Was ist SCIM?

Das System for Cross-Domain Identity Management (SCIM) ist eine Kombination aus Protokollen für die Anwendungsebene, die mit JSON, REST und verschiedenen Authentifizierungsmethoden die automatisierte Bereitstellung von Daten ermöglichen. Mithilfe von SCIM kann mit minimalem Aufwand eine Vielzahl von Benutzerkonten erstellt, aktualisiert oder deaktiviert werden. Es übermittelt gerade so viele Informationen vom Identitätsanbieter an die App, wie nötig, um sicherzustellen, dass sich der Benutzer bei verschiedenen benötigten Anwendungen nach Bedarf an- und abmelden kann.

Ohne SCIM müssten die IT-Administratoren die Benutzerinformationen, die von der Anwendung zur Identifizierung benötigt werden, manuell hinzufügen. Dieser manuelle Prozess dauert länger und ist fehleranfälliger. Die Verwendung von SCIM als Standardprotokoll für Cloud-basierte Anwendungen und Dienste löst dieses Problem und rationalisiert die Verwaltung von Benutzern, Gruppen und Geräten.

Anders ausgedrückt: Das SCIM bietet eine auf Standards basierende Bereitstellung, automatisiert den Austausch von Benutzer-ID-Daten von einem Unternehmen zum anderen (über mehrere Domänen) und verwaltet diese Konten plattformübergreifend. Es ermöglicht die geordnete und sichere Datenbereitstellung für Anwendungen, die Nutzer benötigen und/oder verwenden dürfen. Es ist auch hilfreich bei der Koordination der Rechte und Genehmigungen, die den individuellen Benutzern für die einzelnen gesicherten Ressourcen des Unternehmens zugewiesen wurden.

Welche Probleme lassen sich mit SCIM lösen?

Die meisten modernen Unternehmen müssen eine komplexe Matrix von Technologieanwendern verwalten und müssen die Abläufe der Anmeldungen und Genehmigungen vereinfachen. Außerdem verwenden Mitarbeiter, Partner und Auftragnehmer auch für arbeitsbezogene Aufgaben eigene intelligente Geräte (Smartphones und Tablets). Sie müssen daher direkt am Standort und aus der Ferne auf Cloud-basierte Anwendungen und Dienste mit Single Sign-on (SSO) zugreifen können. Bedauerlicherweise ist die Benutzerprovisionierung eine Voraussetzung für das SSO. Das SCIM löst dieses Problem, indem es den standardisierten Austausch von Identitätsdaten zwischen Unternehmen ermöglicht. Es macht proprietäre APIs überflüssig und erledigt die Konfiguration auf ähnliche Weise, wie Föderations-Standards das SSO-Problem lösen. Mit SCIM können IT-Administratoren die Berechtigungen für Anwendungen im Vorhinein einrichten, so dass die Benutzerprovisionierung direkt bei der Anmeldung erfolgt.

Wie funktioniert das?

Mit Provisionierung können Unternehmen sicherstellen, dass die Nutzer nur auf Ressourcen zugreifen können, für die sie auch eine Berechtigung besitzen. Damit schützen Sie Ihre Systeme und Anwendungen vor unautorisierter Nutzung und stellen sicher, dass Konten ggf. umgehend deaktiviert werden.

SCIM bietet Standardschemata/Definitionen für Benutzer und kann zum Verwalten von CRUD-Standardoperationen (Erstellen, Lesen, Aktualisieren, Löschen) verwendet werden. Bei Identitätsprovidern stellt ein SCIM-Client (wie beispielsweise PingFederate oder PingOne) eine Verbindung zum Benutzerverzeichnis her und überprüft es auf Änderungen. Die Änderungen werden daraufhin an die Zielverzeichnisse oder an die SCIM-Endpunkte eines Serviceproviders weitergeleitet, sofern Benutzer hinzugefügt, geändert oder entfernt wurden.

Auf der Seite des Serviceproviders fungiert PingFederate als SCIM-Server, der Anfragen zur Benutzerverwaltung entgegennimmt und dann das Zielverzeichnis nach Bedarf modifiziert. PingFederate bietet eine integrierte Unterstützung für die Microsoft Active Directory und ein SDK für das Einbinden benutzerdefinierter Verzeichnisse oder Datenbanken.

Warum ist das wichtig?

Ein automatisiertes Lifecycle-Management verhindert, dass die Mitarbeiter untereinander Passwörter ausleihen oder austauschen, um Zugang zu Anwendungen zu erhalten, für die sie möglicherweise keine Berechtigung haben. Es verhindert zudem den versehentlichen Zugriff, wenn sich der Status eines Mitarbeiters verändert hat. Wenn Mitarbeiter ein Unternehmen verlassen, können ID-Anbieter ihre Konten anwendungsübergreifend löschen oder schließen und so für mehr Sicherheit innerhalb des Unternehmens sorgen. Die automatische De-Provisionierung vermeidet ungewollte Lizenzkosten, verringert die Gefahr von Datenschutzverletzungen und hält unbefugte Benutzer davon ab, sich bei Anwendungen anzumelden, auf die sie keinen Zugriff mehr haben sollten. Bei Nutzerdaten, die zwischen Unternehmen ausgetauscht werden sollen, kommt bei der manuellen Methode die Gefahr möglicher Eingabefehler hinzu.

Das Einführen von SCIM macht die Kommunikation zwischen den Speichern für Identitätsdaten leichter, leistungsfähiger und standardisierter. Dadurch entfällt die Notwendigkeit, einmalige Integrationen vorzunehmen. Außerdem können Unternehmen im Handel erhältliche Lösungen wie PingOne oder PingFederate einsetzen, die bereits eine integrierte Unterstützung sowohl für die Inbound- als auch Outbound-Provisionierung von SCIM bereitstellen.