Anbieter und Identitäten in Jitterbit App Builder

Übersicht

Jede App Builder-Anwendung, Datenquelle und Web-Service benötigt eine Möglichkeit, um zu bestätigen, wer oder was eine Anfrage stellt, und um zu steuern, was der Anfragensteller tun darf. App Builder verwaltet beides über Sicherheitsanbieter, die unabhängig konfigurierbare Module sind, die man aktiviert und konfiguriert, um sie der jeweiligen Umgebung anzupassen – statt eines einzelnen integrierten Anmeldesystems. So könnte beispielsweise ein Sicherheitsanbieter einen Benutzernamen und ein Passwort gegen App Builders eigene Benutzertabelle abgleichen, ein anderer könnte einen API-Schlüssel validieren, den ein externes System sendet, und ein dritter könnte die Entscheidung vollständig an einen externen Identitätsdienst wie Salesforce oder einen SSO-Anbieter delegieren.

Einige Sicherheitsanbieter unterstützen auch Identitäten: Datensätze, die ein von einem externen System – wie einem externen Identitätsanbieter oder einer externen Datenquelle – definiertes Benutzerkonto oder eine Sicherheitsgruppe mit dem entsprechenden App Builder-Benutzer oder der entsprechenden Sicherheitsgruppe verknüpfen. Eine Identität ermöglicht es App Builder, einen Benutzer, der sich über einen externen Anbieter anmeldet, als spezifischen, bereits vorhandenen App Builder-Benutzer zu erkennen, anstatt jede externe Anmeldung als unbekannt zu behandeln.

Diese Seite behandelt:

• Anbieter
  Die Standard-Anbietertypen, die App Builder bereitstellt, wie bestimmte Web-Services (REST, Webhook und App Builder Connector) mit bestimmten Anbietern verknüpft werden müssen, wie eine versiegelte Anwendung dies stattdessen handhabt, und der separate Standard-Authentifizierungsanbieter, den jede Anwendung hat.

• Identitätsverwaltung
  Wie Anbieter externe Benutzerkonten und Sicherheitsgruppen auf App Builder-Benutzer und -Gruppen abbilden.

Anbieter

Nicht jeder Sicherheitsanbieter führt dieselbe Aufgabe aus. Abhängig von seinem Typ kann ein Sicherheitsanbieter eine oder mehrere der folgenden Rollen erfüllen:

• Benutzerauthentifizierung: Bestätigt die Identität einer Person, die sich in einer App Builder-Anwendung anmeldet.
• Datenquellen-Authentifizierung: Bestätigt die Identität, die App Builder selbst präsentiert, wenn es sich mit einer externen Datenquelle wie einer Datenbank oder einer API eines Drittanbieters verbindet.
• Sicherheit auf Verbindungsebene: Sichert die zugrunde liegende Verbindung zwischen App Builder und einer Datenquelle, unabhängig von der Identität, die für die Authentifizierung verwendet wird.
• Autorisierungsrichtlinien: Regelt, was ein bereits authentifizierter Benutzer oder eine Verbindung tun darf, im Unterschied zur Bestätigung, wer sie sind.

Jeder konfigurierte Sicherheitsanbieter definiert seinen eigenen Satz von Parametern, die der Site-Administrator so einstellt, dass sie der Umgebung entsprechen. App Builder wird mit einer Standardkonfiguration ausgeliefert, die bereits einen Starter-Satz von Sicherheitsanbietern aktiviert, daher funktioniert die Authentifizierung normalerweise sofort; Administratoren können diese nach Bedarf anpassen, deaktivieren oder ergänzen. Man kann auch Sicherheitsanbieter-Konfigurationen importieren und exportieren.

Standard-Anbietertypen

App Builder wird mit den folgenden Standard-Anbietertypen ausgeliefert, die jeweils ein bestimmtes Authentifizierungs- oder Autorisierungsschema abdecken. Wählen Sie den Namen eines Anbieters aus, um sein Konfigurationshandbuch zu öffnen.

Webservice-Zuordnungen

Ein Webservice ist in diesem Kontext ein Endpunkt, den externe Systeme programmgesteuert aufrufen, im Gegensatz zu einer Seite, die eine Person durchsucht. Seit App Builder 4.67 müssen drei Typen von Webservices jeweils explizit mit spezifischen, individuell konfigurierten Providern verknüpft werden, die ihre Anfragen authentifizieren dürfen. Zuvor konnte jeder aktivierte Provider eines zulässigen Typs Anfragen an jeden Webservice authentifizieren, unabhängig vom Typ.

