Bevor man SSO in Quinyx einrichtet, ist es wichtig, die Grundlagen durchzugehen, um die Einrichtung zu vereinfachen. SSO ist die Abkürzung für Single Sign-On und wird in Quinyx verwendet, um die Authentifizierung von den integrierten Methoden zur Authentifizierung von Nutzern beispielsweise über Benutzernamen und Passwort auf eine kundengesteuerte Methode umzustellen.
SSO bietet zahlreiche Verbesserungen wie Sicherheit und Einfachheit gegenüber Benutzername und Passwort – aber am wichtigsten ist, dass es dem Kunden die Kontrolle über die Anmeldung und Authentifizierung bei Quinyx gibt.
Technologien und Protokolle
Mit der Entwicklung von SSO im Laufe der Jahre wurden eine Reihe von Protokollen und Standards etabliert, um das SSO zwischen verschiedenen Systemen zu vereinfachen. Zwei gängige Protokolle, die von Quinyx unterstützt werden, sind SAML 2.0 für Web und OpenID Connect (OAuth2) für mobile Apps.
Mit der Zeit könnten weitere Protokolle von Quinyx unterstützt werden.
Die Protokolle existieren, um die Implementierung und Kompatibilität zwischen verschiedenen Systemen zu vereinfachen, sodass jeder Anbieter, in diesem Fall Quinyx, nicht für jeden Anbieter spezifische Unterstützung (Azure ADFS, Onelogin, Okta, Google usw.) entwickeln muss – wir sprechen alle eine gemeinsame Sprache. Gemeinsam mit allen Protokollen gibt es eine Liste von Einstellungen wie Zertifikate, URLs und potenzielle Geheimnisse, die geteilt werden müssen, um das Vertrauen zwischen beiden herzustellen.
Obwohl die URLs zwischen verschiedenen Anbietern unterschiedlich aussehen können, bieten sie alle die gleiche Funktionalität, da sie mit dem angegebenen Protokoll kompatibel sind.
Quinyx SSO grundlegende Schritte
Die Konfiguration und Nutzung von SSO kann in verschiedene Schritte unterteilt werden:
Technisches Vertrauen zwischen zwei Systemen
Datenmapping
SSO-Nutzer sind nicht durch den Quinyx-Passwortreset gesperrt, was bedeutet, dass keine Abhängigkeit besteht, die SSO-Nutzer daran hindert, sich einzuloggen, wenn der Passwort-Zurücksetzungsprozess in Quinyx aktiviert wurde.
Technisches Vertrauen zwischen zwei Systemen
Eine Voraussetzung dafür, dass SSO zwischen Quinyx und der IT-Umgebung des Kunden arbeitet, ist der Aufbau des technischen Vertrauens zwischen beiden Parteien. Dies geschieht einmal und häufig von der für das System zuständigen IT-Abteilung beim Kunden. Die Quinyx-Benutzeroberfläche bietet eine Selbstbedienungsmöglichkeit, alle Einstellungen einzugeben, die erforderlich sind, um das Vertrauen zwischen Quinyx und dem vom Kunden gewählten System herzustellen.
Hier werden alle URLs, Geheimnisse und Zertifikate verwendet, um dieses Vertrauen zu konfigurieren und herzustellen. Um diesen Prozess in SAML 2.0 zu vereinfachen, werden alle erforderlichen Informationen in einer "Metadaten"-Datei gespeichert, die zwischen den Parteien geteilt wird. Diese Datei minimiert das Risiko von Tippfehlern und Fehlkonfigurationen, da sie alle Informationen enthält, die zur Konfiguration des Trusts benötigt werden. OpenID Connect hat ähnliche Anweisungen namens "Well Known URIs", ein Weblink mit allen URIs, die zur Einrichtung von OpenID benötigt werden (oft endet mit /.well-known/openid-configuration).
