Customer Identity & Access Management (CIAM)
Customer Identity & Access Management (CIAM) ist ein Konzept, das Unternehmen dabei unterstützt, die Identität und den externen Zugang von Kunden und Kundinnen zu ihren digitalen Diensten und Anwendungen zu verwalten. CIAM ist damit eine Untergruppe des umfassenderen Konzepts des Identity & Access Managements (IAM) im Unternehmen und umfasst verschiedene Aspekte, darunter:
- Identitätsmanagement: Verwaltung von Benutzerkonten, einschließlich der Registrierung, Authentifizierung und Autorisierung von Kunden und Kundinnen.
- Benutzerdatenverwaltung: Speicherung und Pflege von Kundeninformationen, einschließlich persönlicher Daten und Präferenzen.
- Sicherheitsfunktionen: Implementierung von Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung (MFA), um unbefugten Zugriff zu verhindern.
- Compliance: Sicherstellung der Einhaltung von Datenschutzbestimmungen wie der Datenschutz-Grundverordnung (DSGVO) in der EU.
- Benutzererfahrung: Bereitstellung einer nahtlosen und benutzerfreundlichen Anmeldung und Verwaltung von Konten, um die Kundenzufriedenheit zu erhöhen.
- Integration: Verbindung mit anderen Systemen, digitalen Diensten und Anwendungen, um einen einheitlichen und nahtlosen Zugang zu verschiedenen Dienstleistungen zu ermöglichen.
CIAM hilft dabei nicht nur die Kundenidentitäten zu verwalten, die Sicherheit zu erhöhen und den Zugriff zu kontrollieren, sondern stärkt auch die Kundenbindung und verbessert die Effizienz der Geschäftsprozesse.
Microsoft Entra External ID
Entra External ID (EEID) ist die Identity & Access Management Lösung von Microsoft, die speziell für die Verwaltung externer Kundenidentitäten seit Mai 2024 verfügbar ist. EEID ist das nächste Generation von CIAM und löst die bisherige Lösung Azure AD B2C ab.
Abb.: Microsoft Entra External ID (Quelle: Microsoft)
EEID ermöglicht Unternehmen, die Identität von Benutzern und Benutzerinnen, die nicht Mitarbeitende sind (z. B. Partner, Kunden oder Dienstleister), sicher zu verwalten und ihnen den Zugang zu Anwendungen und Ressourcen zu gewähren. Die wichtigsten Funktionen von Entra External ID sind:
- Registrierung und Anmeldung (Authentifizierung): Benutzer und Benutzerinnen können sich einfach für bereitgestellte digitale Dienste, Anwendungen oder Ressourcen registrieren (Sign Up) und anmelden (Sign In). Hierfür können neben E-Mail und Passwort oder der Kombination aus E-Mail und Einmalpasswort (OTPC) im Registrierungs- und Anmeldeprozess auch soziale Medien (z. B. Facebook, Google) oder andere Identitätsanbieter (z. B. Entra ID, SAML/WS-Fed) verwendet werden.
- Registrierungs- und Anmeldebenutzerflow erweitern: Innerhalb eines Registrierungs- und Anmeldebenutzerflows gibt es integrierte Authentifizierungsereignisse, bei denen eine eigene Geschäftslogik oder Workflows per REST-API Calls ausgeführt werden können.
Abb.: Mögliche Authentifizierungsereignisse (Quelle: Microsoft)
Auf Authentifizierungsereignisse zu reagieren ist sinnvoll, um z. B. Registrierungsseiten vor zu befüllen, Fehler auszugeben, Registrierungen zu blockieren, eingegebene Daten zu überprüfen oder Authentifizierung-Token mit Daten aus Drittsystemen als Claims anzureichern.
- Zugriffsverwaltung (Autorisierung): Unternehmen können steuern, welche externen Benutzer auf bestimmte Ressourcen zugreifen dürfen und Berechtigungen entsprechend anpassen. Die Zugriffsverwaltung kann u.a. auf Basis von Rollen (RBAC), Gruppen (GBAC) oder Token-basiert über Claims erfolgen.