Jede Webservice-Instanz (jeder einzelne REST-Endpunkt, Webhook-Endpunkt oder Remote-Connector-Anwendung) wird mit spezifischen, individuell konfigurierten Providern dieser Typen verknüpft, nicht nur mit dem Typ allgemein; die verlinkten Seiten beschreiben, wie man diese Zuordnung erstellt. Beim Upgrade von einer früheren App-Builder-Version verknüpft eine Migration automatisch jeden vorhandenen Provider eines zulässigen Typs mit jedem vorhandenen Webservice des entsprechenden Typs, damit bestehende Integrationen ohne manuelle Neukonfiguration authentifiziert werden. Ein Webservice, der nach dem Upgrade auf App Builder 4.67 erstellt wird, wird nicht automatisch mit einem Provider verknüpft und authentifiziert keine Anfragen, bis Sie explizit einen Provider verknüpfen.

Die oben verlinkten Schritte unter Authentifizierung konfigurieren werden aus der Anwendung selbst heraus ausgeführt, was nur für eine Anwendung funktioniert, die man noch bearbeiten kann. Für eine versiegelte Anwendung, die nicht von innen heraus geändert werden kann, siehe Webservices versiegelter Anwendungen unten.

Webservices versiegelter Anwendungen

Das Versiegeln einer Anwendung, wie es beim Versand in eine QA- oder Produktionsumgebung der Fall ist, blockiert jede Änderung von innen heraus, einschließlich der oben beschriebenen Webservice-Zuordnungen pro Endpunkt.

Verknüpfen Sie bei einer versiegelten Anwendung, die einen Webservice bereitstellt, ihre Sicherheits-Provider stattdessen von außerhalb der App aus mit Anwendungen. Gehen Sie zu IDE > Sicherheits-Provider, dann wählen Sie in der Sicherheits-Provider-Ansicht Weitere > Anwendungen und klicken Sie auf das -Symbol in der Spalte Webservice der Anwendung. Dies öffnet denselben oben beschriebenen Dialog Authentifizierungs-Provider.

Ab App Builder 4.68 wird dieses Symbol auch für die Vinyl - Release Management-Anwendung angezeigt, die eingebaute Systemanwendung, die die REST-API One-Click-Bereitstellung auf dem Ziel- (QA- oder Produktions-) System verwendet.

Standardauthentifizierung

Jede Anwendung, ob benutzerdefiniert oder eine eingebaute Systemanwendung, hat einen Standardauthentifizierungs-Provider: der Provider, der zusammen mit der Redirect On Challenge-Option dieses Providers einen nicht authentifizierten Benutzer an einen Login-Provider umleitet, wenn dieser auf eine geschützte Seite zugreift. Gehen Sie zu IDE > Sicherheits-Provider, dann wählen Sie in der Sicherheits-Provider-Ansicht Weitere > Anwendungen, klicken Sie auf das Bearbeiten-Symbol für die Anwendung, wählen Sie einen Provider im Feld Standardauthentifizierung und klicken Sie auf Fortfahren.

Identitätsverwaltung

Wenn ein Sicherheits-Provider die Authentifizierung an ein externes System delegiert, sei es ein Drittanbieter-Identitätsprovider wie Salesforce oder SAML SSO oder eine externe Datenquelle, benötigt App Builder eine Möglichkeit, das zu übersetzen, was das externe System über den Benutzer meldet, in seine eigenen Begriffe: ein spezifisches App-Builder-Benutzerkonto und optional die App-Builder-Sicherheitsgruppen, aus denen die Berechtigungen dieses Benutzers stammen sollten. In diesem Abschnitt werden die zwei Mechanismen behandelt, mit denen App Builder diese Übersetzung vornimmt:

• Identitäten, die ein externes Benutzerkonto einem App Builder-Benutzer zuordnen.
• Anbietergruppen, die eine externe Gruppe, Rolle oder einen Umfang einer App Builder-Sicherheitsgruppe zuordnen, sodass die Berechtigungen eines Benutzers von seiner externen Gruppenzugehörigkeit abgeleitet werden können, anstatt jedem Benutzer einzeln zugewiesen zu werden.

Identitäten

Eine Identität verknüpft ein externes Benutzerkonto, das von einem bestimmten Sicherheitsanbieter gemeldet wird, mit einem App Builder-Benutzer. Wenn dieser Anbieter eine Anfrage im Namen eines externen Kontos authentifiziert, benötigt App Builder eine entsprechende Identität, um zu wissen, welcher seiner eigenen Benutzer dem Konto entspricht. Ohne eine solche kann App Builder nicht feststellen, welcher App Builder-Benutzer das externe Konto darstellt. Ein Benutzer kann pro Sicherheitsanbieter nur eine Identität haben, kann aber separate Identitäten für verschiedene Anbieter haben, beispielsweise wenn sich dieselbe Person sowohl über Salesforce als auch über SAML SSO anmelden kann.

