Skip to main content
Hinter jedem Benutzer, der über Iru eine App erreicht, stehen zwei Dinge: die Anmeldeinformation, mit der er nachgewiesen hat, wer er ist, und die Sitzung, die ihn danach angemeldet hält. So schützt Iru beides, und so sperren Sie jemanden aus, wenn es nötig ist.

​
Wie Anmeldeinformationen geschützt werden

Benutzer weisen mit Authenticators nach, wer sie sind, wobei ein Passkey der wichtigste ist. Passkeys sind so konzipiert, dass sie Phishing widerstehen, dem häufigsten Weg, auf dem Anmeldeinformationen gestohlen werden.

Das Geheimnis verlässt nie den Benutzer

Ein Passkey hält das Geheimnis, das die Identität nachweist, an das Gerät des Benutzers gebunden. Bei der Anmeldung wird nachgewiesen, dass der Benutzer es besitzt, ohne das Geheimnis selbst jemals zu übertragen, sodass ein Angreifer nichts Wiederverwendbares abfangen kann.

An Iru gebunden

Ein Passkey funktioniert nur, wenn sich der Benutzer tatsächlich bei Iru anmeldet. Eine ähnlich aussehende Phishing-Seite kann ihn nicht auslösen, da der Passkey an die echte Iru-Anmeldung gebunden ist und nicht auf einen Betrüger reagiert.

Im Ruhezustand geschützt

Was Iru zur Verifizierung eines Authenticators aufbewahrt, ist bei der Speicherung geschützt und reicht allein niemals aus, um sich als der Benutzer auszugeben.

Von Benutzern und Administratoren verwaltet

Benutzer verwalten ihre eigenen Authenticators per Self-Service. Wenn jemand den Zugriff auf seine verliert, kann ein Administrator ihn zurücksetzen, damit der Benutzer einen neuen registrieren kann. Siehe Benutzer.
Welche Authenticators Benutzer registrieren dürfen und welche eine Richtlinie für eine bestimmte App akzeptiert, entscheiden Sie. Siehe Authenticators und Authentifizierungsrichtlinien.

​
Was eine Anwendung erhält (und was sie nie sieht)

Wenn ein Benutzer über Iru eine App erreicht, erfährt die App, wer er ist, ohne jemals zu erfahren, wie er dies nachgewiesen hat. Diese Trennung verhindert, dass sich eine einzelne gestohlene Anmeldeinformation über Ihre Apps ausbreitet.

Die App erhält

Eine signierte Erklärung, die bestätigt, wer der Benutzer ist, sowie die Profildetails, die Sie der Anmeldung dieser App zugeordnet haben. Da die Erklärung signiert ist, kann die App verifizieren, dass sie wirklich von Iru stammt und nicht manipuliert wurde.

Die App erhält nie

Den Passkey des Benutzers oder ein anderes Authenticator-Geheimnis. Apps besitzen nie die Mittel, die Identität des Benutzers nachzuweisen, sodass eine Kompromittierung einer App nicht gegen Iru oder Ihre anderen Apps wiederverwendet werden kann.
Sie entscheiden, welche Profilattribute mit jeder Anwendung geteilt werden, sodass eine App nur die Angaben sieht, die sie zur Identifizierung des Benutzers benötigt. Siehe Zugriff zuweisen.

​
Wie Sitzungen geschützt werden

Nach einer erfolgreichen Anmeldung richtet Iru eine Sitzung ein, damit der Benutzer nicht bei jedem Klick erneut seine Identität nachweisen muss. Sitzungen sind so geschützt, dass sie nicht ausgeliehen oder unbegrenzt verlängert werden können.
Eine Sitzung dauert nicht ewig: Sie endet nach einer Inaktivitätsphase und zudem nach einem Höchstalter, woraufhin sich der Benutzer anmeldet und die maßgebliche Richtlinie erneut ausgewertet wird. Die einer verbundenen App mitgeteilte Sitzungsdauer ist pro SAML-App und pro Anwendungsrolle konfigurierbar.
Die Anmeldung bei einer verbundenen App durchläuft die Authentifizierungsrichtlinie dieser App, sodass eine sensible App ein vertrauenswürdiges Gerät verlangen kann, selbst wenn der Benutzer bereits bei Iru angemeldet ist. (Ein Passkey oder Iru Access ist in jedem Fall für jede Anmeldung erforderlich.) Siehe Authentifizierungsrichtlinien und Device Trust.
Die aktiven Sitzungen eines Benutzers können beendet werden, wodurch er sich erneut anmelden muss, bevor er fortfahren kann. So sperren Sie den Zugriff, selbst wenn jemand bereits angemeldet ist.

