OpenID Connect

Digitales Identitäts- und Zugangsmanagement ist für die Sicherheit jeder Organisation von größter Bedeutung. Durch die Verwaltung der Identitäten von Personen wird definiert, wer die Organisation ausmacht. Indem es regelt, wer auf welche Daten auf welche Weise zugreifen kann, und indem es diese Personen authentifiziert, spiegelt es sowohl die Konturen einer Organisation wider als auch gestaltet es sie selbst mit. Sie befasst sich mit den Rollen und Fähigkeiten, die Menschen in Bezug auf eine Organisation haben.

Delegieren von Identität und Authentifizierung
Identität und Authentifizierung ist auch ein Bereich, in dem Organisationen dazu neigen, individuelle Anforderungen und besondere Bedürfnisse zu haben. Aus diesem Grund versucht ownCloud nicht, Organisationen zu einer bestimmten Lösung zu drängen, sondern bietet eine offene Standardschnittstelle für volle Flexibilität.

Unternehmen, die ownCloud nutzen wollen, haben praktisch freie Wahl unter den Identity Providern, die den OpenID Connect-Authentifizierungsstandard unterstützen.

Ob Unternehmen ein herkömmliches LDAP-basiertes Identity Management oder Microsofts Cloud-basiertes Azure AD, Keycloak oder Ping Federate, einen Identity-as-a-Service wie cidaas oder einen On-Premises-Open-Source-Identity-Provider wie Kopano Konnect bevorzugen – ownCloud ist dafür gerüstet.

Die Nutzung von OpenID Connect für die Authentifizierung bringt auch Single Sign-on Fähigkeiten mit- ein Satz von Anmeldeinformationen kann auch für alle anderen kompatiblen Anwendungen verwendet werden.

So funktioniert es:
Um sich mit einem beliebigen Client, wie zum Beispiel der ownCloud App, anzumelden, authentifiziert sich der Benutzer in seinem Browser gegenüber dem Identity Provider. Bei Erfolg stellt der Identity Provider dem Client ein Token aus, um den Zugriff zu ermöglichen. Auf diese Weise bekommt der ownCloud-Client oder die ownCloud-App die Anmeldedaten des Benutzers gar nicht erst zu Gesicht, was die Angriffsfläche reduziert.

Was genau ein Benutzer einem Identitätsanbieter vorlegen muss, um Zugang zu erhalten, ist ausschließlich Sache des Identitätsanbieters. Ob es sich dabei nur um ein Passwort, einen zusätzlichen Faktor wie einen Einmalcode oder einen Fingerabdruck oder sogar einen Hardware-Authentifizierungsschlüssel handelt. Dies eröffnet Unternehmen eine Vielzahl von Möglichkeiten.

Außerdem können diese Client-Tokens widerrufen werden oder ablaufen, sogar programmgesteuert, z. B. beim Verlassen des Unternehmensnetzes oder wenn verdächtiges Verhalten festgestellt wird.

All dies gibt Unternehmen viel Flexibilität, um die Sicherheit nach ihren Bedürfnissen zu definieren und auszuführen. Sie können zum Beispiel den Zugriff auf ihre ownCloud auf Büronetzwerke beschränken, außer für die Verwaltung, außer auf Reisen in bestimmten Ländern. Derselbe Identity Provider kann seinen Mitarbeitern den Zugriff auf andere Dienste wie E-Mail von außerhalb des Büros erlauben, diesen Zugriff aber auf Werktage und ein bestimmtes Zeitfenster beschränken.