Single Sign-on mit Keycloak

Zentrale Identität statt Passwort-Wildwuchs: Wir konzipieren und betreiben Keycloak-Instanzen für B2B-Umgebungen — vom Realm-Design über Föderation bis zur Anbindung Ihrer Anwendungen.

Wann sich zentrale Anmeldung lohnt

Der übliche Auslöser ist keine Sicherheitslücke, sondern ein Austritt: Jemand verlässt das Unternehmen, und die Zugänge müssen an fünf Stellen einzeln entzogen werden. Wer dabei die sechste vergisst, merkt es erst im Audit. Dasselbe gilt umgekehrt beim Eintritt, bei externen Dienstleistern und bei Kunden, die auf ein Portal zugreifen.

Ab drei Anwendungen mit eigener Nutzerverwaltung ist der Punkt meist überschritten. Eine einzelne Anwendung mit einer Handvoll interner Nutzer braucht kein Keycloak — dort ist der Betriebsaufwand höher als der Gewinn, und das sagen wir auch.

Entscheidungen, die dabei anstehen

Wie viele Realms. Ein Realm je Mandant trennt sauber, vervielfacht aber die Pflege; ein Realm mit Gruppen ist schlanker, verlangt aber Disziplin bei den Rechten. Die Entscheidung ist später nur mit Migration zu korrigieren — deshalb steht sie am Anfang.

Wo die Wahrheit über Nutzer liegt. Bleibt das Active Directory die führende Quelle und Keycloak föderiert nur, oder wandern die Konten dorthin? Beides ist tragfähig, aber es darf nicht offenbleiben.

Rollen, Gruppen oder Attribute. Rollen beschreiben, was jemand darf; Gruppen, wer jemand ist. Werden sie vermischt, entsteht ein Modell, das nach zwei Jahren niemand mehr erklären kann.

Wer betreibt. Keycloak-Upgrades sind keine Nebensache: Zwischen Hauptversionen ändern sich Standardwerte und gelegentlich das Datenmodell. Wer die Instanz betreibt, muss diesen Zyklus einplanen.

Was dabei entsteht

• Realm- und Client-Architektur, Rollen- und Gruppenmodell
• OIDC-/SAML-Anbindung bestehender Anwendungen
• User-Föderation (LDAP/AD) und Identity Brokering
• Härtung, Upgrade-Pfad und Betrieb
• Dokumentation des Rechtemodells, damit es prüfbar bleibt

Woran Sie merken, dass es trägt

Ein Austritt wirkt an einer Stelle und sofort. Eine neue Anwendung wird angebunden, statt mit eigener Nutzerverwaltung gebaut zu werden. Und die Frage, wer wann worauf zugreifen durfte, lässt sich aus dem Protokoll beantworten — nicht aus Erinnerung.