Kurzfassung
Ein Identity Provider (IdP) ist der vertrauenswürdige Dienst, der Nutzer und Maschinen authentifiziert und Tokens oder Assertions ausgibt, mit denen Anwendungen Zugriffe gewähren.
Was ist ein Identity Provider?
Der IdP bündelt alles, was mit „Wer ist dieser Nutzer?" zu tun hat. Er verwaltet Konten, Gruppenzugehörigkeiten und Anmeldedaten, führt Authentifizierungs-Flows einschließlich Multi-Faktor durch und gibt standardisierte Tokens aus – OIDC ID-Tokens, OAuth-2.0-Access-Tokens oder SAML-Assertions –, die Anwendungen konsumieren. Die Anwendungen selbst speichern keine Passwörter, sondern vertrauen dem IdP.
Self-hosted IdPs sind etwa Keycloak, Zitadel, Authentik und PocketID. Managed IdPs sind Microsoft Entra ID, Google Workspace, Okta, Auth0 und JumpCloud. Da moderne Plattformen über offene Standards (OIDC, OAuth 2.0, SAML) sprechen, lassen sich Identitätsentscheidungen konsistent über Cloud-Dienste, interne Apps und Infrastrukturwerkzeuge wie Mesh-VPNs hinweg umsetzen.
Im Zero-Trust-Kontext wird der IdP zum Anker jeder Zugriffsentscheidung: Die Verbindung von einem Nutzer zu einem internen Dienst wird nur erlaubt, wenn ein gültiges, signiertes Token des vertrauten IdP vorliegt. Die Provisionierung der Identitäten in den IdP selbst läuft typischerweise automatisiert per SCIM aus einem HR- oder Verzeichnisdienst.
Warum ist ein Identity Provider relevant?
- Single Source of Truth: Eine Stelle für Konten, Gruppen und Authentifizierungs-Policy
- Zero-Trust-Grundlage: Jede Zugriffsprüfung hängt am Ende an einem Token des IdP
- Offene Standards: OIDC, OAuth 2.0 und SAML halten Anwendungen über IdPs hinweg portabel
- Auditierbarkeit: Zentrale Anmeldelogs erleichtern Compliance und Incident Response
Verwandte Begriffe
- Single Sign-On: Nutzererfahrung, die auf IdP-Tokens basiert
- Multi-Factor Authentication: Stärke-Prüfung, die der IdP erzwingt
- SCIM: Protokoll zur Provisionierung und De-Provisionierung von Identitäten in den IdP
- Keycloak: Open-Source-IdP, der in EU-Setups häufig self-hosted läuft
- Zero Trust: Sicherheitsmodell, das jede Anfrage gegen IdP-Identität prüft