Auth0

Die Integration von Corma und Auth0 hält die Personen, die Ihre Auth0-Tenants verwalten, im Einklang mit Ihren Engineering- und Security-Teams. Auth0 beschreibt sich selbst als flexible Drop-in-Lösung, mit der Sie Ihren Anwendungen Dienste für Authentifizierung und Autorisierung hinzufügen. Okta hat die Übernahme von Auth0 im Mai 2021 abgeschlossen und erklärt, Auth0 werde als unabhängige Geschäftseinheit geführt. Die Pläne von Auth0 richten sich nach monatlich aktiven Endnutzern. Die Governance-Frage lautet daher: Wer kann den Tenant ändern, über den sich Ihre Kunden anmelden?

Das Wichtigste in Kürze

• Auth0 dokumentiert zehn Dashboard-Rollen für Tenant-Mitglieder, darunter Admin, fünf Editor-Rollen und zwei Viewer-Rollen.
• Dashboard-SSO ist bei Auth0 nur im Enterprise-Plan enthalten und wird über den Auth0 Support eingerichtet.
• Einladungen von Tenant-Mitgliedern lassen sich in Auth0 nicht über die Management API automatisieren, und der Zugriff von Tenant-Mitgliedern kann nicht den Gruppenmitgliedschaften im IdP folgen.
• Access Tokens der Auth0 Management API sind standardmässig 24 Stunden gültig und können nach ihrer Ausstellung nicht widerrufen werden.

Wer kann einen Auth0-Tenant ändern?

Ein Tenant-Administrator fügt jedes Mitglied per E-Mail unter Dashboard > Settings > Tenant Members hinzu und wählt eine oder mehrere Rollen aus. Die eingeladene Person meldet sich dann über einen Social-Login-Anbieter oder mit E-Mail-Adresse und Passwort an. Die Auth0-Dokumentation zu Dashboard-SSO warnt: Das Hinzufügen der SSO-Verbindung hindert Mitglieder nicht daran, sich weiter mit ihren bisherigen Methoden anzumelden, etwa mit E-Mail und Passwort, GitHub oder Google. Auch ein Mitglied, das unter einer anderen Identität eingeladen wurde, kann diese weiter nutzen. Jedes Mitglied kann sich selbst für MFA registrieren, MFA lässt sich aber nicht für alle Mitglieder eines Tenants erzwingen.

Maschinelle Zugangsdaten verdienen dieselbe Aufmerksamkeit. Machine-to-Machine-Anwendungen erhalten die Scopes einer API, und Auth0 warnt, dass die Scopes create:client_grants und update:client_grants es einem Client erlauben, sich selbst weitere Berechtigungen zu erteilen. Eine Anwendung hat ein einziges Client Secret. Auth0 selbst empfiehlt, die Tenant-Mitglieder in regelmässigen Abständen zu überprüfen: Haben ehemalige Mitarbeitende keinen Zugriff mehr, und gibt es mehr als einen Dashboard-Admin?

So steuert Corma Auth0

• Tenant-Mitglieder auf dem Prüfstand: Die Rollen Admin und Editor fliessen in automatisierte Access Reviews ein, ganz im Sinne der Empfehlung von Auth0, den Bedarf jedes Mitglieds zu bestätigen.
• Ausscheidende Mitarbeitende aus jedem Tenant entfernt: Ein Workflow für ausscheidende Mitarbeitende im IT Workflow Builder fordert einen Tenant-Administrator auf, die Person in jedem Tenant unter Tenant Members zu entfernen, oder in Auth0 Teams, was sie in einem Schritt aus allen Tenants des Teams entfernt.
• M2M-Apps mit verantwortlicher Person: Machine-to-Machine-Apps und ihre Client Secrets sind nicht-menschliche Identitäten. Jede davon braucht daher eine namentlich benannte verantwortliche Person, angefangen bei den Apps mit client_grants-Scopes.
• Plan im Blick: Der Auth0-Plan und sein Verlängerungsdatum liegen zusammen mit dem Rest Ihres Stacks in der SaaS-Abonnementverwaltung.

Häufige Fragen

Unterstützt Auth0 SSO und SCIM für den Zugriff auf das Dashboard?

Dashboard-SSO setzt einen Enterprise-Plan voraus und wird mit dem Auth0 Support konfiguriert. Dokumentiert sind Setups für ADFS, Azure AD, Google, Okta, OneLogin sowie generische OIDC- oder SAML-Provider. Auth0 dokumentiert kein SCIM-Provisioning für Tenant-Mitglieder. Auth0 Teams bietet dagegen Just-in-Time-Provisioning als Early Access für Enterprise-Tenants in der Public Cloud. Lesen Sie, was Just-in-Time-Provisioning umfasst.

Wie verbindet sich Corma mit Auth0?

Einladungen von Tenant-Mitgliedern lassen sich nicht über die Auth0 Management API automatisieren. Deshalb übernehmen die browserbasierten Agenten von Corma die Schritte für Mitglieder im Auth0 Dashboard, in einer isolierten Browsersitzung mit Zugangsdaten aus Ihrem Passwort-Tresor. Sehen Sie sich auch an, wie Corma Okta abdeckt.

Wo werden die Daten von Corma gehostet?

Corma wird auf AWS betrieben, Webserver und Datenbanken laufen in Rechenzentren innerhalb der Europäischen Union. Die Daten werden bei der Übertragung und im Ruhezustand verschlüsselt, und Corma ist nach ISO/IEC 27001:2022 zertifiziert.

Sie möchten wissen, wer Ihre Auth0-Tenants noch ändern kann? Demo mit Corma buchen.