Generic OIDC 1.0 Federation Anleitung

Richten Sie die OpenID Connect (OIDC)-Federation mit dem STACKIT IdP ein. Der STACKIT IdP fungiert als Relying Party (RP) und das System Ihrer Organisation als Identity Provider (IdP).

Wenn Sie Microsoft Entra ID integrieren, nutzen Sie stattdessen die speziellen Microsoft Entra ID-Leitfäden: Microsoft Entra ID Enterprise App (Preview) für den empfohlenen Weg, den Microsoft Entra ID-Leitfaden für benutzerdefinierte OIDC-Federation für eine benutzerdefinierte OIDC-Einrichtung oder den Microsoft Entra ID-Leitfaden für benutzerdefinierte SCIM-Provisionierung für eine benutzerdefinierte Provisionierung.

Verhalten bei der Erstellung von Benutzerkonten

OIDC-Federationen in STACKIT können so konfiguriert werden, dass Benutzer beim ersten erfolgreichen Login automatisch erstellt werden (auch bekannt als JIT-Benutzererstellung), abhängig von Ihren Onboarding-Anforderungen.

• Automatische Erstellung aktiviert: Benutzer werden beim ersten erfolgreichen OIDC-Login erstellt, sofern sie nicht bereits existieren.
• Automatische Erstellung deaktiviert: Benutzer müssen bereits existieren (beispielsweise durch SCIM-Provisionierung oder manuelle Einrichtung), bevor sie sich anmelden können.

Legen Sie Ihren bevorzugten Modus während des Onboardings fest, damit die Federation entsprechend konfiguriert werden kann.

Schritt 0: Erstellen Sie eine Anwendung auf Ihrem IdP

Um diese Federation mit Google zu konfigurieren, führen Sie die folgenden Schritte aus.

1. Anwendung erstellen: Sie müssen die Anwendung auf Ihrem externen Identity Provider erstellen, um die Zugangsdaten zu erhalten, die für die Konfiguration der Federation erforderlich sind. Verwenden Sie beim Erstellen des Clients die folgende Adresse als Weiterleitungs-URL:

   https://accounts.stackit.cloud/ui/login/login/externalidp/callback

2. Token-Claims: Konfigurieren Sie in der “Token-Konfiguration” das Token mit den folgenden Claims:
   • Token-Typ: ID
   • Geprüfte Claims:
   • email
   • family_name
   • given_name
   • preferred_username

Schritt 1: Erstellen Sie ein Support-Ticket

Erstellen Sie ein Support-Ticket mit den folgenden Informationen:

Allgemeine Informationen

• Federationstyp: OpenID Connect (OIDC)
• Grund für die Integration: Kurze Erklärung (zum Beispiel: “SSO für Unternehmensbenutzer aktivieren”)
• Email-Domains: Alle Email-Domains, die Ihre Mitarbeiter für die Anmeldung verwenden (zum Beispiel: @example.org und @foobar.com)
• Modus für die Erstellung von Benutzerkonten: Automatische Erstellung aktiviert oder Automatische Erstellung deaktiviert

OIDC-spezifische Informationen

Pflichtfeld	Beschreibung	Beispiel-Eingabe
Issuer	Issuer-Identifikator-URL für Ihren OIDC-Provider	https://idp.example.com/
Client ID	ID, die unserer Anwendung von Ihrem IdP in Schritt 0 zugewiesen wurde	8012345a-b67c-890d-ef12-3456789012
Client secret	Geheimer Schlüssel, der Client ID zugeordnet ist	Sicher angeben
Scopes	Erforderliche Berechtigungen (mindestens openid erforderlich)	openid profile email
Display name (optional)	Interner Name für diese Federation (verwenden Sie snake_case)	acme_corp_oidc

Claims-Mapping

Sie können festlegen, wie Claims (Attribute) von Ihrem OIDC-Provider unseren Benutzerfeldern zugeordnet werden:

STACKIT IdP-Feld	Ihr OIDC-Claim-Name	Hinweise
Eindeutige Benutzer-ID	zum Beispiel: sub, oid	Claim, der als eindeutiger Identifikator verwendet wird
Email-Adresse	zum Beispiel: email	Claim, der die primäre Email des Benutzers enthält
Bevorzugter Name	zum Beispiel: name, preferred_username	Claim, der den Anzeigenamen des Benutzers enthält
Vorname	zum Beispiel: given_name	Optional, aber empfohlen
Nachname	zum Beispiel: family_name	Optional, aber empfohlen

Schritt 2: Verifizierung

Bestätigen Sie, dass die Federation funktioniert, und melden Sie die Ergebnisse oder eventuelle Probleme.

Wechsel von SAML zu OIDC

Wenn Sie eine bestehende SAML-Federation haben und zu OIDC wechseln, ist der Übergang nahtlos. Solange die Email-Adressen gleich bleiben, verlieren Benutzer weder den Zugriff noch Daten. Benutzerkonten sind an Email-Adressen gebunden, nicht an Federationsmethoden.