SAML-Zertifikate verwalten

Ihre SAML-Anwendungen verwenden X.509-Zertifikate, um die Authentizität und Integrität von Nachrichten zu bestätigen, die zwischen dem Identitätsanbieter (IdP) und dem Dienstanbieter (SP) ausgetauscht werden. Als Super Admin haben Sie in der Admin-Konsole folgende Möglichkeiten:

  • Abrufen, welche X.509-Zertifikate in Ihren SAML-Anwendungen verwendet werden
  • Ermitteln, welche X.509-Zertifikate demnächst ablaufen
  • Erstellen Sie neue Zertifikate und weisen Sie sie Ihren SAML-Anwendungen zu. Dies wird als Zertifikatrotation bezeichnet.

Warum müssen SAML-Zertifikate rotiert werden?

X.509-Zertifikate haben eine Laufzeit von fünf Jahren. Sie sollten ein Zertifikat rotieren, wenn es bald abläuft oder wenn es kompromittiert wurde. Wenn ein Zertifikat abläuft, bevor Sie es rotieren, können sich Ihre Nutzer nicht mehr per SSO in SAML-Anwendungen einloggen, die dieses Zertifikat verwenden, bis Sie es durch ein neues Zertifikat ersetzen.

Fügen Sie vor dem Ablauf Ihres Standardzertifikats ein zweites Zertifikat mit einer neuen Laufzeit von 5 Jahren hinzu und stellen Sie dann Ihre Apps auf das neue Zertifikat um. Mit zwei gültigen Zertifikaten können Sie einige Apps testweise auf das neue Zertifikat umstellen, ohne dass Apps beeinträchtigt werden, die weiterhin das alte Zertifikat verwenden. Wenn Sie alle Apps auf das neue Zertifikat übertragen haben, können Sie das alte Zertifikat löschen.

Wichtig:Nachdem Sie einer SAML-App in der Admin-Konsole ein neues Zertifikat zugewiesen haben, müssen Sie auch die entsprechende SSO-Konfiguration auf SP-Seite mit dem neuen Zertifikat aktualisieren. Andernfalls schlägt die SSO mit der App fehl.

SAML-Zertifikate verwalten

Ihr Konto hat ein Standardzertifikat für alle SAML-Anwendungen. Sie können ein zweites Zertifikat hinzufügen oder ein oder beide Zertifikate löschen und neue Zertifikate generieren:

  1. Gehen Sie in der Admin-Konsole zum Menü  und dann Sicherheit und dann Authentifizierung und dann SSO mit SAML-Anwendungen.

    Für diese Aufgabe müssen Sie als Super Admin angemeldet sein.

    Im Bereich Zertifikate sehen Sie Ihre aktuellen X.509-Zertifikate. Sie können bis zu zwei Zertifikate gleichzeitig haben. Der Zertifikatsname, das Ablaufdatum, der Inhalt und der SHA‑256-Fingerabdruck werden angezeigt. Verwenden Sie die Schaltflächen rechts, um ein Zertifikat zu kopieren, herunterzuladen oder zu löschen.

  2. Optional: Wenn Sie nur ein Zertifikat haben, klicken Sie auf Weiteres Zertifikat hinzufügen, um ein zweites Zertifikat zu erstellen.

    Hinweis:Das zuletzt generierte (neueste) Zertifikat wird zum Standardzertifikat, das zum Einrichten von SSO für neue SAML-Apps verwendet wird.

  3. Optional: So erstellen Sie ein neues Zertifikat:

    1. Klicken Sie auf „Löschen“ , um ein Zertifikat zu löschen.

      Wenn das Zertifikat, das Sie löschen, von installierten SAML-Apps verwendet wird, wird in einem Fenster eine Liste der betroffenen Apps angezeigt. Sie werden gewarnt, dass die SSO-Anmeldung mit der App nicht möglich ist, bis Sie diesen Apps ein neues Zertifikat zuweisen.

    2. Klicken Sie auf Zertifikat löschen. Das Löschen eines Zertifikats hat folgende Auswirkungen:

    3. Wenn Sie ein Zertifikat haben, wird automatisch ein neues Zertifikat generiert, um es zu ersetzen.

    4. Wenn Sie zwei Zertifikate haben und Zertifikat 1 löschen, wird es durch Zertifikat 2 ersetzt.

  4. Wenn Sie ein Zertifikat ersetzt haben, das von einer Ihrer SAML-Apps verwendet wird, folgen Sie der Anleitung im nächsten Abschnitt, um das neue Zertifikat den betroffenen Apps zuzuweisen. Außerdem müssen Sie das Zertifikat in den SSO-Einstellungen für diese Apps auf der Verwaltungswebsite des SP aktualisieren.

Tipp:SAML-Zertifikatsereignisse (Löschen, Erstellen, Ändern des zugewiesenen Zertifikats einer SAML-App) werden im Administrator-Audit-Log protokolliert.

Zertifikat für eine SAML-Anwendung aktualisieren

  1. Öffnen Sie in der Admin-Konsole das Dreistrich-Menü  und dann Apps und dann Web- und mobile Apps.

    Hierfür ist die Administratorberechtigung Mobilgeräteverwaltung erforderlich.

  2. Klicken Sie auf die SAML-App, um die Seite „Einstellungen“ zu öffnen.

  3. Klicken Sie auf Details zum Dienstanbieter.

    Unter Zertifikat wird das aktuelle Zertifikat angezeigt, das von der App verwendet wird, einschließlich Zertifikats-ID und Ablaufdatum. Wenn Sie das Zertifikat gelöscht haben, das ursprünglich zum Einrichten der App verwendet wurde, wird die Warnung Kein Zertifikat zugewiesen angezeigt.

  4. Klicken Sie auf den Abwärtspfeil  und wählen Sie ein Zertifikat aus.

  5. Optional: Wenn kein anderes Zertifikat verfügbar ist oder Sie neue Zertifikate erstellen müssen, klicken Sie auf Zertifikate verwalten und folgen Sie der Anleitung oben unter SAML-Zertifikate verwalten.

  6. Nachdem Sie das der SAML-App zugewiesene Zertifikat geändert haben, müssen Sie auch die SSO-Konfiguration der App mit dem neuen Zertifikat auf der Website des Dienstanbieters aktualisieren. SSO mit der SAML-App funktioniert erst, wenn auch die SP-seitige Konfiguration aktualisiert wurde.

Wichtig:Nachdem Sie ein Zertifikat ersetzt haben, kann es bis zu 24 Stunden dauern, bis das neue Zertifikat für Ihre SAML-Anwendungen verfügbar ist.