Verwaltung von JWT-Konfigurationen

Nachdem Sie Ihre JWT-Konfiguration eingerichtet und getestet haben, gibt Ihnen Document360 die volle Kontrolle darüber, wie sich jede Konfiguration in der Produktion verhält. Sie können einzelne Konfigurationen aktivieren oder deaktivieren, geheime Token regenerieren, verwalten, wie Reader an die richtige JWT-Konfiguration weitergeleitet werden, steuern, wie die Leser-Login-Seite angezeigt wird, und eine vollständige Audit-Spur aller Änderungen überprüfen.

Bevor du anfängst

• Nur Benutzer mit der Projektrolle Eigentümer oder Administrator können JWT-Konfigurationen verwalten.
• Mindestens eine JWT-Konfiguration muss bereits in Ihrem Projekt existieren. Falls Sie noch keine erstellt haben, siehe JWT konfigurieren in Document360.

Verwaltung von Konfigurationen

Aktivieren oder deaktivieren Sie eine JWT-Konfiguration

Du kannst eine JWT-Konfiguration deaktivieren, ohne sie zu löschen. Das ist nützlich, wenn du eine Konfiguration vorübergehend aussetzen musst, ohne die Einstellungen zu verlieren.

1. Gehe zu Einstellungen () > Benutzer & Berechtigungen > Enterprise SSO.
2. Finde die JWT-Konfiguration, die du verwalten möchtest.
3. Klicken Sie auf das Edit ()-Symbol in der Konfiguration.
4. Erweiterte Einstellungen für Erweiterte Einstellungen.
5. Schalten Sie die Aktivierung der JWT-Authentifizierung zum Deaktivieren aus oder aktivieren, um sie erneut zu aktivieren.
6. Klicken Sie auf Speichern.

Lösche eine JWT-Konfiguration

1. Gehe zu Einstellungen () > Benutzer & Berechtigungen > Enterprise SSO.
2. Finde die JWT-Konfiguration, die du entfernen möchtest.
3. Klicken Sie auf das Löschen ()-Symbol.
4. Bestätigen Sie die Löschung, wenn Sie aufgefordert werden.

Geheime Token regenerieren

Jede JWT-Konfiguration hat ein primäres geheimes Token und ein sekundäres geheimes Token. Das sekundäre Token existiert speziell zur Unterstützung der Rotation: Es ermöglicht die Fortsetzung der Authentifizierung, während Sie das primäre Token in Ihrer Anwendung aktualisieren, wodurch jegliche Serviceunterbrechungen verhindert werden.

1. Gehe zu Einstellungen () > Benutzer & Berechtigungen > Enterprise SSO.
2. Klicken Sie auf das Edit ()-Symbol in der Konfiguration.
3. Unter JWT-Schlüsseln klickst du neben dem Token, das du ersetzen möchtest, auf Regenerieren .
4. Kopieren Sie das neue Token sofort. Token werden nur einmal angezeigt und nicht in Document360 gespeichert.
5. Aktualisieren Sie Ihre Anwendung mit dem neuen Token.
6. Klicken Sie auf Speichern.

Verwaltung des Leserzugriffs

Domänenbasierte Leser-Routing

Wenn mehrere JWT-Konfigurationen aktiv sind, leitet Document360 jeden Leser basierend auf dem Domainnamen, den er auf der Anmeldeseite eingibt, zur korrekten Konfiguration weiter.

Document360 wendet eine Regel für die meist-spezifisch-Übereinstimmung an. Wenn sowohl example.com als auch support.example.com konfiguriert sind, wird ein Reader-Eingabe support.example.com an diese Konfiguration und nicht an die Elterndomäne weitergeleitet. Dies ermöglicht es, Subdomänen von dedizierten Konfigurationen ohne Konflikte zu verwalten.

Zusätzliche Routing-Regeln:

• Das Domainmatching ist kleinschreibungsabhängig und jeder Domainname muss über alle JWT-Konfigurationen im Projekt hinweg einzigartig sein.
• Wenn die abgestimmte Konfiguration inaktiv ist, wird der Leser zu den Standard-Anmeldeoptionen geleitet.
• Wenn kein Treffer gefunden wird, wird der Leser auf die Standard-Anmeldeoptionen weitergeleitet.
• Das Domainnamen-Feld gilt nur für JWT-Routing. SSO-Anbieter sind über dieses Feld nicht zugänglich.

