SSO / IAM Platform

Ekzo Identity — eine zentrale Authentifizierungsinstanz

Single Sign-On und Zugriffsverwaltung auf Basis von OpenID Connect über OAuth 2.0. Eine Anmeldung für den Nutzer, signierte JWT-Tokens für jeden Microservice der Plattform.

OIDC 1.0über OAuth 2.0

RS256JWT-Signatur

2Verifizierungsarten

∞Microservices

Zweck

Die zentrale Authentifizierungsinstanz der Plattform

Identity stellt signierte JWT-Access-Tokens aus, die Downstream-Dienste auf zwei Arten verifizieren: lokal mit dem öffentlichen Schlüssel vom JWKS-Endpunkt (ohne Netzwerkaufruf) oder über den Token-Introspection-Endpunkt serverseitig.

Anwendungen registrieren sich als OAuth-2.0-Clients und erhalten Tokens über Standard-Flows. Nutzer authentifizieren sich einmal, ihre Identität und rollenbasierten Rechte werden in jedem Token plattformweit übertragen.

SSO

Einmalige Anmeldung für alle Anwendungen und Dienste des Ökosystems

IAM

Verwaltung von Identität, Rollen und Zugriffsrechten

OAuth 2.0 Server

Authorization Code + PKCE und Client-Credentials-Flows

OIDC Provider

ID-Tokens, UserInfo, Discovery und JWKS direkt verfügbar

Szenarien

Eine Plattform — drei Szenarien

Identity deckt die Authentifizierung von Kunden, Mitarbeitern und Diensten aus einer zentralen Instanz ab

Nahtlose Anmeldung für Kunden

Registrierung und Anmeldung via OAuth 2.0 / OpenID Connect

Anmeldung über externe Anbieter (Google, GitHub)

Self-Service-Passwortwiederherstellung per E-Mail

Standard-Scopes: openid, profile, email, phone, offline_access

Interaktionsmodell

Eine Anmeldung — ein Token für alle Dienste

Apps erhalten ein JWT über Standard-Flows; Microservices verifizieren es lokal oder per Introspection

Anwendungen & Flows

Web App

Auth Code + PKCE

Mobile App

Auth Code + PKCE

Backend / M2M

Client Credentials

SPA

OIDC

Ekzo Identity

Authentifizierung · Autorisierung · Token-Ausgabe

RS256-SignaturJWKS-VeröffentlichungToken-Introspection

Signiertes JWT-Access-Token

Plattform-Microservices

Verifizieren das Token lokal über den JWKS-Schlüssel oder per Introspection und lesen Rechte aus den Claims

Unterstützte Standards

Offene Identitätsstandards

Identity basiert auf Industriestandards — kompatibel mit jedem OIDC/OAuth-Client

OAuth 2.0Authorization Server

Authorization Code + PKCE für Browser, Client Credentials für M2M, Token-Widerruf (RFC 7009) und Resource Indicators (RFC 8707)

OpenID Connect1.0

ID-Tokens, UserInfo, Discovery (.well-known) und Identitätsanbieter

JWTRS256

Eigenständige signierte Tokens mit KID-Header und Schlüsselrotation

JWKSRFC 7517

Veröffentlicht den öffentlichen Schlüssel zur lokalen Token-Prüfung ohne Aufruf

PKCERFC 7636

Schützt vor Abfangen des Authorization Codes bei öffentlichen Clients

IntrospectionRFC 7662

Serverseitige Token-Validierung und Abruf aktiver Claims

Loslegen

Authentifizierung in vier Schritten

Von der App-Registrierung bis zur Token-Prüfung im Microservice

Anwendung registrieren

OAuth-2.0-Client erstellen: Redirect-URIs, Scopes und Secrets. Claim-Mapping für Ihren Dienst konfigurieren.

Client

Nutzer meldet sich an

Authentifizierung per Login/Passwort, LDAP oder externem Anbieter. Eine Anmeldung — Zugriff auf alle Dienste.

Identity stellt ein JWT aus

Ein signiertes RS256-Access-Token mit Nutzeridentität und Claims aus dem Mapping der Anwendung.

Token

Der Dienst verifiziert es

Lokal über den öffentlichen JWKS-Schlüssel oder per Introspection — ohne Session-Speicherung.

Verify

Funktionen

Alles für das Identitätsmanagement

Ein vollständiges Set an Authentifizierungs-, Autorisierungs- und Zugriffswerkzeugen

Nutzerauthentifizierung

OAuth 2.0 Authorization Server

Authorization Code + PKCE für Browser-Apps und Client Credentials für Machine-to-Machine.

