Authentifizierungsanbieter

Jeder Mandant in RAMP kann über eigene Authentifizierungsanbieter verfügen. Benutzer authentifizieren sich über den für ihren Mandanten konfigurierten Anbieter, sodass verschiedene Organisationen ihre bestehende Identitätsinfrastruktur nutzen können.

Unterstützte Anbietertypen

Anbieter	Beschreibung	Anwendungsfall
RAMP Internal	Benutzername und Passwort in der RAMP-Datenbank gespeichert	Kleine Teams, Tests, eigenständige Bereitstellungen
LDAP	LDAP- oder Active Directory-Authentifizierung	Unternehmensumgebungen mit vorhandener AD-Infrastruktur
OIDC (OpenID Connect)	Azure AD, Keycloak, Okta, Auth0, Authentik	Cloud-orientierte Organisationen, SSO-Anforderungen
Windows Auth	Integrierte Windows-Authentifizierung (IIS/Kerberos)	Intranet-Bereitstellungen in Windows-Umgebungen

Tipp

Ein Mandant kann mehrere Authentifizierungsanbieter gleichzeitig konfiguriert haben. Sie können beispielsweise OIDC für die meisten Benutzer konfigurieren und gleichzeitig RAMP Internal als Fallback für Dienstkonten behalten.

Einen Authentifizierungsanbieter hinzufügen

1. Navigieren Sie zu Mandanten und wählen Sie den zu konfigurierenden Mandanten aus.
2. Öffnen Sie die Registerkarte Authentifizierungsanbieter.
3. Klicken Sie auf Anbieter hinzufügen.
4. Wählen Sie den Anbietertyp aus.
5. Konfigurieren Sie die anbieterspezifischen Einstellungen (siehe Abschnitte unten).
6. Klicken Sie auf Verbindung testen, um die Konfiguration zu überprüfen.
7. Klicken Sie auf Speichern.

RAMP Internal konfigurieren

Die RAMP Internal-Authentifizierung speichert Benutzernamen und Passwörter direkt in der RAMP-Datenbank. Es ist keine weitere Konfiguration erforderlich, außer dem Aktivieren des Anbieters.

Dieser Anbieter eignet sich für:

• Lokale Administratorkonten
• Dienstkonten
• Entwicklungs- und Testumgebungen
• Bereitstellungen ohne externe Identitätsinfrastruktur

LDAP konfigurieren

Die LDAP-Authentifizierung verbindet RAMP mit einem bestehenden LDAP-Verzeichnis oder Active Directory.

Erforderliche Einstellungen:

Einstellung	Beschreibung	Beispiel
Server	LDAP-Server-Hostname oder IP	ldap.beispiel.de
Port	LDAP-Portnummer	389 (LDAP) oder 636 (LDAPS)
Base DN	Basis-Distinguished-Name für Benutzersuchen	dc=beispiel,dc=de
Benutzerfilter	LDAP-Filter zum Suchen von Benutzerkonten	(sAMAccountName={0})
Bind DN	Distinguished-Name für das Bind-Konto	cn=svc-ramp,ou=dienste,dc=beispiel,dc=de
Bind-Passwort	Passwort für das Bind-Konto	(geheim)
SSL verwenden	SSL/TLS für die Verbindung aktivieren	true für Port 636

Vorsicht

Das Bind-Konto benötigt Lesezugriff auf das Verzeichnis. Vermeiden Sie die Verwendung eines Domain-Administratorkontos. Erstellen Sie ein dediziertes Dienstkonto mit minimalen Berechtigungen.

OIDC (OpenID Connect) konfigurieren

Die OIDC-Authentifizierung integriert RAMP mit modernen Identitätsanbietern, die das OpenID Connect-Protokoll unterstützen.

Erforderliche Einstellungen:

Einstellung	Beschreibung	Beispiel
Authority URL	Die OIDC-Issuer-URL	https://keycloak.beispiel.de/realms/meinrealm
Client ID	Der OAuth2-Client-Bezeichner	ramp-client
Client Secret	Das OAuth2-Client-Geheimnis	(geheim)
Scopes	Angeforderte OAuth2-Scopes	openid profile email

Keycloak

1. Erstellen Sie einen neuen Client in Keycloak mit aktivierter Client-Authentifizierung.
2. Setzen Sie die Gültige Redirect-URIs auf Ihre RAMP-URL gefolgt von /_auth/callback.
3. Kopieren Sie Client ID und Client Secret in RAMP.
4. Die Authority URL folgt dem Muster: https://keycloak.beispiel.de/realms/{realm}

Azure AD / Entra ID

1. Registrieren Sie eine Anwendung im Azure-Portal unter App-Registrierungen.
2. Erstellen Sie ein Client-Geheimnis unter Zertifikate & Geheimnisse.
3. Konfigurieren Sie die Redirect-URI auf Ihre RAMP-URL gefolgt von /_auth/callback.
4. Die Authority URL folgt dem Muster: https://login.microsoftonline.com/{tenant-id}/v2.0

Okta

1. Erstellen Sie eine OIDC-Anwendung in der Okta-Administratorkonsole.
2. Setzen Sie die Anmelde-Redirect-URI auf Ihre RAMP-URL gefolgt von /_auth/callback.
3. Kopieren Sie Client ID und Client Secret.
4. Die Authority URL folgt dem Muster: https://{domain}.okta.com

Authentik

1. Erstellen Sie einen neuen OAuth2/OpenID Provider in Authentik.
2. Setzen Sie die Redirect-URI auf Ihre RAMP-URL gefolgt von /_auth/callback.
3. Kopieren Sie Client ID und Client Secret.
4. Die Authority URL folgt dem Muster: https://authentik.beispiel.de/application/o/{app-slug}/

OIDC-Verzeichnisdurchsuchen

Standardmäßig sieht RAMP externe IDP-Benutzer erst, nachdem sie sich mindestens einmal angemeldet haben (CachedOnly-Modus). Wenn das Verzeichnisdurchsuchen aktiviert ist, kann RAMP Benutzer und Gruppen direkt vom Identitätsanbieter durchsuchen.

