Service Provider
Der Begriff Service Provider kann mehrere Bedeutungen haben. Häufig bezieht sich der Begriff auf Online-Dienstleister wie Managed Service Provider, Payment Service Provider oder Internet Service Provider. Auch HelloID ist ein Beispiel für einen IAM Service Provider.
In diesem Wissensartikel konzentrieren wir uns jedoch speziell auf Service Provider (SP), die mit sogenannten Identity Providern (IdP) in einer Vertrauensbeziehung zusammenarbeiten, um die Authentifizierung von Benutzern zu zentralisieren, zu verbessern und zu vereinfachen.
Was ist ein Service Provider?
In diesem Zusammenhang ist ein Service Provider eine Cloud-Anwendung oder Website, die die Authentifizierung der Benutzer nicht selbst durchführt, sondern an einen Identity Provider delegiert. Dabei handelt es sich um eine zentrale Authentifizierungsplattform, die alle erforderlichen Identifikations- und Authentifizierungsdaten verwaltet. Beide Systeme müssen einander vertrauen und bilden daher eine sogenannte Trust Relationship oder Vertrauensbeziehung.
Eine solche Vertrauensbeziehung wird insbesondere in Organisationen mit vielen Benutzern und mehreren Cloud-Anwendungen eingesetzt. Die dezentrale Verwaltung von Anmeldedaten ist dann komplex, zeitaufwendig und fehleranfällig. Dies lässt sich mit einer zentralen Authentifizierungsplattform lösen. Als zusätzlichen Vorteil für Benutzer können Sie damit Single Sign-On (SSO) anbieten. Wurde ein Benutzer bereits auf Anfrage von Service Provider 1 authentifiziert, muss dies für Service Provider 2 nicht wiederholt werden. Der Benutzer muss sich somit nur einmal anmelden.
Was macht ein Service Provider?
Wie funktioniert eine solche Vertrauensbeziehung für den Service Provider? Wir erläutern dies anhand von zwei Szenarien. Im ersten beschreiben wir, wie das traditionelle, eigenständige Anmeldeverfahren funktioniert. Anschließend skizzieren wir den Authentifizierungsprozess innerhalb einer Zusammenarbeit, bei der die Anwendung als Service Provider in einer solchen Vertrauensbeziehung fungiert.
Direkte Authentifizierung
Ein Benutzer versucht, auf die Anwendung zuzugreifen.
Die Anwendung erkennt, dass der Benutzer nicht angemeldet ist. Daher wird der Benutzer zum Anmeldebildschirm weitergeleitet.
Dort gibt der Benutzer Anmeldedaten wie Benutzername und Passwort ein.
Die Anwendung überprüft damit die Identität des Benutzers. Bei erfolgreicher Authentifizierung erhält der Benutzer Zugriff.
Authentifizierung beim IdP, Anwendung fungiert als SP innerhalb einer Vertrauensbeziehung
Ein Benutzer versucht, auf die Anwendung zuzugreifen.
Die Anwendung erkennt, dass der Benutzer nicht angemeldet ist, und sendet daher in ihrer Rolle als Service Provider eine Authentifizierungsanfrage an den IdP.
Der Benutzer wird zur Anmeldeseite des IdP weitergeleitet. Dort gibt der Benutzer Anmeldedaten wie Benutzername und Passwort ein.
Der IdP überprüft damit die Identität und generiert bei erfolgreicher Verifizierung ein sogenanntes Authentifizierungstoken. Dabei handelt es sich um einen verschlüsselten digitalen Zugriffsnachweis.
Der Benutzer wird zusammen mit diesem Token zurück zum Service Provider geleitet.
Der Service Provider validiert das Token und der Benutzer erhält Zugriff.
Der Zugriff erfolgt somit indirekt. Zwischen dem Identity Provider und dem Service Provider besteht eine Vertrauensbeziehung. Daher gewährt die Anwendung Zugriff auf Grundlage des empfangenen Authentifizierungstokens.
SSO mit mehreren Service Providern
Wenn Sie Single Sign-On (SSO) implementiert haben, müssen sich Benutzer nicht für jede Anwendung erneut anmelden. Hat sich eine Person mithilfe des Identity Providers bereits für Service Provider 1 authentifiziert, kann die Authentifizierung für Service Provider 2 automatisch erfolgen. Nachfolgend beschreiben wir dieses Szenario.
Zugriff auf Service Provider 2 mit SSO
Die Authentifizierung des Benutzers für Service Provider 1 wurde zuvor bereits erfolgreich durchgeführt, siehe vorherigen Abschnitt.
Derselbe Benutzer versucht anschließend, auch auf Service Provider 2 zuzugreifen.
Dieser erkennt, dass der Benutzer nicht angemeldet ist, und sendet daher eine Authentifizierungsanfrage an den IdP.
Der IdP erkennt, dass der Benutzer bereits eine aktive Sitzung mit Service Provider 1 hat. Der Benutzer muss daher nicht erneut verifiziert werden.
Stattdessen wird direkt ein Authentifizierungstoken erstellt und an Service Provider 2 gesendet.
Dieser validiert das Token und gewährt dem Benutzer Zugriff.
Der Benutzer ist somit bei Service Provider 2 angemeldet, ohne erneut einen Authentifizierungsschritt durchlaufen zu müssen. Diese Funktion ist jedoch optional. Sie können auch festlegen, dass sich Benutzer bei jedem Service Provider separat anmelden müssen. Eine solche Vertrauensbeziehung mit einem zentralen Identity Provider ist jedoch besonders gut für SSO geeignet.
IAM-Integrationen mit Service Providern
Viele Organisationen verwenden daher einen Identity Provider, um die zentrale Authentifizierung und das Single Sign-On ihrer Benutzer bereitzustellen. Eine häufig verwendete Lösung ist beispielsweise Entra ID.
Anschließend können Sie eine IAM-Lösung wie HelloID verwenden, um diese Authentifizierungsplattform mit den erforderlichen Identifikations- und Authentifizierungsdaten, den Credentials, zu versorgen. Darüber hinaus können Sie zusätzliche Benutzerattribute wie die Funktion oder Abteilung einer Person provisionieren. Während der Authentifizierung können diese Daten an den Service Provider übermittelt werden, der sie lokal verwendet, um die Berechtigungen des Benutzers zu bestimmen.
Mit diesem Mechanismus können Sie Benutzerberechtigungen in der Regel jedoch nur auf einer übergeordneten Ebene festlegen. Bei elektronischen Patientenakten oder Fachverfahren möchten Organisationen Berechtigungen häufig deutlich granularer anhand mehrerer Attribute und weiterer Daten bestimmen. Dies ist oft nur möglich, wenn Sie die Berechtigungsverwaltung direkt über eine direkte Integration mit dem Service Provider aus der IAM-Plattform heraus durchführen. Um solche Service Provider an die IAM-Plattform anzubinden, bietet HelloID ein umfangreiches Set an Konnektoren.
Möchten Sie mehr über die Anbindung von Service Providern erfahren?
Möchten Sie mehr darüber erfahren, wie verschiedene Systeme mithilfe von Konnektoren an Ihre HelloID IAM-Umgebung angebunden werden können? Weitere Informationen finden Sie in unserem Konnektorenkatalog.