SAML-Zertifikate verwalten

Ihre SAML-Anwendungen verwenden X.509-Zertifikate, um die Authentizität und Integrität von Nachrichten zu bestätigen, die zwischen dem Identitätsanbieter (IdP) und dem Dienstanbieter (SP) ausgetauscht werden. Als Super Admin haben Sie in der Admin-Konsole folgende Möglichkeiten:

  • Abrufen, welche X.509-Zertifikate in Ihren SAML-Anwendungen verwendet werden
  • Ermitteln, welche X.509-Zertifikate demnächst ablaufen
  • Erstellen Sie neue Zertifikate und weisen Sie sie Ihren SAML-Anwendungen zu. Dies wird als Zertifikatsrotation bezeichnet.

Warum müssen SAML-Zertifikate rotiert werden?

X.509-Zertifikate haben eine Laufzeit von fünf Jahren. Sie sollten ein Zertifikat rotieren, wenn es bald abläuft oder wenn es manipuliert wurde. Wenn ein Zertifikat abläuft, bevor Sie es rotieren, können sich Ihre Nutzer erst dann wieder per SSO in SAML-Anwendungen anmelden, die dieses Zertifikat verwenden, wenn Sie es durch ein neues Zertifikat ersetzt haben.

Fügen Sie vor Ablauf Ihres Standardzertifikats ein zweites Zertifikat mit einer neuen Lebensdauer von 5 Jahren hinzu und stellen Sie dann Ihre Anwendungen vom ablaufenden Zertifikat um. Wenn Sie zwei gültige Zertifikate haben, können Sie einige Apps testweise auf das neue Zertifikat umstellen, ohne dass sich dies auf Apps auswirkt, die noch das ältere Zertifikat verwenden. Wenn Sie alle Apps auf das neue Zertifikat umgestellt haben, können Sie das alte Zertifikat löschen.

Wichtig:Nachdem Sie einer SAML-Anwendung in der Admin-Konsole ein neues Zertifikat zugewiesen haben, müssen Sie auch die entsprechende SSO-Konfiguration auf der SP-Seite mit dem neuen Zertifikat aktualisieren. Andernfalls schlägt die SSO mit der Anwendung fehl.

SAML-Zertifikate verwalten

Ihr Konto hat ein Standardzertifikat für alle SAML-Anwendungen. Sie können ein zweites Zertifikat hinzufügen oder eines oder beide Zertifikate löschen und neue Zertifikate generieren:

  1. Öffnen Sie in der Admin-Konsole das Menü  und dann Sicherheit und dann Authentifizierung und dann SSO mit SAML-Anwendungen.

    Für diese Aufgabe müssen Sie als Super Admin angemeldet sein.

    Im Bereich Zertifikate sehen Sie Ihre aktuellen X.509-Zertifikate. Sie können bis zu zwei Zertifikate gleichzeitig haben. Der Zertifikatsname, das Ablaufdatum, der Inhalt und der SHA-256-Fingerabdruck werden angezeigt. Verwenden Sie die Schaltflächen rechts, um ein Zertifikat zu kopieren, herunterzuladen oder zu löschen.

  2. Optional: Wenn Sie nur ein Zertifikat haben, klicken Sie auf Weiteres Zertifikat hinzufügen, um ein zweites Zertifikat zu erstellen.

    Hinweis:Das zuletzt generierte (neueste) Zertifikat wird als Standardzertifikat für die Einrichtung von SSO für neue SAML-Apps verwendet.

  3. Optional: So erstellen Sie ein neues Zertifikat:

    1. Klicken Sie auf „Löschen“ , um ein Zertifikat zu löschen.

      Wenn das zu löschende Zertifikat von installierten SAML-Apps verwendet wird, werden die betroffenen Apps in einem Fenster aufgelistet. Außerdem werden Sie darauf hingewiesen, dass SSO mit der App erst wieder verfügbar ist, wenn Sie diesen Apps ein neues Zertifikat zuweisen.

    2. Klicken Sie auf Zertifikat löschen. Das Löschen eines Zertifikats hat folgende Auswirkungen:

    3. Wenn Sie ein Zertifikat haben, wird automatisch ein neues Zertifikat generiert, um es zu ersetzen.

    4. Wenn Sie zwei Zertifikate haben und Zertifikat 1 löschen, wird Zertifikat 1 durch Zertifikat 2 ersetzt.

  4. Wenn Sie ein Zertifikat ersetzt haben, das von einer Ihrer SAML-Apps verwendet wird, führen Sie die Schritte im nächsten Abschnitt aus, um das neue Zertifikat den betroffenen Apps zuzuweisen. Sie müssen das Zertifikat auch in den SSO-Einstellungen für diese Apps auf der Verwaltungswebsite des Dienstanbieters aktualisieren.

Tipp:SAML-Zertifikatsereignisse (Löschen, Erstellen, Ändern des zugewiesenen Zertifikats einer SAML-App) werden im Audit-Log für Administratoren protokolliert.

Zertifikat für eine SAML-Anwendung aktualisieren

  1. Öffnen Sie in der Admin-Konsole das Dreistrich-Menü  und dann Apps und dann Web- und mobile Apps.

    Hierfür ist die Administratorberechtigung Mobilgeräteverwaltung erforderlich.

  2. Klicken Sie auf die SAML-App, um die Seite „Einstellungen“ zu öffnen.

  3. Klicken Sie auf Details zum Dienstanbieter.

    Unter Zertifikat wird das aktuelle Zertifikat angezeigt, das von der App verwendet wird, einschließlich Zertifikats-ID und Ablaufdatum. Wenn Sie das Zertifikat gelöscht haben, das ursprünglich zum Einrichten der App verwendet wurde, wird die Warnung Kein Zertifikat zugewiesen angezeigt.

  4. Klicken Sie auf den Abwärtspfeil  und wählen Sie ein Zertifikat aus.

  5. Optional: Wenn kein anderes Zertifikat verfügbar ist oder Sie neue Zertifikate erstellen müssen, klicken Sie auf Zertifikate verwalten und folgen Sie der Anleitung unter SAML-Zertifikate verwalten oben.

  6. Nachdem Sie das der SAML-App zugewiesene Zertifikat geändert haben, müssen Sie auch die SSO-Konfiguration der App mit dem neuen Zertifikat auf der Website des Dienstanbieters aktualisieren. SSO mit der SAML-App funktioniert erst, wenn die Konfiguration auf der SP-Seite ebenfalls aktualisiert wurde.

Wichtig:Nachdem Sie ein Zertifikat ersetzt haben, kann es bis zu 24 Stunden dauern, bis das neue Zertifikat für Ihre SAML-Anwendungen verfügbar ist.