Verzeichnisdurchsuchen aktivieren

Für OIDC-Anbieter, die Admin-APIs bereitstellen (Keycloak, Entra ID, Okta, Authentik), können Sie das vollständige Verzeichnisdurchsuchen aktivieren:

1. Öffnen Sie die OIDC-Verbindungseinstellungen für den Mandanten.

2. Geben Sie den Admin-API-Endpunkt für Ihren Anbieter ein:

   Anbieter	Admin-API-Endpunkt
   Keycloak	https://keycloak.beispiel.de/admin/realms/{realm}
   Entra ID	https://graph.microsoft.com/v1.0
   Okta	https://{domain}.okta.com/api/v1
   Authentik	https://authentik.beispiel.de/api/v3

3. Stellen Sie sicher, dass der OAuth2-Client die notwendigen API-Berechtigungen für Ihren Anbieter hat.

4. Speichern Sie die Konfiguration.

Nach dem Speichern wechselt der Verbindungsmodus von CachedOnly zu FullBrowse, und Sie können Benutzer und Gruppen direkt vom Anbieter durchsuchen.

CachedOnly vs. FullBrowse

Funktion	CachedOnly	FullBrowse
Angemeldete Benutzer anzeigen	Ja	Ja
Alle Anbieterbenutzer durchsuchen	Nein	Ja
Anbietergruppen durchsuchen	Nein	Ja
Gruppen vom Anbieter synchronisieren	Nein	Ja
Admin-API-Endpunkt erforderlich	Nein	Ja
Zusätzliche API-Berechtigungen erforderlich	Nein	Ja

Hinweis

Auch im CachedOnly-Modus werden Benutzer automatisch als Mandantenmitglieder eingerichtet, wenn sie sich zum ersten Mal über den konfigurierten OIDC-Anbieter anmelden.

Windows Auth konfigurieren

Die integrierte Windows-Authentifizierung verwendet Kerberos oder NTLM für nahtlose Authentifizierung in Windows-Umgebungen.

Erforderliche Einstellungen:

Einstellung	Beschreibung	Beispiel
Domain	Windows-Domainname	BEISPIEL

Hinweis

Windows Auth erfordert, dass die RAMP-API auf IIS mit aktivierter Windows-Authentifizierung auf Serverebene gehostet wird. Es ist nicht in Docker- oder Linux-Bereitstellungen verfügbar.

Einen Anbieter testen

Testen Sie nach der Konfiguration eines Anbieters immer die Verbindung, bevor Sie sich darauf verlassen:

1. Klicken Sie auf Verbindung testen auf der Anbieterkonfigurationsseite.
2. Für LDAP: RAMP versucht, sich mit den konfigurierten Anmeldedaten an das Verzeichnis zu binden.
3. Für OIDC: RAMP validiert die Authority URL und ruft das OpenID Connect Discovery-Dokument ab.
4. Überprüfen Sie die Testergebnisse auf Fehler.

Tipp

Wenn der Test fehlschlägt, überprüfen Sie die Netzwerkkonnektivität zwischen dem RAMP-Server und dem Identitätsanbieter. Prüfen Sie Firewall-Regeln, DNS-Auflösung und ob der Anbieter vom Server erreichbar ist.

Vorhandene Anbieter verwalten

Einen Anbieter bearbeiten

Navigieren Sie zur Registerkarte Authentifizierungsanbieter des Mandanten, klicken Sie auf den Anbieter, ändern Sie die Einstellungen und speichern Sie. Testen Sie die Verbindung nach Änderungen.

Einen Anbieter entfernen

Das Entfernen eines Authentifizierungsanbieters verhindert, dass Benutzer sich über diesen Anbieter anmelden. Benutzer, die sich zuvor über den entfernten Anbieter authentifiziert haben, behalten ihre RAMP-Konten, müssen jedoch einen alternativen Anbieter verwenden.

Vorsicht

Stellen Sie sicher, dass mindestens ein funktionierender Authentifizierungsanbieter konfiguriert bleibt, bevor Sie einen Anbieter entfernen, da Benutzer sonst keine Möglichkeit haben, sich anzumelden.

Nächste Schritte

Nach der Konfiguration der Authentifizierungsanbieter konfigurieren Sie die Authentifizierungseinstellungen, um das Standard-Anmeldeverhalten für den Mandanten zu steuern.

---

Verwandte Themen

Authentifizierungseinstellungen Standard-Identitätsanbieter und Anmeldeverhalten pro Mandant konfigurieren

Authentifizierungsübersicht Die Authentifizierungsarchitektur und unterstützte Anbietertypen verstehen