Identitäten weisen die folgenden Eigenschaften auf:

• Anbieter: Der Sicherheitsanbieter (Benutzer oder Datenquelle), dem die Identität gehört.
• Name: Der eindeutige Benutzername, der vom Sicherheitsanbieter zugewiesen wird. Bei der Authentifizierung gibt ein externer Identitätsanbieter in der Regel eine Reihe von Ansprüchen zurück – Informationen über den Benutzer wie seinen Namen oder eine eindeutige ID, die im Authentifizierungstoken oder in der Assertion enthalten sind. Diese Eigenschaft entspricht dem Anspruch Name.
• Identifier: Ein eindeutiger, unveränderlicher Identifier, der vom Sicherheitsanbieter zugewiesen wird und dem Anspruch NameIdentifier entspricht. Anders als Name ist dieser Parameter optional, wird aber empfohlen, wenn der Anbieter dies unterstützt, da er sich nicht ändert, auch wenn der Name oder Benutzername des Benutzers sich später ändert.

Identitäten sind erforderlich, wenn die Benutzerauthentifizierung an externe Sicherheitsanbieter wie Salesforce oder SAML Single Sign-On (SSO) delegiert wird. Um die Anmeldung abzuschließen, nimmt App Builder die vom Anbieter bereitgestellten Ansprüche und sucht nach einer entsprechenden Identität. Dabei wird zuerst der Anspruch NameIdentifier geprüft und auf den Anspruch Name zurückgegriffen, falls keine Übereinstimmung gefunden wird.

Identitäten spielen auch bei der Authentifizierung von Datenquellen eine Rolle. Die meisten Datenquellenverbindungen authentifizieren sich als ein einzelnes, gemeinsames Servicekonto, d. h. jeder App Builder-Benutzer greift mit denselben Anmeldedaten auf die Datenquelle zu. Einige Datenquellen unterstützen jedoch benutzerbeschränkte Authentifizierung, bei der sich die Verbindung stattdessen als der spezifische angemeldete App Builder-Benutzer authentifiziert. Für diese verwendet der Sicherheitsanbieter den Name der Identität, wenn einer für den Benutzer definiert ist, und greift auf den App Builder-Benutzernamen zurück, wenn nicht. Der Identifier der Identität wird zu diesem Zweck nicht verwendet.

Anbietergruppen

Über einzelne Identitäten hinaus kann ein externer Anbieter auch seine eigenen Sicherheitsgruppen definieren – manchmal auch Rollen oder Umfänge genannt –, die mehrere Benutzer zusammenfassen, beispielsweise eine Salesforce-Rolle „Sales Managers" oder eine SAML IdP-Gruppe „Finance". Anstatt Berechtigungen jedem Benutzer einzeln über seine Identität zuzuweisen, kann ein Sicherheitsadministrator jede dieser externen Gruppen einer einzelnen App Builder-Sicherheitsgruppe zuordnen, sodass jeder Benutzer, der zur externen Gruppe gehört, automatisch die Berechtigungen erbt, die der entsprechenden App Builder-Sicherheitsgruppe gewährt wurden.

Sicherheitsanbietergruppen weisen die folgenden Eigenschaften auf:

• Anbieter: Der Sicherheitsanbieter (Benutzer oder Datenquelle), dem die Gruppe angehört.
• Identifier: Der eindeutige Name, der der Gruppe vom Sicherheitsanbieter zugewiesen wird.
• Gruppe: Die App Builder-Sicherheitsgruppe, der die Sicherheitsanbietergruppe zugeordnet ist.

Registrierung

Bevor eine Sicherheitsanbietergruppe zugeordnet werden kann, muss sie zunächst in App Builder als Datensatz vorhanden sein. Sicherheitsanbietergruppen können auf zwei Arten registriert werden:

• Manuell: Administratoren melden sich bei App Builder an und fügen Sicherheitsanbietergruppen direkt hinzu. Dies ist normalerweise für Datenquellensicherheitsanbieter erforderlich, die keine Möglichkeit haben, ihre Gruppen selbst an App Builder zu melden.
• Automatisch: App Builder registriert neue Sicherheitsanbietergruppen spontan während des Benutzerauthentifizierungsprozesses und aktualisiert gleichzeitig die Gruppenzugehörigkeit des Benutzers. Die Sicherheitsanbieter SAML und WS-Federation unterstützen dies, aber nur, wenn das Flag Supplies Group Membership des Anbieters explizit aktiviert ist.

Zuordnung

Unabhängig davon, wie eine Sicherheitsanbietergruppe registriert ist, lässt sie sich einer App Builder-Sicherheitsgruppe zuordnen. Jede Sicherheitsanbietergruppe kann einer und nur einer App Builder-Sicherheitsgruppe zugeordnet werden; mehrere Sicherheitsanbietergruppen können jedoch derselben App Builder-Sicherheitsgruppe zugeordnet werden.

Mitgliedschaft

Eine Sicherheitsanbietergruppe erweitert die App Builder-Sicherheitsgruppenmitgliedschaft eines Benutzers, anstatt sie zu ersetzen. Bei der Berechnung der Zugriffsrechte eines Benutzers berücksichtigt App Builder sowohl die Sicherheitsgruppen, denen der Benutzer direkt angehört, als auch die Sicherheitsgruppen, denen der Benutzer über eine zugeordnete Sicherheitsanbietergruppe angehört.