​
Zugriff sofort beenden

Wenn der Zugriff enden muss, müssen Sie nicht auf das Ablaufen einer Sitzung warten. Wählen Sie die Aktion, die zur Situation passt; jede wird im Aktivitätsprotokoll aufgezeichnet.
Das Beenden einer Sitzung innerhalb einer verbundenen App hängt von der App ab. Das Beenden von Sitzungen und das Sperren eines Benutzers stoppen weitere Anmeldungen über Iru sofort. Ob auch die bestehende Sitzung eines Benutzers innerhalb einer verbundenen App endet, hängt von dieser App und ihrem Protokoll ab:
  • Apps, die bei jedem Zugriff bei Iru nachfragen, lassen den Benutzer bei der nächsten Prüfung nicht mehr herein.
  • Bei Apps, die mit SCIM bereitgestellt werden, sendet das Sperren oder Aufheben der Zuweisung des Benutzers ein Deaktivieren (das Kennzeichen active des Kontos wird auf false gesetzt) oder ein Löschen an die App. Ob dadurch die aktiven Sitzungen der App sofort beendet werden, hängt davon ab, wie die App dieses Signal verarbeitet.
  • Manche Apps behalten eine bestehende Sitzung bis zu ihrem Ablauf bei, sofern sie keinen Sitzungswiderruf oder Single Logout unterstützen.
Um jemanden so vollständig wie möglich auszusperren, sperren Sie den Benutzer und beenden Sie seine Sitzungen, und verlassen Sie sich auf das Deprovisioning jeder App, um nachgelagerten Zugriff zu entfernen.
Das Sperren eines Benutzers ist die sicherste einzelne Aktion, um jemanden überall gleichzeitig auszusperren: Es stoppt neue Anmeldungen, und bestehender Zugriff bleibt blockiert, bis Sie ihn reaktivieren. Das Entfernen eines Benutzers ist dauerhaft; sperren Sie ihn stattdessen, wenn die Möglichkeit besteht, dass er zurückkehrt, oder Sie seinen Verlauf benötigen. Siehe Benutzer.
Wenn Sie vermuten, dass eher eine Anmeldeinformation als der Benutzer kompromittiert ist, setzen Sie die Authenticators des Benutzers zurück und beenden Sie seine Sitzungen. Er behält sein Konto, muss aber einen neuen Authenticator registrieren, bevor er sich erneut anmeldet.

​
Wie eine kompromittierte Anmeldeinformation eingedämmt wird

Die oben genannten Elemente wirken zusammen, sodass eine gestohlene Anmeldeinformation keine Kettenreaktion auslösen kann:
  1. Passkeys bieten Angreifern von vornherein nichts Wiederverwendbares, das sie per Phishing abgreifen könnten.
  2. Apps erhalten nie die Mittel, die Identität nachzuweisen, sodass eine kompromittierte App nicht gegen Iru wiederverwendet werden kann.
  3. Wenn doch etwas schiefgeht, kappt das Sperren des Benutzers und das Beenden seiner Sitzungen den Zugriff sofort, und jeder Schritt wird zur Überprüfung aufgezeichnet.

​
Nächste Schritte

Sicherheit und Datenschutz

Die vollständige Sicherheits- und Datenschutzhaltung, ausgedrückt als klare Garantien.

Authentifikatoren

Wählen Sie, welche Authenticators Benutzer registrieren und verwenden.

Das Anmeldeerlebnis

Was Benutzer sehen, wenn sie sich über Iru anmelden.

Benutzer

Sperren, reaktivieren, Authenticators zurücksetzen und Benutzer in Ihrem Verzeichnis verwalten.