Wie die Authentifizierungsvalidierung funktioniert

Das domänenbasierte Routing bestimmt, an welche Login-URL ein Leser gesendet wird. Es beeinflusst nicht, wie Document360 die Authentifizierungsanfrage validiert.

Wenn ein Reader mit einem JWT-Code zurückkehrt, prüft Document360, ob der Code gültig ist und mit dem für diese JWT-Konfiguration konfigurierten Geheimnis erstellt wurde. Die Domain des Readers beeinflusst diese Validierung nicht.

Das bedeutet, dass man dieselbe JWT-Konfiguration für mehrere Umgebungen wie Entwicklung und Produktion verwenden kann, solange sie dasselbe JWT-Geheimnis verwenden.

Wenn du möchtest, dass verschiedene Umgebungen unterschiedliche JWT-Geheimnisse verwenden oder einen Login-Flow auf bestimmte Domänen beschränken möchtest, erstelle für jede Domain eine separate JWT-Konfiguration.

JWT und SSO koexistieren

JWT- und SSO-Konfigurationen (SAML oder OpenID) können gleichzeitig im selben Projekt aktiv sein. Jeder Typ wird unabhängig verwaltet. Die Änderung einer JWT-Konfiguration beeinflusst die SSO-Konfigurationen nicht und umgekehrt. Dies ermöglicht es Organisationen, Leser verschiedener Identitätssysteme über ein einziges Knowledge Base-Portal zu unterstützen, ohne Konflikte zwischen Authentifizierungsmethoden.

Beispiel: Unternehmenskunden können sich über JWT authentifizieren, das mit Ihrer Anwendung verknüpft ist, während interne Teammitglieder sich über einen zentralen Identitätsanbieter wie Okta mit SAML anmelden. Beide Methoden können gleichzeitig ohne Störungen aktiv sein.

Einschränkungen der Login-Tasten

Auf der Leser-Anmeldeseite können maximal 3 JWT-Login-Buttons und 5 SSO-Login-Buttons jederzeit angezeigt werden. Diese Limits werden unabhängig voneinander angewendet.

Wenn beispielsweise 5 JWT-Konfigurationen aktiv sind, erscheinen 3 als Login-Buttons und die restlichen 2 sind nur über Domain-Eingabe zugänglich. Wenn 6 SSO-Konfigurationen aktiv sind, sind nur 5 zugänglich. Die 6. ist von Lesern nicht erreichbar.

Wenn das 3-Button-Limit für JWT erreicht ist, erhalten alle Projektadministratoren eine Systembenachrichtigung: "Sie haben das Limit von 3 JWT-Login-Buttons erreicht. Zusätzliche JWT-Konfigurationen erscheinen nicht als Buttons auf der Login-Seite. Leser können sich weiterhin anmelden, indem sie ihren Domainnamen eingeben."

Das Erreichen des JWT-Tastenlimits hat keinen Einfluss auf das SSO-Tastenlimit, und umgekehrt.

Login-Buttons neu reihen

Standardmäßig erscheinen die Login-Buttons in der Reihenfolge, in der die SSO- und JWT-Konfigurationen erstellt wurden. Diese Reihenfolge können Sie direkt aus der SSO-Konfigurationsliste per Drag & Drop oder Tastatur-Neuordnung ändern. Die Reihenfolge gilt sowohl für die Hauptbuttons als auch für den Bereich Weitere Login-Optionen .

Um Login-Buttons neu zu ordnen:

1. Von der Enterprise SSO-Seite aus ziehen Sie eine Konfiguration an ihre neue Position in der Liste oder verwenden Sie eine Tastatur-Neuordnung. Die Liste zeigt alle aktivierten SSO- und aktiven JWT-Konfigurationen in einer einzigen zusammengeführten Liste.
2. Die neue Bestellung wird automatisch gespeichert und auf der Leser-Login-Seite angezeigt.

Um mehr zu erfahren, lesen Sie Anmeldeoptionen neu sortieren.

Angaben auf der Leser-Login-Seite

Die Anmeldeseite, die den Lesern angezeigt wird, hängt von zwei Faktoren ab: dem Zustand des Standard-Login-Schalters deaktivieren und welche JWT- und SSO-Konfigurationen aktuell aktiv sind.

