Identiteet ja ligipääs
SSO, SCIM-i provisjoneerimine ja paroolivaba avamine.
OIDC-sisselogimine teie IdP-sse, SCIM 2.0 kasutajate ja gruppide automaatseks provisjoneerimiseks ning WebAuthn-PRF pääsuvõtmed, mis avavad E2EE-hoidla ilma parooli trükkimata. IdP grupiväited vastenduvad automaatselt teie tiimide ja rollidega.
IdP
Okta / Entra / Google
OIDC + SCIM
login + provisioning
Caldyr
teams · roles · passkey unlock
Kuidas see töötab
1
Kasutaja klõpsab "Logi sisse SSO-ga"
Standardne OIDC-avastus töömeili domeenist.
2
OIDC-ümbersuunamine
Teie IdP-sse: Okta, Entra, Google, mis tahes OIDC.
3
SCIM sünkroniseerib ja JIT-provisjoneerib
Kasutaja luuakse esmasel sisselogimisel. Grupiväited vastenduvad teie tiimide ja rollidega.
4
Pääsuvõti avab E2EE
WebAuthn-PRF tuletab pakkimisvõtme. Parooli ei trükita. Peavõti ei lahku kunagi seadmest.
Süvavaated
SCIM 2.0 provisjoneerimine
Töölt lahkumine IdP-s levib sekunditega. Pole orvuks jäänud ligipääsu. Standardsed /scim/v2/Users ja /Groups otspunktid.
Grupp → tiim/roll-vastendus
IdP grupiväited vastenduvad automaatselt Caldyri tiimide ja rollidega, seadistatakse ettevõttepõhiselt ja rakendatakse igal SSO-sisselogimisel nii uutele (JIT) kui ka korduvkasutajatele.
WebAuthn-PRF automaatne avamine
Pääsuvõti annab deterministliku PRF-väljundi. HKDF tuletab E2EE-hoidla pakkimisvõtme. Me ei näe ei pääsuvõtit ega tuletatud võtit.
SCIM-vastenduse näide
config · scim_mapping.yaml
oidc_claims:
user_id: sub
email: email
display: name
groups: groups
group_mapping:
# IdP group → team role
acme-platform-eng → platform admin
acme-backend-eng → backend member
acme-design → design member
acme-security-team → [platform, backend] viewer
defaults:
role: viewer
team: unassigned
Töölt lahkumine IdP-s = kohene tühistamine siin.
Keela kasutaja Oktas reede pärastlõunal: tema ligipääs on kadunud enne sülearvuti sulgemist. Esmaspäeval pole vaja kontrollida "kas keegi mäletas eemaldada…".
Võrdle
| Caldyr | Käsitsi kasutajahaldus | SSO ilma SCIM-ita | |
|---|---|---|---|
| JIT-provisjoneerimine | esmasel sisselogimisel | loo käsitsi | sisselogimine töötab · profiili pole |
| Automaatne deprovisjoneerimine | SCIM-tõuge | käsitsi | aegunud kuni käsitsi |
| Grupp → roll-vastendus | IdP grupiväited vastenduvad automaatselt rollide ja tiimidega | määra käsitsi | ainult vaikeroll |
| Paroolivaba avamine | WebAuthn-PRF | ainult parool | parooli tagavara |
| E2EE-ühilduvus | nullteadmisega isiklik hoidla | puudub | rikub sageli E2EE |
KKK
Mis tahes OIDC IdP koos SCIM 2.0-ga. Testitud: Okta, Microsoft Entra ID (Azure AD), Google Workspace, JumpCloud, OneLogin, Auth0. Teised OIDC-pakkujad peaksid töötama; kui mitte, ava probleem.
Ei, ainult OIDC töötab, JIT-provisjoneerimisega esmasel sisselogimisel. Kuid ilma SCIM-ita jääb automaatne deprovisjoneerimine ja grupisünkroonimine puudu. Enamik ettevõtteklientidest lülitab SCIM-i sisse.
IdP haldab MFA-d: meie delegeerime. Kui IdP rakendab MFA-d sisselogimisel või täiendavat kinnitust tundlike toimingute jaoks, kanduvad need poliitikad edasi.
WebAuthn-PRF tagastab autentijas tuletatud deterministliku saladuse. Me kasutame HKDF-i, et laiendada see hoidla pakkimisvõtmeks, täielikult kliendi poolel. Me näeme ainult krüpteeritud hoidla plokki.
Valmis oma AI-infrastruktuuri haldama?
Taotle ligipääsu mõne minutiga, või räägi meiega oma õhulõhega juurutusest.