Key Rollover Erklärung
Diese Zertifikate werden bei der Einrichtung über die Metadaten ausgetauscht. Jedes Zertifikat hat ein bestimmtes Ablaufdatum. Ist dieses erreicht, ist das Zertifikat nicht mehr gültig. Alle Anfragen werden abgelehnt, welche mit einem abgelaufenen Zertifikat signiert sind. Damit weiterhin ein Login möglich ist, wird regelmäßig ein Key Rollover durchgeführt. Das läuft in zwei Schritten ab. Schritt 1: Es wird ein neues Zertifikat erstellt und veröffentlicht Zu diesem Zeitpunkt sind beide Zertifikate gültig und der Identity Provider oder der Service Provider kann das neue Zertifikat speichern. Es werden weiterhin Anfragen mit dem bestehenden Zertifikat signiert. Dadurch kommt es zu keiner Unterbrechung. Schritt 2: Das alte Zertifikat wird nicht mehr verwendet Nach einer Karenzzeit wird das alte Zertifikat nicht mehr verwendet und nicht mehr in den Metadaten veröffentlicht. Alle Anfragen werden nun mit dem neuen Zertifikat signiert. Der Service Provider oder Identity Provider hat in der Zwischenzeit dieses Zertifikat bereits hinterlegt. So ist gewährleistet, dass der Login durchgängig ohne Unterbrechungen möglich ist.Identity Provider Key Rollover
Wenn dein Identity Provider den Key Rollover durchführt und du bei anny die Metadaten URL hinterlegt hast, hast du nichts weiter zu tun. Wir überprüfen zweimal täglich, ob dein Identity Provider neue Zertifikate veröffentlicht hat und aktualisieren diese bei uns.Föderationen Key Rollover
Ist dein Identity Provider Teil einer Föderation wie z.B. der DFN AAI, so musst du ebenfalls nichts weiter machen. Wir kümmern uns automatisiert um die Key Rollover. Sobald dein Identity Provider das Zertifikat in der Föderation veröffentlicht hat, aktualisieren wir dieses bei uns.Service Provider (anny) Key Rollover
Als Service Provider führen wir voll automatisch den Key Rollover durch. 14 Tage bevor das Zertifikat abläuft, erstellen und veröffentlichen wir das neue Zertifikat. Du erhältst dann eine Benachrichtigung von uns. Im Regelfall automatisiert dein Identity Provider diese Zertifikate voll automatisch. Passiert das nicht, musst du das neue Zertifikat in deinem Identity Provider hinterlegen.Zertifikatswechsel selbst starten und abschließen
Du musst nicht auf den automatischen Wechsel warten. Sobald ein SAML Identity Provider verbunden ist, findest du in den Account-Einstellungen unter SSO & Sicherheit den Bereich Zertifikatswechsel. Dort siehst du:- das aktuelle Zertifikat und bis wann es gültig ist,
- die Metadaten-URL,
- während eines Wechsels das neue Zertifikat, seit wann der Wechsel läuft und wann wir ihn spätestens automatisch abschließen,
- sonst, wann der nächste automatische Wechsel startet.
1
Wechsel starten
Klicke auf Wechsel starten. Wir erstellen ein neues Zertifikat und veröffentlichen ab sofort beide Zertifikate in unseren Metadaten. Der Login funktioniert weiter mit dem aktuellen Zertifikat.
2
Neue Metadaten im Identity Provider hinterlegen
Importiere unsere Metadaten über die Metadaten-URL erneut in deinen Identity Provider. Liest dein Identity Provider die Metadaten-URL regelmäßig ein, passiert das automatisch.
3
Wechsel abschließen
Sobald dein Identity Provider dem neuen Zertifikat vertraut, klicke auf Wechsel abschließen und bestätige. Ab dann signieren wir alle Anfragen mit dem neuen Zertifikat. Schließt du den Wechsel nicht selbst ab, übernehmen wir das nach 14 Tagen automatisch, spätestens kurz bevor das aktuelle Zertifikat abläuft.
Für Identity Provider aus einer Föderation wie der DFN AAI übernehmen wir den Zertifikatswechsel weiterhin vollständig.