Datenmapping
Wenn das technische Vertrauen hergestellt ist, kommunizieren die beiden Systeme während der Anmeldung. Allerdings bleibt noch eine Sache zu konfigurieren, und das ist die Datenzuordnung. Das Kundensystem, von hier an IDP (IDentity Provider) genannt, stellt eine Datenbank der Mitarbeiter bereit, die sich bei Quinyx anmelden müssen. Der IDP kann intern beim Kunden mit hoher Komplexität aus vielen verschiedenen Systemen aufgebaut werden. Oder es kann ein einzelnes System in seiner einfachsten Form sein, wie eine Tabelle mit allen Mitarbeiterinformationen.
Wenn ein Mitarbeiter SSO verwendet, um sich bei Quinyx anzumelden, werden verschiedene Benutzereigenschaften aus der IDP-Datenbank als Teil des verwendeten Protokolls an Quinyx gesendet.
Obwohl Protokolle zur Vertrauensbildung bestimmte spezifische Details und Empfehlungen enthalten, entscheiden sie nicht genau, was alle Felder enthalten sollen. Dies erfordert eine Konfiguration in der Datenabbildung. Viele Anbieter von OpenID Connect haben einige gängige Ansprüche, die zum Beispiel eine E-Mail-Adresse in einem bestimmten Feld enthalten. Ein bestimmter Anspruch passt vielleicht nicht zu jedem Quinyx-Kunden, daher lassen wir den Kunden selbst wählen, welchen er verwenden möchte.
Konfiguration der Datenabbildung
Das Ziel der Datenkartierung ist es, die Informationen über einen Mitarbeiter in der Kunden-IDP-Datenbank mit den Informationen über den Mitarbeiter in Quinyx zu verknüpfen, sodass Quinyx erkennen kann, wer sich einloggt.
Dafür müssen wir ein Feld/eine Eigenschaft aus Quinyx und ein Feld/Eigenschaft in der Kunden-IDP-Datenbank auswählen, um sich gegenseitig zu übereinstimmen und diesen Benutzer eindeutig zu identifizieren. Die ausgewählten Felder werden in die Konfigurationsseite von Quinyx for SSO eingetragen.
Weitere Informationen über SSO finden Sie hier.
Beispieldaten
Beispieldaten in Quinyx (links) und auf der Kundenseite (rechts).
Konfigurieren Sie mit E-Mail und Benutzername
Erster Versuch, das Datenmapping durchzuführen; die Immobilien-E-Mail wird von Quinyx ausgewählt, und der Benutzername stammt aus den Kundendaten.
Der Login schlägt fehl, da die Informationen auf beiden Seiten nicht exakt übereinstimmen.
Konfigurieren Sie mit E-Mail und UPN
Zweiter Versuch, die Datenabbildung durchzuführen; Ich konfiguriere sie um, um E-Mails von Quinyx und UPN aus den Kundendaten zu verwenden. Das führt zu einem anderen Ergebnis.
Der Login ist nun erfolgreich, da Quinyx den Benutzer eindeutig als den richtigen John Doe vom Kunden identifiziert.
Wie man entscheidet, welche Daten verwendet werden sollen
Da das Protokoll nicht genau angibt, welche Daten während SSO verwendet werden sollen, wird empfohlen, die in beiden Systemen verfügbare Daten zu identifizieren. Dann suche dir ein geeignetes Feld, um Nutzer zuzuordnen, bevor du SSO einrichtest. Da Kunden-IDPs oft hoch konfigurierbar sind, ist es möglich, die Daten in welchen Feldern an Quinyx zu ändern, um den Datenmapping-Prozess zu unterstützen – wichtig ist, dass entschieden wird, welches Feld verwendet wird und die Daten konsistent sind.
Wenn keine Daten gefunden werden, um jeden Benutzer zuzuordnen, müssen in einem der Systeme neue Informationen erstellt werden. Dies kann jede Art von eindeutiger Zahl oder Zeichenkette sein, die für jeden Mitarbeiter einzigartig ist. Die Nutzung von Integrationen zu Quinyx und die Aktualisierung jedes Mitarbeiters mit Automatisierung vereinfacht diesen Prozess, um die manuelle Konfiguration der erforderlichen Daten für die Anmeldung zu vermeiden.