mandanten-Master-Umgebung | Verwaltet einen Mandanten | Mandantenspezifische Master-Konfiguration und Mandanten-Administratorbenutzer |
| Umgebung | Funktioniert als unabhängiges Identity Provider | Endpunkte, ein Benutzer-Repository, Zertifikate, Authentifizierungsmethoden, Anwendungsregistrierungen und Umgebungseinstellungen |
Betreiber von Shared-Cloud-Bereitstellungen können zudem Tarife im Master-Mandanten der Plattform definieren, um Preise und enthaltene Nutzungsmengen den Mandanten zuzuordnen und diese in einem externen Abrechnungssystem zu verarbeiten.
Reguläre Umgebungen sind für operative Benutzer und Integrationen vorgesehen. Die Master-Umgebungen dienen weiterhin als Verwaltungsgrenzen und sollten nicht als Ersatz für Entwicklungs-, Test- oder Produktionsumgebungen verwendet werden.
Umgebungsisolation
Jede Umgebung verfügt über einen eindeutigen technischen Namen, der Teil ihrer Endpunkte ist. Konfigurations- und Laufzeit-Identitätsdaten sind auf diese Umgebung beschränkt.
Das bedeutet:
- Ein Benutzer in einer Umgebung existiert nicht automatisch in einer anderen.
- Zertifikate, Passwortrichtlinien, Claim-Zuordnungen, benutzerspezifische Texte und Zugriffsstrukturen sind umgebungsspezifisch.
- Authentifizierungsmethoden definieren vorgelagerte Identitätsanbieter und lokale Anmeldeoptionen für die Umgebung.
- Anwendungsregistrierungen definieren die Anwendungen und APIs, die der Umgebung vertrauen.
- Vertrauen zwischen Umgebungen besteht nur, wenn eine Umgebungsverknüpfung oder eine OpenID Connect-Verbindung explizit konfiguriert wurde.
FoxIDs unterstützt eine unbegrenzte Anzahl von Mandanten, eine unbegrenzte Anzahl von Umgebungen pro Mandant und eine unbegrenzte Anzahl von Benutzern pro Umgebung. Die tatsächliche Kapazität hängt von den Bereitstellungsressourcen und dem Datenspeicher ab.
Konfigurationsbereiche
Fahren Sie mit dem Bereich fort, den Sie konfigurieren möchten:
- Umgebungen und Zertifikate: Umgebungen, Zertifikate
- Benutzer und Verzeichnisse: Benutzer, Interne Benutzer, Externe Benutzer, Directory Connector, Directory Connector für AD, Viele Benutzer hochladen
- Zugriff und Claims: Zugriffsstruktur, Claims, Claim-Transformationen und Aufgaben
- Benutzeroberfläche und Nachrichten: Erweitertes UI, E-Mail-Anbieter, SMS-Anbieter
- Betrieb und Administration: Protokollierung, FoxIDs Control Client und API
Anforderungspfad über FoxIDs
FoxIDs ermittelt den Mandanten und die Umgebung anhand der Anfrage-URL, bevor eine Authentifizierungs- oder Token-Anfrage verarbeitet wird. Innerhalb der ausgewählten Umgebung:
- Die Anwendungsregistrierung validiert die eingehende Anwendungs- oder API-Anfrage.
- FoxIDs wählt eine zulässige Authentifizierungsmethode aus, entweder direkt oder über die Home-Realm-Erkennung.
- Die Authentifizierungsmethode meldet den Benutzer lokal an oder delegiert die Authentifizierung an einen vorgelagerten Identitätsanbieter.
- Claims werden innerhalb von FoxIDs normalisiert, zugeordnet und transformiert.
- Die Anwendung erhält die Antwort in dem von ihr konfigurierten Protokoll, wobei FoxIDs bei unterschiedlichen Protokollen der beiden Seiten eine Protokollbrücke herstellt.
Die Anwendung und die Authentifizierungsmethode bleiben somit unabhängig voneinander konfigurierbar, während FoxIDs das Routing, die Claims und die Protokollübersetzung zwischen ihnen übernimmt.
Technische Einschränkungen
FoxIDs wendet maximale Längen auf extern bereitgestellte Protokollwerte an, um Speicher, Speicherkapazität und die Anforderungsverarbeitung zu schützen. Je nach Wert und Protokoll werden zu große Daten abgelehnt oder gekürzt.
URLs
- Eine URL darf maximal 10.240 Zeichen enthalten.
- Ein Abfrage-String darf maximal 10.240 Zeichen enthalten.
Claims
- Ein Claim-Typ vom Typ JWT darf maximal 80 Zeichen enthalten.
- Ein Claim-Typ vom Typ SAML 2.0 darf maximal 300 Zeichen enthalten.
- Die maximale verarbeitete Länge für einen einzelnen Claim-Wert sowie für kombinierte Claim-Werte beträgt 200.000 Zeichen. Zu große Claim-Werte in empfangenen Tokens werden gekürzt.
Wird ein JWT als Claim-Wert übermittelt, unterliegt dieser derselben Claim-Wert-Beschränkung.
Token und SAML-Nachrichten
- Ein von FoxIDs empfangener JWT, der ein Zugriffstoken, ein ID-Token oder ein Aktualisierungstoken enthält, darf maximal 256.000 Zeichen umfassen.
- FoxIDs kann einen größeren JWT ausstellen, da einzelne Ansprüche begrenzt werden, anstatt das gesamte generierte Token zu kürzen.
- Eine SAML 2.0-Anfrage oder -Antwort darf maximal 256.000 Zeichen umfassen.
- Eine SAML-Nachricht, die die HTTP Redirect-Bindung verwendet, unterliegt ebenfalls den Beschränkungen für URLs und Abfragezeichenfolgen.