Enterprise IAM & Federation (Keycloak)

Enterprise Identity & Access Management (IAM) und Identity Federation bilden die zentrale Schaltstelle für Benutzeranmeldungen und Zugriffsrechte im Unternehmen. Anstatt Benutzerkonten und Passwortregeln mühsam in dutzenden einzelnen Fachprogrammen separat zu pflegen, übernimmt ein zentraler Anmeldedienst (Identity Provider) wie das quelloffene System Keycloak die Prüfung der Identität über offene Standards wie OpenID Connect (OIDC), OAuth 2.0 und SAML 2.0.

Über die sogenannte Föderation (Identity Federation) lassen sich bestehende Unternehmensverzeichnisse (wie Active Directory, OpenLDAP oder Univention) nahtlos anbinden: Mitarbeitende melden sich morgens einmalig an (Single Sign-On, SSO) und erhalten automatisch Zugriff auf alle für ihre Rolle freigegebenen Webanwendungen.

Warum eine eigene Anmeldezentrale im Mittelstand Kosten spart und Abhängigkeiten löst

Wer seine gesamte Benutzeranmeldung ausschließlich über die Cloud eines großen Herstellers (wie Microsoft Entra ID oder Okta) abwickelt, macht die tägliche Arbeitsfähigkeit aller Abteilungen von einem einzigen externen Dienst abhängig. Zudem verlangen viele Software-Anbieter hohe Aufpreise pro Nutzer und Monat, sobald Single Sign-On oder strenge Sicherheitsregeln (Conditional Access) genutzt werden sollen.

Mit einem selbst betriebenen IAM-System wie Keycloak behalten Unternehmen die volle Kontrolle über ihre Benutzerdaten und Anmeldeprotokolle – komplett ohne laufende Lizenzgebühren pro Mitarbeiterkonto.

Worauf es bei Hochverfügbarkeit und Sitzungsverwaltung ankommt

Da ohne funktionierenden Identity Provider keine Anmeldung an angebundenen Systemen mehr möglich ist, darf Keycloak im Produktivbetrieb niemals als einzelne, ungesicherte Instanz laufen. Für einen unterbrechungsfreien Betrieb sollte das System mindestens zweifach redundant (Cluster-Betrieb) mit einer ausfallsicheren PostgreSQL-Datenbank ausgelegt werden.

Ein zweiter wichtiger Punkt in der Praxis ist die Gültigkeitsdauer von Sitzungs-Tokens: Werden Access-Tokens auf viele Stunden oder Tage eingestellt, greift eine Kontosperrung (etwa beim Ausscheiden eines Mitarbeiters) erst mit gefährlicher Verzögerung.

3 Schritte für den erfolgreichen Aufbau einer zentralen Anmeldeplattform

• Keycloak als vermittelnde Schicht vor das Active Directory setzen: Verbinden Sie Ihr internes Active Directory nur noch mit Ihrem Keycloak-Server und binden Sie alle Web- und Cloud-Anwendungen per OpenID Connect an Keycloak an.
• Sichere Zwei-Faktor-Anmeldung (FIDO2 / Passkeys) aktivieren: Richten Sie direkt im zentralen Anmeldeprozess Hardware-Sicherheitsschlüssel oder Passkeys ein – so sind auf einen Schlag auch ältere Fachanwendungen durch moderne Zwei-Faktor-Sicherheit geschützt.
• Zugriffsrechte über klare Rollen (RBAC) vergeben: Pflegen Sie Berechtigungen nicht für einzelne Personen, sondern über klar definierte Abteilungs- und Projektrollen, damit Ein- und Austritte in Sekunden erledigt sind.