OpenID Connect Provider

ID-Tokens, UserInfo-Endpunkt, OIDC Discovery (.well-known) und JWKS-Endpunkt zur Signaturprüfung.

JWT-Access-Tokens

Eigenständige RS256-Tokens. Downstream-Dienste verifizieren lokal über JWKS oder per Introspection.

Anwendungsverwaltung

Registrieren und verwalten von OAuth-2.0-Clients: Redirect-URIs, Scopes, Secrets und Token-Claims per FEEL — über die Admin-UI.

Sicherheit & Logging

RSA-Signaturschlüssel, erzwungenes PKCE, CORS-Konfiguration und Protokollierung ausgestellter Tokens.

Nutzer & Rollen

Nutzer, Rollen und Zuweisungen — in der UI und über die REST API. Die Rollen des Nutzers stehen in den Token-Claims.

Sessions, Tokens & Logout

Anmeldesitzungen auflisten und zwangsweise widerrufen, Tokens widerrufen, Refresh-Tokens mit Scope offline_access und RP-initiiertes Logout.

Developer Experience

Standard-OIDC — keine Magie

Fertige Discovery-, JWKS- und Introspection-Endpunkte. Tokens lokal oder serverseitig verifizieren.

OIDC DiscoveryClient-Autokonfiguration via .well-known/openid-configuration

Lokale JWKS-PrüfungSignaturprüfung mit dem öffentlichen Schlüssel — ohne Netzwerkaufruf

OpenAPI-3.x-SpezifikationDer laufende Dienst stellt seine API-Beschreibung unter /api-docs bereit

identity · endpoints

# OIDC discovery
GET  /.well-known/openid-configuration

# JWKS — public key for local JWT verification
GET  /oauth/discovery/keys

# Server-side token introspection (RFC 7662)
POST /oauth/introspect

# Token revocation (RFC 7009)
POST /oauth/revoke

# UserInfo
GET  /oauth/userinfo

Claim-Mapping

Flexible Token-Struktur pro Anwendung

Jeder OAuth-Client definiert einen FEEL-Ausdruck, der bei der Ausstellung die JWT-Claims bildet — aus Rollen und Attributen des Nutzers oder statischen Werten

FEEL-AusdruckErgibt einen Kontext, dessen Einträge in das Access-Token der Anwendung übernommen werden

user · applicationDer Nutzer mit seinen Rollen und der OAuth-Client stehen zur Verfügung; M2M-Tokens haben keinen Nutzer

aud, sub, …Gemappte Claims werden zuletzt angewendet und können Basis-Claims überschreiben — etwa die Token-Audience

claim_mapping · FEEL

{
  name: user.name,
  aud: ["tasklist-api", "operate-api"],
  permissions: {
    "tasklist-api": ["read:*", "write:*"],
    "operate-api": ["read:*"]
  }
}

Funktionskarte

Alles für das Identitätsmanagement

Ein vollständiges Set an Authentifizierungs-, Autorisierungs- und Zugriffswerkzeugen

Passwort-Login

Auth Code + PKCE

Client Credentials

Refresh-Tokens

Token-Introspection

OIDC Discovery + JWKS

ID-Tokens & UserInfo

RS256 + KID

Anwendungs-Claims per FEEL

Anwendungsverwaltung

Token-Widerruf (RFC 7009)

Verwaltung von Anmeldesitzungen

RP-initiiertes Logout

Audience-Beschränkung (RFC 8707)

LDAP / externe Anbietergeplant

Multi-Faktor (TOTP/SMS)geplant

Field-level / Row-level ACLgeplant

Schlüsselrotation ohne Ausfallgeplant

Für wen

Einheitliche Identität für jede Architektur

Identity passt zu Microservices, Unternehmensportalen und externen APIs

Microservice-Plattform

Eine zentrale Authentifizierungsinstanz für alle Dienste. Zustandslose Token-Prüfung per JWKS ohne geteilte Sessions.

Unternehmens-SSO

Eine Anmeldung für alle internen Apps. Rollen und Rechte zentral im Token.

API-Schutz

Scoped-Tokens für Partner und Integrationen ausstellen. Serverseitige Validierung per Introspection.

Externe Integrationen

Standard-OIDC/OAuth ermöglicht die Anbindung beliebiger kompatibler Clients und Identitätsanbieter.

Binden Sie Identity an Ihre Plattform an

Wir beantworten gerne Ihre Fragen oder geben eine persönliche Demo von Identity.

Betriebsdokumentation →