IAM-Beratung: Enterprise-Zugriffsmanagement mit Keycloak

Wir übernehmen Keycloak-Deployment, Realm- und Client-Konfiguration, Single Sign-on, rollenbasierte Zugriffskontrolle, Föderation mit bestehenden Verzeichnissen und die Migration von Legacy-Identity-Providern. Unser Team beginnt mit einer Bestandsaufnahme der Identity-Landschaft, die eine Organisation bereits betreibt: die vorhandenen Verzeichnisse, die Anwendungen, die Zugriff brauchen, und die Art, wie Mandanten und Partner getrennt sind. Davon ausgehend definieren wir den Umfang gemeinsam mit Ihrem Team, bevor das Projekt startet, einschließlich Token- und Session-Richtlinien, Rollenmodell und Umstellungsplan. Die Arbeit wird neben der Integration und Individualentwicklung geliefert, die wir anbieten, Identity fügt sich also in die größere Plattform ein, statt isoliert zu stehen. Sie können eine konfigurierte Keycloak-Umgebung erwarten, ein dokumentiertes Rollenmodell und Ingenieure, die in den Betrieb eingewiesen wurden.

Keycloak ist ein Open-Source-Server für Identity- und Access-Management, der OAuth 2.0, OpenID Connect und SAML unterstützt. Er deckt Single Sign-on, Identitätsföderation, Multi-Faktor-Authentifizierung und rollenbasierte Zugriffskontrolle ohne Lizenz pro Arbeitsplatz ab, weshalb wir ihn für mandantenfähige Unternehmensumgebungen einsetzen. Weil er Open Source ist, gibt es keinen Vendor-Lock-in und keine Kosten pro Nutzer, wenn die Plattform wächst, was zählt, wenn eine Umgebung viele Mandanten und Partner bedient. Er föderiert die Verzeichnisse, die eine Organisation bereits betreibt, statt sie zu ersetzen, und wird auf Ihrer eigenen Infrastruktur betrieben, Identitätsdaten bleiben also unter Ihrer Kontrolle. Für europäische Betreiber, die in der eigenen Region hosten und Zugriffe eng prüfen müssen, ist diese Kombination aus Standardunterstützung, Kostenmodell und Self-Hosting der praktische Grund, darauf zu standardisieren.

Ja. Wir migrieren von Legacy- oder Eigenbau-Identity-Providern zu Keycloak, föderieren bestehende Verzeichnisse, konsolidieren User-Stores und phasen die Umstellung, damit die Authentifizierung während des Übergangs verfügbar bleibt. Wir beginnen mit einem Audit, wie Nutzer, Rollen und Zugangsdaten heute strukturiert sind, und bilden dieses Modell dann auf Keycloak-Realms, -Gruppen und Client-Rollen ab. Alter und neuer Provider laufen parallel, während wir validieren, dass die Konten übereinstimmen. Statt eines einzigen Stichtags für alle verschieben wir ein Nutzersegment nach dem anderen und bestätigen, dass jedes Segment sich korrekt authentifiziert, bevor das nächste folgt. Dieser phasenweise Ansatz hält Logins durchgehend am Laufen und lässt in jedem Schritt einen Weg zurück, die Migration gefährdet also nie den täglichen Zugriff auf Ihre Plattformen.

Ja. Mandantenfähiger Zugriff ist der Kern dieser Arbeit. DNA Solutions entwirft das Rollenmodell, konfiguriert abgegrenzte Berechtigungen pro Mandant, Rolle und Ressource in Keycloak und setzt es über die Anwendungen und APIs in Ihrem Stack durch. Jeder Mandant, Geschäftsbereich oder Partner erhält den Zugriff, den er braucht, und nichts darüber hinaus, mit Isolation über Realm- und Gruppenstruktur statt über Logik, die in jede Anwendung kopiert wird. Rollen und Regeln leben als Konfiguration; einen Mandanten hinzuzufügen oder Berechtigungen anzupassen ist eine Änderung, die Sie vornehmen und prüfen können, kein Code-Release. Authentifizierungs- und Autorisierungsereignisse werden protokolliert, Zugriffe lassen sich also nachvollziehen und prüfen. Es ist dasselbe Muster, das wir auf Telekom- und Mautplattformen anwenden, wo viele Betreiber eine Infrastruktur teilen und jeder seinen eigenen abgegrenzten Zugriff braucht.