Airlock IAM 7.7
Was den Funktionsumfang betrifft, zieht die neue Loginapp REST UI gleich mit der alten JSP Loginapp und bietet die migrierten Features wiederum mit grösser Flexibilität und mehr Möglichkeiten an. IAM 7.7 ist der ideale Release für die Migration auf die neue Loginapp, weil es letztmals beide Loginapps enthält.
Die wichtigsten Funktionserweiterungen sind die Umsetzung des SAML Service Providers, die Unterstützung von risikobasierter Authentifizierung und des Kerberos Protokolls in den Flows. Daneben komplettieren viele andere, kleinere Funktionen den Umfang der neuen Loginapp.
Loginapp ablösen
Mit IAM 7.7 haben wir dafür gesorgt, dass Sie alle wichtigen Bausteine der JSP-Loginapp auch in der Loginapp REST finden. Einer Umstellung auf die neue Loginapp steht somit nichts mehr im Weg.
Die Loginapp REST UI wurde insbesondere um folgende Funktionen erweitert:
- Passwort-Reset Self-Service mit E-Mail-Links
- Front-side Kerberos in Flows
- CAPTCHA Support (reCaptcha und hCaptcha)
- End-2-End-Encryption für Passwörter
- Lockout Self-Service
- Client-Fingerprinting-basiertes Sperren von Benutzerkonten
- On-Behalf Identity Propagator (SSO für Legacy-Systeme)
- SAML Service Provider (mehr dazu im nächsten Abschnitt)
SAML Service Provider
SAML bleibt ein weitverbreitetes und oft genutztes Federation Protokoll. Mit IAM 7.7 wurde der SAML SP aktualisiert und funktioniert jetzt auch mit der neuen Loginapp. Damit lässt sich IAM sowohl als SAML Service Provider als auch als SAML Identity Provider nutzen und kann gleichzeitig von den flexiblen Möglichkeiten der Flow Authentisierung profitieren.
Flow Visualisierung
Manchmal sieht man den Wald vor lauter Bäumen nicht mehr. So kann es einem gehen, wenn man eine IAM-Konfiguration verstehen soll, die man vielleicht schon länger nicht mehr (oder noch nie) angefasst hat.
Hier schafft das neue Flow Diagramm Abhilfe. Die grafische Anzeige eines IAM-Flows sorgt dafür, dass auch komplizierte Abläufe überschaubar und nachvollziehbar werden. Das Flussdiagramm kann auch für Dokumentationszwecke als PNG oder SVG-Grafik exportiert werden.
Risk-based Authentication
Die risikobasierte Authentifizierung wurde erweitert, damit das Feature noch breiter und besser genutzt werden kann.
IAM Flows können neu durch Risk Extractors gesteuert werden. Diese werden durch IAM selbst (IP Address Range, Geolocation, User Agent, Impossible Journey) oder in Zusammenarbeit mit einem vorgelagerten Gateway (Anomaly Shield Status, Client Fingerprinting) umgesetzt. Mit den Risk Extractors kann IAM während eines Authentifizierungsablaufs das Benutzererlebnis optimieren, indem auf Basis der Risiko-Tags ein Authentifizierungsschritt entweder durchgeführt oder übersprungen wird.
Das Gateway kann beispielsweise von Fremdsystemen (z.B. Fraud Detection System) oder über interne Funktionen (z.B. Anomaly Shield) angewiesen werden, eine Berechtigungen aus der laufenden User Session zu entfernen. IAM 7.7 interpretiert diese sogenannten Role Drops in den Flows und zwingt den User während des Authentifizierungsablaufs die verlorenen Rollen wieder zu erhalten. Es ist so unter anderem möglich, eine verdächtige Session durch eine Re-Authentisierung mit einem zweiten Faktor zu verifizieren.
Event Notifications
Event Notifications wurden mit IAM 7.5 eingeführt und jetzt mit IAM 7.7 nochmals verbessert:
- Neu können Event-Benachrichtigungen auch via SMS versandt werden. Bei Bedarf wird die Meldung an alle Mobiltelefonnummern gesendet, die im Benutzerkonto hinterlegt sind.
- Der User Locked Event wird bei der Sperrung eines Kontos ausgelöst. In diesem Fall können neu unterschiedliche Benachrichtigungen gesendet werden, je nach Ursache der Sperrung (Lock Reason). Dabei kann sich sowohl die Nachricht als auch der Kanal (Email, SMS) unterscheiden.
Weitere Neuerungen
- Remember-Me Self-Service: Jeder Benutzer kann die Liste aller angemeldeten Browser ansehen und bei Bedarf einen Logout auf einem anderen Gerät erzwingen.
- Benutzername und Passwort können auf getrennten Masken eingegeben werden. Damit sind Fallunterscheidungen nach der Eingabe des Benutzernamens möglich.
- Verbesserter Email OTP Step: Die konkrete Tel-Nr. oder Emailadresse kann im UI dargestellt werden, auf Wunsch auch maskiert.
- Airlock 2FA Device Enrollment: Ein mobiles Gerät kann bereits während der Registrierung eingebunden werden.
- Unterstützung für mehrere Transaction Approval Flows
- Zusätzlicher Provider für SMS-Versand: Support für Swisscom SMS Large Account REST Gateway
Eine vollständige Liste der Änderungen finden Sie wie immer in den Release Notes.
Einfaches Update
Airlock IAM 7.7 ist seit Anfang Oktober 2022 auf Docker Hub und der Airlock Techzone publiziert. Das Update auf diese Minor Version erfordert keine manuellen Anpassungen: Ihre bestehende Konfiguration kann problemlos aktiviert werden.
Airlock IAM 7.7 wird voraussichtlich bis 06/2024 unterstützt. Falls Sie noch IAM 7.5 oder älter im Einsatz haben, empfehlen wir Ihnen ein baldiges Update.