Überblick
SAML-Signaturzertifikate werden von Ihrem Identity Provider (IdP) verwendet, um Assertions zu signieren. Fabriq verlässt sich auf diese Zertifikate, um eingehende SAML-Antworten zu validieren und sicherzustellen, dass sie vertrauenswürdig sind.
Wenn Ihr IdP sein Signaturzertifikat rotiert, muss Fabriq auch dem neuen Zertifikat vertrauen. Ob dies automatisch geschieht oder eine manuelle Aktion erfordert, hängt davon ab, wie Ihre SSO-Konfiguration in Fabriq eingerichtet ist.
Fabriq unterstützt 2 Konfigurationen:
Dynamisch (Metadaten-URL): automatische Zertifikatsrotation mit der Option, bei Bedarf zu aktualisieren
Statisch (eingefügte XML-Metadaten): manuelle Aktualisierung erforderlich
So identifizieren Sie Ihre Konfiguration
Gehen Sie in Fabriq zu:
Organization Settings -> Security -> SSO
Sehen Sie sich die Karte Signaturzertifikate an:
Wenn dort steht Über Metadaten-URL verwaltet, ist Ihre Konfiguration dynamisch
Wenn dort steht Über eingefügte XML-Metadaten verwaltet, ist Ihre Konfiguration statisch
1. Dynamische Konfiguration: Metadaten-URL
Wenn Fabriq mit einer Metadaten-URL konfiguriert ist, die auf den Metadaten-Endpunkt Ihres IdP verweist, wird die Zertifikatsrotation automatisch verarbeitet.
Fabriq ruft die Metadaten regelmäßig ab und aktualisiert die vertrauenswürdigen Signaturzertifikate aus den <ds:X509Certificate> Elementen.
Warum dies empfohlen wird
Dies ist die bevorzugte Konfiguration, weil sie:
den manuellen Aufwand bei der Zertifikatsrotation reduziert
eine Rotation ohne Ausfallzeit unterstützt, wenn Ihr IdP sich überschneidende Zertifikate veröffentlicht
mit Anbietern wie Microsoft Entra ID kompatibel ist, die während des Übergangs mehrere Zertifikate bereitstellen können
Zeitplan für die automatische Synchronisierung
Fabriq fragt die Metadaten-URL alle 6 Stunden ab, ausgehend von Mitternacht UTC:
UTC | CET (UTC+1) | CEST (UTC+2) |
00:00 | 01:00 | 02:00 |
06:00 | 07:00 | 08:00 |
12:00 | 13:00 | 14:00 |
18:00 | 19:00 | 20:00 |
Manuelle Aktualisierung
Sie können auch bei Bedarf eine Aktualisierung auslösen über:
Organization Settings -> Security -> SSO -> Signing certificates -> Refresh certificates
Dadurch werden sofort die neuesten Metadaten abgerufen und die vertrauenswürdigen Signaturzertifikate aktualisiert, sodass Sie nicht auf die nächste geplante Synchronisierung warten müssen.
Wichtige Hinweise
Wenn Ihr IdP direkt nach einer geplanten Synchronisierung rotiert, verwendet Fabriq möglicherweise weiterhin das vorherige Zertifikat bis zur nächsten automatischen Aktualisierung, es sei denn, Sie lösen eine manuelle Aktualisierung aus.
So vermeiden Sie Authentifizierungsfehler:
rotieren Sie das Zertifikat, bevor das alte abläuft, mit ausreichender Überschneidung
aktivieren Sie nach Möglichkeit den Dual-Zertifikat-/Überschneidungsmodus Ihres IdP
oder verwenden Sie Zertifikate aktualisieren unmittelbar nach der Rotation
2. Statische Konfiguration: Eingefügte XML-Metadaten
Wenn Fabriq mit eingefügten XML-Metadaten konfiguriert ist, wird das Signaturzertifikat statisch gespeichert.
Fabriq erkennt Zertifikatsänderungen in dieser Konfiguration nicht automatisch. Sie müssen die Metadaten jedes Mal manuell aktualisieren, wenn Ihr IdP sein Zertifikat rotiert.
Aktualisierungsverfahren
Rotieren Sie das SAML-Signaturzertifikat in Ihrem IdP
Exportieren Sie die aktualisierten XML-Metadaten
Gehen Sie in Fabriq zu
Organization Settings -> Security -> SSOBearbeiten Sie die SSO-Konfiguration
Ersetzen Sie das vorhandene XML durch die aktualisierten Metadaten, die das neue enthalten
<ds:X509Certificate>Verwenden Sie den SSO-Testablauf, um die Konfiguration zu validieren
Speichern Sie die Konfiguration
Zum Testablauf
Der SSO-Testablauf:
führt eine echte SP-initiierte SAML-Anmeldung aus
beendet Ihre aktuelle Sitzung nicht
hilft dabei, die Konfiguration vor der Anwendung zu validieren
Bei statischen XML-Konfigurationen aktualisiert das Testen allein die gespeicherten Zertifikate nicht. Das neue XML muss weiterhin gespeichert werden, damit es wirksam wird.
Wichtigste Erkenntnis
Wenn Sie eine Konfiguration mit möglichst geringem Wartungsaufwand möchten, verwenden Sie eine Metadaten-URL-Konfiguration. Sie bietet Ihnen eine automatische Zertifikatsrotation und ermöglicht es Ihnen, bei Bedarf sofort eine Aktualisierung auszulösen.
Statische XML-Konfigurationen erfordern manuelle Aktualisierungen, sobald sich Zertifikate ändern, was sie bei Erneuerungen und Rotationen operativ anfälliger macht.