Sicherheit und täglicher Betrieb - Unternehmens-SSO
Es gibt zwei Geltungsbereiche, und sie vermischen sich nie
Eine Konfiguration auf Kontoebene meldet nur Nutzer dieses Kontos an; eine Plattformkonfiguration (ohne zugeordnetes Konto) meldet nur Dock-Mitarbeitende an. Der Geltungsbereich ergibt sich daraus, wer angemeldet ist, nie aus Anfrageparametern - konkret daraus, ob die Organisationskennung in der Adresse auf die Plattformkonfiguration oder auf die Konfiguration eines bestimmten Kontos verweist. Ein Superadmin, der Docks eigenes Unternehmens-SSO einrichtet, schaltet damit nichts für irgendeinen Abonnenten frei, und umgekehrt gilt dasselbe: Die Konfiguration eines Kontos erreicht nie Dock-Mitarbeitende. Eine Konfiguration pro Geltungsbereich - ein eindeutiger Datenbankindex erzwingt das, sodass sich nie versehentlich zwei Plattformkonfigurationen zugleich anlegen lassen.
Wer Zugriff auf den Bildschirm hat
Unter den Plattformrollen ist der Bildschirm für Unternehmens-SSO nur für den Superadmin sichtbar - das ist eine Konfiguration des Panelzugangs, nicht von Projekten oder Abrechnung, deshalb rührt ein Superdeveloper oder Superbuchhalter ihn nie an. Auf Kontoseite konfigurieren ihn der Kontoeigentümer und der Kontoadministrator.
Was DockRay bei jeder Anmeldung prüft
Bevor irgendjemand angemeldet wird, prüft DockRay der Reihe nach: das einmalige state und nonce, die Signatur des ID-Tokens anhand der öffentlichen Schlüssel des Anbieters (JWKS), den Aussteller (iss), das Publikum (aud), die Ablaufzeit (exp) und die bestätigte E-Mail-Adresse (email_verified). Fehlt einer dieser Werte oder stimmt er nicht überein, endet die Anmeldung mit einem Fehler, statt jemanden mit unvollständigem Identitätsnachweis hereinzulassen.
Schutz vor SSRF
Die Discovery-Adresse und jeder vom Anbieter zurückgegebene Endpunkt müssen eine öffentliche HTTPS-Adresse sein - private und reservierte Adressen werden abgelehnt, denn ein konfigurierbarer Issuer wäre sonst ein Werkzeug, um das interne Netz von DockRay mit den Rechten eines Kontoadministrators abzufragen. Der für das Gespräch mit dem Anbieter verwendete HTTP-Client folgt nie Weiterleitungen - die Adresse wird geprüft, bevor die Anfrage hinausgeht, und eine Weiterleitung würde bereits auf eine Adresse zeigen, die niemand geprüft hat.
SSO legt keine Konten an
Anmelden kann sich ausschließlich ein bestehender Nutzer, der zum Geltungsbereich dieser Konfiguration gehört - die Integration legt nie ein Konto an und verschiebt Nutzer nie zwischen Konten. Bei der ersten Anmeldung erfolgt der Abgleich über die bestätigte E-Mail-Adresse; jede spätere Anmeldung stützt sich stattdessen auf die dauerhaft gespeicherte sub-Kennung, nicht auf die Adresse, die sich ändern kann. Ein Wechsel des Issuers in der Konfiguration entfernt die bestehenden Bindungen - eine bewusste Entscheidung, denn ein neuer Issuer bedeutet einen anderen Identitätsanbieter, und alte Identitätsnachweise sollten nicht automatisch auf einen neuen übergehen.
Was beim Verlust des Zugangs passiert
Der zweite Faktor von DockRay gilt nach einer erfolgreichen SSO-Anmeldung genauso wie nach einer Passwortanmeldung - der Identitätsanbieter beweist, wer jemand ist, aber über den Zugang zum Panel entscheidet ausschließlich DockRay. Ein deaktivierter Nutzer kann sich selbst mit einem korrekten, vollständig geprüften Token nicht anmelden. Stuft ein Abonnentenkonto auf den kostenlosen Plan zurück, erlischt die Anmeldung auf diesem Weg vollständig, nicht nur der Button im Panel wird versteckt - die Integration ist eine kostenpflichtige Komponente und funktioniert nicht mehr, sobald diese Komponente wegfällt.