Identiteet ja ligipääs
SSO, SCIM-i provisjoneerimine ja paroolivaba avamine.
OIDC sisselogimine sinu IdP-sse, SCIM 2.0 kasutajate ja gruppide automaatseks loomiseks ning WebAuthn-PRF pääsuvõtmed, mis avavad isikliku hoidla ilma parooli tippimata. IdP grupid vastenduvad ettevõtte rollidega ja tiimiliikmelisused suunatakse kinnitamisele. SSO ja SCIM kuuluvad Enterprise'i paketti.
IdP
Okta / Entra / Google
OIDC + SCIM
login + provisioning
Caldyr
teams · roles · passkey unlock
Kuidas see töötab
1
Kasutaja klõpsab "Logi sisse SSO-ga"
Standardne OIDC-avastus töömeili domeenist.
2
OIDC-ümbersuunamine
Teie IdP-sse: Okta, Entra, Google, mis tahes OIDC.
3
SCIM sünkroniseerib ja JIT-provisjoneerib
Kasutaja luuakse soovi korral esmasel sisselogimisel (ettevõttepõhine säte). Grupiväited vastenduvad teie ettevõtte rollidega; tiimiliikmelisused suunatakse kinnitamisele.
4
Pääsuvõti avab isikliku hoidla
WebAuthn-PRF tuletab pakkimisvõtme. Parooli ei trükita. Peavõti ei lahku kunagi seadmest.
Süvavaated
SCIM 2.0 provisjoneerimine
Töölt lahkumine IdP-s levib sekunditega. Pole orvuks jäänud ligipääsu. Standardsed /scim/v2/Users ja /Groups otspunktid.
Grupp → tiim/roll-vastendus
IdP grupiväited vastenduvad Caldyri ettevõtte rollidega, seadistatakse ettevõttepõhiselt ja rakendatakse igal SSO-sisselogimisel. Tiimiliikmelisused suunatakse kinnitamisele, mitte ei anta kohe.
WebAuthn-PRF automaatne avamine
Pääsuvõti annab autentikaatoris deterministliku PRF-väljundi. HKDF tuletab sellest isikliku hoidla mähisvõtme, tervenisti brauseris. Meieni ei jõua ei PRF-väljund ega tuletatud võti, ainult mähitud plokk.
SCIM-vastenduse näide
config · company_idp_configs.role_mapping (JSON)
# IdP group → company role and, optionally, a team (queued for approval)
{
"acme-platform-eng": { "company_role": "admin",
"team_id": "<platform-team-uuid>",
"team_role": "admin" },
"acme-backend-eng": { "company_role": "member",
"team_id": "<backend-team-uuid>",
"team_role": "member" },
"acme-contractors": { "company_role": "viewer" }
}
# Company roles: admin, member, viewer. Groups with no entry get the
# IdP config's default role (member or viewer).
Töölt lahkumine IdP-s = kohene tühistamine siin.
Keela kasutaja Oktas reede pärastlõunal: tema ligipääs on kadunud enne sülearvuti sulgemist. Esmaspäeval pole vaja kontrollida "kas keegi mäletas eemaldada…".
Võrdle
| Caldyr | Käsitsi kasutajahaldus | SSO ilma SCIM-ita | |
|---|---|---|---|
| JIT-provisjoneerimine | esmasel sisselogimisel, kui lubatud | loo käsitsi | sisselogimine töötab · profiili pole |
| Automaatne deprovisjoneerimine | SCIM-tõuge | käsitsi | aegunud kuni käsitsi |
| Grupp → roll-vastendus | IdP grupiväited vastenduvad ettevõtte rollidega; tiimiligipääs suunatakse kinnitamisele | määra käsitsi | ainult vaikeroll |
| Paroolivaba avamine | WebAuthn-PRF | ainult parool | parooli tagavara |
| Isiklik hoidla pärast SSO-d | nullteadmisega isiklik hoidla | puudub | kliendipoolset hoidlat ei ole |
KKK
Mis tahes standardinõuetele vastav OIDC IdP, provisjoneerimiseks SCIM 2.0-ga. Testime Keycloakiga; ütle, millist IdP-d kasutad, ja kontrollime selle koos sinuga üle.
Ei, ainult OIDC töötab, valikulise just-in-time-provisjoneerimisega esmasel sisselogimisel (ettevõttepõhine säte). Kuid ilma SCIM-ita jääb automaatne deprovisjoneerimine ja grupisünkroonimine puudu. Enamik ettevõtteklientidest lülitab SCIM-i sisse.
Sisseehitatud TOTP koos taastekoodidega ja pääsuvõtmega (WebAuthn) sisselogimine on parooliga kontodele toetatud. SSO korral kehtivad sinu IdP enda sisselogimispoliitikad, sealhulgas MFA.
WebAuthn-PRF tagastab autentijas tuletatud deterministliku saladuse. Me kasutame HKDF-i, et laiendada see hoidla pakkimisvõtmeks, täielikult kliendi poolel. Me näeme ainult krüpteeritud hoidla plokki.
Valmis oma AI-infrastruktuuri haldama?
Taotle ligipääsu mõne minutiga, või räägi meiega oma õhulõhega juurutusest.