SAML oder OpenID Connect?

In beiden Verfahren gibt es dieselben drei Beteiligten: die Anwendung, die jemanden hereinlassen soll; den Identitätsanbieter, der die Anmeldung durchführt; und die Person davor. Die Anwendung prüft keine Kennwörter – sie vertraut einer signierten Aussage des Identitätsanbieters.

Der Gewinn ist derselbe: Kennwörter liegen an einer Stelle, ein zweiter Faktor wird einmal eingerichtet, und ein Austritt wirkt zentral. Genau deshalb ist die einmalige Anmeldung eine Sicherheitsmaßnahme und nicht nur eine Bequemlichkeit.

SAML überträgt eine XML-Aussage über den Browser an die Anwendung. Es ist ausgereift, breit unterstützt und in etablierter Unternehmenssoftware oft die einzige angebotene Möglichkeit. Für native Anwendungen und APIs ist es schwerfällig.

OpenID Connect ist eine Identitätsschicht auf OAuth 2.0. Es liefert ein ID-Token im JSON-Format und trennt sauber zwischen Anmeldung und Zugriffsberechtigung auf APIs. Für Mobil- und Einzelseitenanwendungen ist es die praktikablere Wahl, und für maschinelle Zugriffe ohne Browser ist es der vorgesehene Weg.

Meist nicht nach fachlicher Präferenz, sondern danach, was die anzubindende Anwendung unterstützt. Wer eine gemischte Landschaft betreibt, wird beide Verfahren parallel führen – die Frage ist dann nicht welches, sondern ob beide an denselben Identitätsanbieter angebunden sind.

Bei Eigenentwicklungen und neuen APIs ist OpenID Connect die naheliegende Wahl. Bei zugekaufter Unternehmenssoftware entscheidet der Hersteller, und häufig ist das SAML. Wichtiger als die Wahl ist in beiden Fällen, dass die Anwendung Gruppen- oder Rolleninformationen aus der Anmeldung tatsächlich auswertet – sonst ist die Anmeldung zentral, die Berechtigung aber weiterhin lokal gepflegt.

Einmalige Anmeldung löst die Frage der Identität, nicht die der Berechtigung. Wenn eine Anwendung nach erfolgreicher Anmeldung intern weiterhin eigene Benutzerrechte pflegt, ist beim Austritt zwar der Zugang gesperrt, die Rechte sind aber noch da – und tauchen bei der nächsten Prüfung auf.

Zur Einführung gehört deshalb die Frage, welche Angaben mit der Anmeldung übertragen werden und wie die Anwendung daraus Rechte ableitet. Das ist unspektakulär und entscheidet darüber, ob das Verfahren tatsächlich etwas vereinfacht.