FoxIDs van binnenuit

FoxIDs is opgezet als een multi-tenant identiteitsplatform. Administratieve configuratie, operationele identiteiten en protocol-eindpunten zijn onderverdeeld in expliciete scopes, waardoor één implementatie ruimte biedt aan vele organisaties en vele onafhankelijke identiteitsproviders.

Structuur van het FoxIDs-platform, de tenants en de omgevingen

Platformhiërarchie

De hiërarchie maakt een onderscheid tussen platformbeheer, tenantbeheer en de operationele configuratie van identiteiten.

Toepassingsgebied Doel Bevat
Platform-mastertenant Beheert de implementatie van FoxIDs De platform-masteromgeving, FoxIDs-beheerders en platformbrede configuratie
Tenant Isoleert een organisatie of klant Een tenant-masteromgeving en een willekeurig aantal reguliere omgevingen
Tenant-masteromgeving Beheert één tenant Tenant-specifieke masterconfiguratie en tenantbeheerders
Omgeving Fungeert als een onafhankelijke Identity Provider Eindpunten, een gebruikersrepository, certificaten, authenticatiemethoden, applicatieregistraties en omgevingsinstellingen

Beheerders van gedeelde cloudimplementaties kunnen ook abonnementen definiëren in de hoofdtenant van het platform om prijzen en inbegrepen gebruiksvolumes te koppelen aan tenants, zodat deze in een extern factureringssysteem kunnen worden verwerkt.

Reguliere omgevingen zijn bedoeld voor operationele gebruikers en integraties. De masteromgevingen blijven bestemd voor beheerdoeleinden en mogen niet worden gebruikt als vervanging voor ontwikkel-, test- of productieomgevingen.

Omgevingsisolatie

Elke omgeving heeft een unieke technische naam die deel uitmaakt van de eindpunten ervan. Configuratie- en runtime-identiteitsgegevens zijn beperkt tot die omgeving.

Dit betekent dat:

  • Een gebruiker in de ene omgeving bestaat niet automatisch in een andere.
  • Certificaten, wachtwoordbeleidsregels, claimtoewijzingen, gebruikersgerichte teksten en toegangsstructuren zijn omgevingsspecifiek.
  • Authenticatiemethoden definiëren upstream-identiteitsproviders en lokale aanmeldingsopties voor de omgeving.
  • Toepassingsregistraties definiëren de toepassingen en API’s die de omgeving vertrouwen.
  • Vertrouwen tussen omgevingen bestaat alleen wanneer een omgevingskoppeling of OpenID Connect-verbinding expliciet is geconfigureerd.

FoxIDs ondersteunt een onbeperkt aantal tenants, een onbeperkt aantal omgevingen per tenant en een onbeperkt aantal gebruikers per omgeving. De daadwerkelijke capaciteit is afhankelijk van de implementatiemiddelen en de gegevensopslag.

Configuratiegebieden

Ga verder met het gebied dat overeenkomt met wat u wilt configureren:

Aanvraagpad via FoxIDs

FoxIDs bepaalt de tenant en de omgeving op basis van de verzoek-URL voordat een authenticatie- of tokenverzoek wordt verwerkt. Binnen de geselecteerde omgeving:

  1. De applicatieregistratie valideert het binnenkomende applicatie- of API-verzoek.
  2. FoxIDs selecteert een toegestane authenticatiemethode, hetzij direct, hetzij via home realm discovery.
  3. De authenticatiemethode meldt de gebruiker lokaal aan of delegeert de authenticatie aan een upstream-identiteitsprovider.
  4. Claims worden binnen FoxIDs genormaliseerd, toegewezen en getransformeerd.
  5. De applicatie ontvangt het antwoord in het geconfigureerde protocol, waardoor FoxIDs protocollen kan overbruggen wanneer de twee kanten van elkaar verschillen.

De applicatie en de authenticatiemethode blijven daardoor onafhankelijk configureerbaar, terwijl FoxIDs zorgt voor de routing, claims en protocolconversie tussen beide.

Technische beperkingen

FoxIDs past maximale lengtes toe op extern aangeleverde protocolwaarden om het geheugen, de opslag en de verwerking van verzoeken te beschermen. Afhankelijk van de waarde en het protocol worden te grote gegevens geweigerd of ingekort.

URL's

  • Een URL mag maximaal 10.240 tekens bevatten.
  • Een queryreeks mag maximaal 10.240 tekens bevatten.

Claims

  • Een claimtype van het type JWT mag maximaal 80 tekens bevatten.
  • Een claimtype van het type SAML 2.0 mag maximaal 300 tekens bevatten.
  • De maximale verwerkte lengte voor een afzonderlijke claimwaarde en voor gecombineerde claimwaarden is 200.000 tekens. Te lange claimwaarden in ontvangen tokens worden afgekapt.

Als een JWT als claimwaarde wordt meegedragen, geldt hiervoor dezelfde limiet voor claimwaarden.

Tokens en SAML-berichten

  • Een JWT dat wordt ontvangen door FoxIDs, inclusief een toegangstoken, ID-token of vernieuwingstoken, mag maximaal 256.000 tekens bevatten.
  • FoxIDs kan een groter JWT genereren, omdat individuele claims worden begrensd in plaats van dat het volledige gegenereerde token wordt afgekapt.
  • Een SAML 2.0-verzoek of -antwoord mag maximaal 256.000 tekens bevatten.
  • Een SAML-bericht dat gebruikmaakt van de HTTP Redirect-binding is ook onderworpen aan de limieten voor de URL en de query-string.