Regeln, die in allen Bundesstaaten gelten:

• Es werden nur aktive Konfigurationen angezeigt. Inaktive Konfigurationen werden den Lesern unabhängig vom Umschaltstatus nie angezeigt.
• Das Domain-Name-Eingabefeld wird angezeigt, sobald der Schalter AN ist und mindestens eine JWT-Konfiguration aktiv ist. Dies stellt sicher, dass JWT-Konfigurationen ohne sichtbaren Anmeldeknopf über den Domain-Eintritt erreichbar bleiben.
• Wenn alle JWT- und SSO-Konfigurationen inaktiv sind, während der Schalter AN ist, wird den Lesern eine Meldung angezeigt, dass derzeit keine Anmeldeoptionen verfügbar sind.
• Änderungen zum Umschalten von Zustand oder Konfigurationsstatus treten für neue Lesersitzungen sofort in Kraft. Bestehende authentifizierte Sitzungen sind nicht betroffen.

Überwachung und Prüfung

Audit-Logging

Alle JWT-Konfigurationsaktionen werden automatisch im Audit-Logbuch erfasst und liefern eine vollständige und manipulationssichere Aufzeichnung der Änderungen zu Compliance- und Sicherheitsüberprüfungszwecken.

Protokollierte Aktionen:

• Erstellen, aktualisieren, löschen
• Aktivieren, deaktivieren
• Primäres Token regenerieren, sekundäres Token regenerieren
• Direkte JWT-Anmeldung aktivieren/deaktivieren
• Standard-Login-Seite aktivieren/deaktivieren

Jeder Logeintrag erfasst den Aktionstyp, den Zeitstempel (UTC), die Identität des Administrators, der die Aktion ausgeführt hat, und den Konfigurationsnamen zum Zeitpunkt der Aktion. Für Aktualisierungsaktionen erfasst das Protokoll die spezifischen Felder, die sich geändert haben, zusammen mit den vorherigen und neuen Werten. Tokenwerte werden niemals aufgezeichnet; nur die Tatsache der Rotation wird protokolliert, um die Sicherheit der Zugangsdaten zu schützen.

Logs werden mindestens 90 Tage aufbewahrt. Der Zugriff auf JWT-Audit-Logs ist auf Benutzer mit Sicherheits- und Audit-Berechtigungen beschränkt.

Um die JWT-Aktivitätsverfolgung zu ermöglichen:

1. Gehe zu Einstellungen () > Sicherheit & Audit > Team-Audit > Audit-Konfiguration.
2. Aktivieren Sie die entsprechenden JWT-Event-Schalter.
3. Sobald aktiviert, erscheint die JWT-Aktivität im Team-Auditing-Tab . Nutze das Dropdown-Menü für Ereignisse und suche nach "JWT", um nach Ereignistyp zu filtern.

Empfänger von E-Mail-Benachrichtigungen:

Best Practices

• Verwenden Sie das sekundäre geheime Token als Rotationspuffer. Aktualisieren Sie immer zuerst das sekundäre Token in Ihrer Anwendung und rotieren Sie dann das primäre Token. Dies verhindert Authentifizierungsfehler während der Credential-Rotation.
• Deaktiviere statt lösche JWT-Konfigurationen bei der Fehlersuche. Das Deaktivieren bewahrt deine Einstellungen und lässt dich ohne Neukonfiguration neu aktivieren.
• Aktiviere den direkten JWT-Login nur, wenn JWT die einzige Authentifizierungsmethode ist. Wenn mehrere Methoden aktiv sind, deaktivieren Sie es, damit die Leser ihre Anmeldeoption wählen können.
• Teste den Schalter "Standard-Login-Deaktivieren" in einer Staging-Umgebung, bevor du ihn in der Produktion aktivierst.
• Überprüfen Sie das Audit-Log regelmäßig, um unerwartete Konfigurationsänderungen oder Token-Regenerierungen zu erkennen.
• Behalte die Anzahl der aktiven JWT-Konfigurationen auf dem, was du aktiv nutzt. Ungenutzte Konfigurationen verursachen unnötigen Verwaltungsaufwand und potenzielle Sicherheitsrisiken.

FAQ