Identiteetti ja pääsynhallinta
SSO, SCIM-provisiointi ja salasanaton avaus.
OIDC-kirjautuminen IdP:hesi, SCIM 2.0 käyttäjien ja ryhmien automaattiseen luontiin sekä WebAuthn-PRF-avaimet, jotka avaavat henkilökohtaisen holvisi ilman salasanalauseen kirjoittamista. IdP:n ryhmät kartoittuvat yrityksesi rooleihin, ja tiimijäsenyydet jonotetaan hyväksyttäviksi. SSO ja SCIM kuuluvat Enterprise-pakettiin.
IdP
Okta / Entra / Google
OIDC + SCIM
login + provisioning
Caldyr
teams · roles · passkey unlock
Miten se toimii
1
Käyttäjä klikkaa "Kirjaudu SSO:lla"
Normaali OIDC-etsintä työsähköpostin verkkotunnuksesta.
2
OIDC-uudelleenohjaus
Siirrytään IdP:hen: Okta, Entra, Google, mikä tahansa OIDC.
3
SCIM synkronoi ja JIT-provisioi
Käyttäjä luodaan tarvittaessa ensimmäisellä kirjautumisella (yrityskohtainen asetus). Ryhmätiedot kartoittuvat yrityksesi rooleihin; tiimijäsenyydet jonotetaan hyväksyttäviksi.
4
Avain avaa henkilökohtaisen holvin
WebAuthn-PRF johtaa käärintäavaimen. Ei kirjoitettavaa salasanaa. Pääavain ei poistu laitteelta.
Syväsukellukset
SCIM 2.0 -provisiointi
Käyttäjän poisto IdP:ssä välittyy sekunneissa. Ei orpoja käyttöoikeuksia. Standardit /scim/v2/Users- ja /Groups-päätepisteet.
Ryhmä → tiimi/rooli-kartoitus
IdP-ryhmätiedot kartoittuvat Caldyr-yritysrooleihin: määritetään yrityskohtaisesti ja sovelletaan jokaisella SSO-kirjautumisella. Tiimijäsenyydet jonotetaan hyväksyttäviksi sen sijaan, että ne myönnettäisiin heti.
WebAuthn-PRF-automaattiavaus
Avain tuottaa deterministisen PRF-tulosteen autentikaattorin sisällä. HKDF johtaa siitä henkilökohtaisen holvin kääreavaimen, kokonaan selaimessa. Meille ei tule PRF-tulostetta eikä johdettua avainta, vain kääritty lohko.
SCIM-kartoitusesimerkki
config · company_idp_configs.role_mapping (JSON)
# IdP group → company role and, optionally, a team (queued for approval)
{
"acme-platform-eng": { "company_role": "admin",
"team_id": "<platform-team-uuid>",
"team_role": "admin" },
"acme-backend-eng": { "company_role": "member",
"team_id": "<backend-team-uuid>",
"team_role": "member" },
"acme-contractors": { "company_role": "viewer" }
}
# Company roles: admin, member, viewer. Groups with no entry get the
# IdP config's default role (member or viewer).
Käyttäjän poisto IdP:ssä = välitön peruutus täällä.
Poista käyttäjä Oktasta perjantai-iltapäivänä: hänen pääsynsä on poissa ennen kuin hän sulkee kannettavan. Ei "muistiko kukaan poistaa..." -tarkistusta maanantaina.
Vertailu
| Caldyr | Manuaalinen käyttäjähallinta | SSO ilman SCIM:ia | |
|---|---|---|---|
| JIT-provisiointi | ensimmäisellä kirjautumisella, jos käytössä | luodaan käsin | kirjautuminen toimii · ei profiilia |
| Automaattinen poisprovisiointi | SCIM push | manuaalisesti | vanhentunut kunnes käsin |
| Ryhmä → rooli-kartoitus | IdP-ryhmätiedot kartoittuvat yritysrooleihin; tiimipääsy jonotetaan hyväksyttäväksi | osoitetaan käsin | vain oletusrooli |
| Salasanaton avaus | WebAuthn-PRF | vain salasana | salasanavara |
| Henkilökohtainen holvi SSO:n kanssa | henkilökohtainen zero-knowledge-holvi | ei sovellu | ei selainpuolen holvia |
UKK
Mikä tahansa standardien mukainen OIDC-IdP, ja provisiointiin SCIM 2.0. Testaamme Keycloakia vasten; kerro, mitä IdP:tä käytät, niin todennamme sen kanssasi.
Ei, pelkkä OIDC toimii, ja valinnainen just-in-time-provisiointi hoituu ensimmäisellä kirjautumisella (yrityskohtainen asetus). Ilman SCIM:ia automaattinen poisprovisiointi ja ryhmäsynkronointi kuitenkin jäävät pois. Useimmat yritysasiakkaat ottavat SCIM:in käyttöön.
Sisäänrakennettu TOTP palautuskoodeineen ja avainkirjautuminen (passkey, WebAuthn) ovat tuettuja salasanatileille. SSO:n kanssa IdP:si omat kirjautumiskäytännöt, MFA mukaan lukien, ovat voimassa.
WebAuthn-PRF palauttaa deterministisen salaisuuden, joka johdetaan autentikaattorin sisällä. Käytämme HKDF:ää laajentaaksemme sen holvin käärintäavaimeksi, kokonaan asiakaspuolella. Näemme vain salatun holvin.
Valmis hallitsemaan tekoäly-infrastruktuuria?
Pyydä pääsyä minuuteissa, tai kerro meille air-gap-käyttöönotosta.