Authentifizierung und OIDC

INHALTSVERZEICHNIS

• Überblick
• Unterstützte Authentifizierungsflüsse
• Öffentliche vs. vertrauliche OIDC-Clients
• Erforderliche OIDC-Konfigurationsdetails
• Microsoft Entra-Referenz
• Verantwortlichkeiten des Operators

Authentifizierung in Omnidocs Create

Überblick

Als Operator können Sie die OpenID Connect (OIDC)-Authentifizierung für eine Organisation konfigurieren. Dadurch kann die Organisation Benutzer über einen anderen Identity Provider anstelle von Entra ID authentifizieren.

Omnidocs Create unterstützt OIDC mit dem Authorization Code Flow mit PKCE. Dies gilt sowohl für standardmäßige OAuth 2.0-Integrationen als auch für vollständige OIDC-Konfigurationen.

Sie konfigurieren OIDC pro Organisation.

Unterstützte Authentifizierungsflüsse

Omnidocs Create verwendet den Authorization Code Flow mit PKCE für alle OIDC- und OAuth 2.0-Integrationen.

Sie sollten diesen Flow immer verwenden, wenn Sie einen Identity Provider konfigurieren.

Dieser Ansatz verhindert das Offenlegen von Tokens, funktioniert sicher in browserbasierten Umgebungen und entspricht modernen Best Practices für OAuth 2.0 und OIDC.

Eine ausführliche Erklärung dieses Flows finden Sie in der Keycloak-Dokumentation.

Öffentliche vs. vertrauliche OIDC-Clients

Bei der Konfiguration von OIDC müssen Sie auswählen, ob die Organisation einen öffentlichen oder vertraulichen Client verwendet.

Öffentliche Clients

Sie konfigurieren einen öffentlichen Client, wenn der Identity Provider kein Client-Secret erfordert.

Öffentliche Clients:

• Erfordern kein Client-Secret
• Verlassen sich aus Sicherheitsgründen auf HTTPS und eine strikte Redirect-URI-Validierung
• Sind für browserbasierte Anwendungen wie SPAs erforderlich

Vertrauliche Clients

Sie konfigurieren einen vertraulichen Client, wenn der Identity Provider ein Client-Secret ausstellt.

Vertrauliche Clients:

• Erfordern ein Client-Secret beim Austausch von Autorisierungscodes gegen Tokens
• Werden typischerweise in Server-zu-Server- oder Backend-unterstützten Flows verwendet
• Bieten eine zusätzliche Sicherheitsebene

Auswahl des richtigen Client-Typs

Sie sollten öffentlichen Client wählen, wenn die Authentifizierung vollständig im Browser erfolgt.

Sie sollten vertraulichen Client wählen, wenn Ihr Identity Provider ein Client-Secret erfordert.

Beide Client-Typen werden von Omnidocs Create unterstützt.

Erforderliche OIDC-Konfigurationsdetails

Wenn Sie OIDC für eine Organisation konfigurieren, müssen Sie die erforderlichen Informationen vom Kunden oder vom Identity Provider einholen.

Konfiguration eines öffentlichen Clients

Für eine öffentliche OIDC-Konfiguration benötigen Sie:

• OIDC-Metadaten oder Discovery-Endpoint
• Client-ID
• Redirect-URI:\ https\://[HOST]/auth/callback

Für öffentliche Clients geben Sie kein Client-Secret an.

Konfiguration eines vertraulichen Clients

Für eine vertrauliche OIDC-Konfiguration benötigen Sie:

• OIDC-Metadaten oder Discovery-Endpoint
• Client-ID
• Client-Secret
• Optionale Redirect-URI:\ https\://[HOST]/auth/callback-web

Sie sollten das Client-Secret sicher speichern und als sensible Information behandeln.

Microsoft Entra-Referenz

Wenn die Organisation Microsoft Entra verwendet, können Sie den SSO-Artikel für Microsoft Entra ID lesen.

Verantwortlichkeiten des Operators

Als Operator sind Sie verantwortlich für:

• Die Auswahl des richtigen Client-Typs für die Organisation
• Die Überprüfung von Redirect-URIs vor der Aktivierung der Authentifizierung
• Die Sicherstellung, dass HTTPS erzwungen wird
• Die Validierung der OIDC-Konfiguration mit dem Kunden vor der Einführung

Bitte beachten Sie, dass eine falsche OIDC-Konfiguration den Benutzerzugriff für die gesamte Organisation blockieren kann.