- Self-Services: Anpassungen an Profildaten für definierte Attribute (Profil edit) sowie das Zurücksetzen von Passwörtern (Password reset) können im Self-Service von Kunden und Kundinnen selbst durchgeführt werden.
- Sicherheitsfunktionen: Multi-Faktor-Authentifizierung (MFA) und andere Sicherheitsmaßnahme, wie bedingter Zugriff erhöhen die Sicherheit beim Zugriff auf die Unternehmensressourcen.
- Governance & Compliance: Unterstützung bei der Einhaltung von Datenschutz- und Sicherheitsstandards sowie der Bereitstellung und Verknüpfung von Nutzungsbedingungen und Regeln zur Altersbeschränkungen.
- Aussehen und Verhalten: Eine einfache, intuitive und anpassbare Benutzeroberfläche verbessert die nahtlose Benutzererfahrung und erhöht die Wahrscheinlichkeit, dass externe Benutzer die Dienste nutzen. Über Anpassungsmöglichkeiten im Aussehen und durch die Verwendung von eigenen Domain-Namen in den URLs wird ein einheitliches Unternehmensbranding gewährleistet. Es werden aktuell 36 Sprachen unterstützt.
- Integration: Nahtlose Integration mit anderen Microsoft-Diensten und Drittanbieter-Anwendungen.
Unternehmen, die regelmäßig mit externen Partnern und Partnerinnen oder Kunden und Kundinnen zusammenarbeiten, nutzen Entra External ID, um eine sichere Authentifizierung und effiziente Autorisierung dieser Benutzer zu gewährleisten. Gleichzeitig stellt die Lösung sicher, dass Sicherheits- und Compliance-Anforderungen erfüllt werden.
Demo
Im Rahmen dieser Demo demonstrieren wir Ihnen, wie Entra External ID als CIAM-Lösung für Anwendungen eingerichtet werden kann. Dazu erstellen wir einen neuen External ID Tenant, richten einen Nutzerfluss ein, binden eine Anwendung an und passe das Design der Anmeldeseite an.
Erstellen eines External ID Tenants
Zunächst erstellen wir einen neuen Entra External ID Tenant. Dieser Tenant ist separat von unserem internen Unternehmensmandanten und wird ausschließlich für die Verwaltung von Kundenidentitäten verwendet.
Dazu navigieren wir zum Microsoft Entra Admin Center (https://entra.microsoft.com
). Nach der Anmeldung können wir unter “Identität” > “Übersicht” die Schaltfläche „Mandanten verwalten“ auswählen. Über den Button „Erstellen“ starten wir den Konfigurationsdialog eines neuen Mandanten und wählen „Extern“ aus.
Auf der anschließenden Konfigurationsseite geben wir „Objektkultur-Kunden“ als Mandantenname und Objektkulturcustomers als Domänenname an. Der Mandantenname wird nach der Erstellung im Entra Portal angezeigt, um den Tenant identifizieren zu können. Der Domänenname muss eindeutig sein und wird automatisch um die Endung „.onmicrosoft.com“ ergänzt. Diese Domäne wird Teil der Anmelde-URL für die Nutzer und Nutzerinnen des Tenants. Aus dem von uns gewählten Standort „Deutschland“ ergibt sich der geografische Standort „Europa“. Der Standort bestimmt die verwendeten Rechenzentren und kann nach der Erstellung nicht mehr geändert werden.
Abb.: Dialog zur Mandantenerstellung
Nach der Grundkonfiguration wählen wir ein Azure-Abonnement aus und erstellen eine Ressourcengruppe für den Tenant. Nachdem wir die Angaben auf der letzten Seite des Dialogs überprüft haben, starten wir die Erstellung.
Konfigurieren eines Userflows
Nachdem unser Entra External ID Tenant erstellt wurde, richten wir einen Userflow für die Registrierung und Anmeldung ein.
Dazu navigieren wir, nach dem Wechsel in den neuerstellten Tenant, im Entra Admin Center zu “Identitäten” > “Azure AD External Identities” > “Benutzerflows” und klicken auf „Neuer Benutzerflow“. Den neuen Flow nennen wir „SignUpSignIn“, da er sowohl für die Registrierung als auch für die Anmeldung verwendet wird.
