Was ist Föderation?
Föderation bezeichnet im Allgemeinen eine Zusammenarbeit oder einen Zusammenschluss. Im Kontext des Internets beschreibt Föderation jedoch speziell die dienstübergreifende Integration der Benutzerauthentifizierung. Durch den Austausch von Authentifizierungsinformationen zwischen verschiedenen Diensten können Benutzer mit einer einzigen Anmeldung auf mehrere Anwendungen oder Plattformen zugreifen.
Eine gängige Methode zur Implementierung von Föderation ist SAML (Security Assertion Markup Language), ein Standardprotokoll für die domänenübergreifende Benutzerauthentifizierung. Mit SAML können Benutzer per Single Sign-on (SSO) auf mehrere Dienste zugreifen, die in unterschiedlichen Internetdomänen gehostet werden. Wird SAML beispielsweise zwischen einem internen System und einem Cloud-Dienst eingesetzt, können sich Benutzer beim internen System anmelden und gleichzeitig Zugriff auf den Cloud-Dienst erhalten, ohne sich ein zweites Mal authentifizieren zu müssen. SAML basiert auf XML und wurde 2002 standardisiert; Version 2.0 wurde 2005 eingeführt.
Um SSO zwischen verschiedenen Domänen zu ermöglichen, müssen Authentifizierungsinformationen zwischen diesen Domänen ausgetauscht werden. In der SAML-Terminologie:
- Ein Identitätsanbieter (Identity Provider, IdP) stellt Authentifizierungsinformationen aus und übernimmt dabei die Benutzerverifizierung sowie die Erstellung von Assertions.
- Ein Service Provider (SP) stützt sich auf die Authentifizierungsinformationen, um den Zugriff auf seine Dienste zu gewähren.
Wenn ein Benutzer versucht, auf einen SP zuzugreifen, leitet der SP die Anfrage zusammen mit einer SAML-Authentifizierungsanfrage an den IdP weiter. Der IdP authentifiziert den Benutzer auf Grundlage der empfangenen Anfrage. Nach Abschluss der Authentifizierung stellt der IdP eine Assertion aus, die Details wie den Authentifizierungsstatus, Benutzerattribute und Zugriffsberechtigungen enthält. Der SP verwendet diese Assertion, um die Zugriffskontrolle durchzusetzen und die entsprechenden Berechtigungen zu gewähren.
F5 BIG-IP Access Policy Manager (APM) ist eine von F5 bereitgestellte Lösung, die SAML 2.0 unterstützt und SSO-Funktionen umfasst. Sie kann als IdP fungieren, um Benutzer zu authentifizieren und Assertions auszustellen, oder als SP, um Assertions zu empfangen und den Zugriff auf Anwendungen zu steuern.
