Klare Aufgabenteilung
Drei Beteiligte, drei Aufgaben: Der Identity Provider zeigt die Anmeldeseite, prüft Passwort und zweiten Faktor, hält die Sitzung und stellt den Anmeldenachweis aus. CIAS führt Benutzer, Mandanten, Rollen und Gruppen als fachliche Datensätze und entscheidet, wer ein Recht vergeben darf. Die Anwendung setzt durch, was eine Rolle auf den Daten erlaubt.
Ein Passwort sieht CIAS nie. Auch wenn CIAS die Mail mit dem Link zum Passwort-Setzen verschickt, tippt die Person ihr Passwort beim Identity Provider ein.
Eine Schreibrichtung für Rechte
Rechte fließen immer in eine Richtung: Die Anwendung meldet ihre Rollen und Attribute bei CIAS an, CIAS schreibt Rollen, Gruppen und Attribute in den Identity Provider, und von dort kommen sie bei der Anmeldung zurück. Nur CIAS schreibt Rechte. So bleibt jede Vergabe nachvollziehbar, und die Obergrenze bei der Weitergabe lässt sich zuverlässig prüfen.
Jedes Objekt in CIAS hat eine eigene Kennung; die des Identity Providers wird nur als Verweis daneben gespeichert. Ihre Benutzer, Mandanten und Rollen überstehen damit einen Wechsel des Anmeldedienstes.
Austauschbar durch Adapter
Keines der Fachmodule – Registrierung, Benutzer, Rollen, Mandanten – kennt den Identity Provider. Sie beschreiben nur, was gebraucht wird, etwa „lege ein Konto an“ oder „vergib diese Rolle in diesem Mandanten“. Das Wie steckt in einem einzigen Adapter. Ein anderer Identity Provider bedeutet einen neuen Adapter, keine neue Fachlogik. Welche Anmeldedienste in Ihrem Setup unterstützt werden, klären wir im technischen Fit-Gespräch.
Zugänge mit genau benannten Rechten
Welche Zugänge Ihr Identity Provider für das gebaute System bereithalten muss, leitet der Hub aus Ihrer Zusammenstellung ab:
- ein Zugang je Anwendung, der Anmeldenachweise prüft und selbst nichts verwaltet,
- ein Verwaltungszugang, mit dem CIAS Konten, Rollen, Gruppen und Organisationen anlegt – mit genau benannten Rechten,
- optional ein Zugang für Passwort-Links: Der Identity Provider stellt den Link aus, CIAS schreibt die Mail dazu.
Abgleich mit Augenmaß
Beim Start und auf Anforderung bringt CIAS Rollen, Profilattribute und die Namen der Anmeldestufen im Identity Provider auf den Stand. Der Abgleich legt an und legt still, löscht aber nie und vergibt nie. Gruppen, die CIAS nicht selbst angelegt hat, fasst er nicht an; bestehende lassen sich gezielt übernehmen. Ist der Identity Provider beim Start nicht erreichbar, startet die Anwendung trotzdem und berichtet, was offen ist.