Als Identitätsanbieter wählen wir „E-Mail mit Kennwort“, weil diese Anmeldemethode den meisten Nutzern und Nutzerinnen vertraut ist. Entra External ID unterstützt alternativ auch die Anmeldung mit einem Einmal-Passcode oder mit anderen Identitätsanbietern, wie Google oder Facebook.
Anschließend wählen wir die Benutzerattribute aus, die während der Registrierung erfasst werden sollen. Wir entscheiden uns für „Vorname“, „Nachname“ und „Anzeigename“. Entra External ID unterstützt auch die Erstellung von benutzerdefinierten Attributen, falls besondere Informationen über die Nutzer und Nutzerinnen benötigt werden.
Abb.: Dialog zur Userflow-Erstellung
Die gewählte Konfiguration kann auch nach der Erstellung noch geändert werden. Über die Schaltfläche „Erstellen“ legen wir den Userflow an.
Anbinden einer Anwendung
Nachdem wir im vorhergehenden Schritt einen Userflow konfiguriert haben, binden wir jetzt eine Anwendung daran an. Das ermöglicht der Anwendung die Nutzung des konfigurierten Registrierungs- und Anmeldeprozesses.
Wir haben die Anwendung, welche wir verwenden wollen, bereits im Entra External ID Tenant registriert, um die notwendigen Client-IDs und URIs zu erhalten.
Auf der Benutzerflows-Oberfläche wählen wir zunächst den konfigurierten Userflow und auf der sich öffnenden Konfigurationsseite „Anwendungen“ aus. Anschließend klicken wir auf „Anwendung hinzufügen“ und wählen in der Liste der verfügbaren Anwendungen unsere „Objektkultur-Kundenportal-Anwendung“ aus.
Abb.: Auswählen der anzubindenden Anwendung
Durch das Hinzufügen der Anwendung zu dem Userflow wird eine Verbindung zwischen der Anwendung und dem konfigurierten Authentifizierungsprozess hergestellt. Die Anwendung kann den sicheren und anpassbaren Registrierungs- und Anmeldeprozess von Entra External ID anschließend verwenden.
Anpassen der Benutzeroberfläche
Zum Abschluss passen wir die Anmelde- und Registrierungsseite an, um das Benutzererlebnis zu verbessern. Dazu navigieren wir zu “Benutzererfahrungen” > “Unternehmensbranding” und wählen „Anpassen“ unter dem Punkt “Standardanmeldeerfahrung” aus.
Unter „Allgemeine Informationen“ laden wir ein Hintergrundbild für die Anmeldeseite hoch. Auf der nächsten Seite behalten wir das zentrierte Layout aus den Voreinstellungen bei, da diese Ansicht auf verschiedenen Bildschirmgrößen gut aussieht. An der Kopfzeile nehmen wir keine Anpassungen vor und unter Fußzeile hinterlegen wir Links zu unseren Datenschutz- und Nutzungsbedingungen.
Auf der Seite „Anmeldeformular“ laden wir nur ein passendes Bannerlogo hoch. Abschließend fügen wir auf der Seite Text noch angepasste Texte für die Registrierung hinzu. Dazu wählen wir zunächst die Schaltfläche „Add Custom Text“ aus und selektieren im Dropdown-Menü „Text zum Anpassen“ anschließend die Option „Registrieren“. Als Titel tragen wir „Willkommen bei Objektkultur“ ein und ergänzen unter Beschreibung einen kurzen Text, der die Vorteile der Registrierung erläutert.
Nachdem wir die gewünschten Elemente angepasst haben, klicken wir auf „speichern“ und sehen die Änderungen nach einer kurzen Zeit auf den Anmelde- und Registrierungsseiten. Die vorgenommenen Änderungen werden für alle Anmelde- und Registrierungsseiten von Anwendungen in diesem Tenant übernommen.
Abb.: Vorher und Nachher der Benutzeroberfläche
Mit dieser letzten Änderung haben wir erfolgreich einen Entra External ID Tenant erstellt, einen Userflow konfiguriert, eine Anwendung angebunden und die Oberfläche angepasst.
