Einleitung
Unternehmen, die Affilentra self‑hosted einsetzen, benötigen oft zentrale Authentifizierung über SSO (SAML oder OIDC), um Benutzerverwaltung, Compliance und Nutzerfreundlichkeit zu vereinheitlichen. Diese Anleitung zeigt, wie Sie Affilentra so verbinden, dass Rollen klar getrennt, Nutzer automatisch provisioniert und Session‑/Token‑Lifecycles sicher verwaltet werden. Praxisnah, rollenorientiert und direkt umsetzbar.
Übersicht: Warum SSO in Affilentra?
Affilentra bietet eine Rollenarchitektur mit drei zentralen Akteuren: Softwarebetreiber (Plattformbetreiber), Händler (Merchants) und Partner (Publisher/Creator). SSO bringt drei Vorteile: zentrales Identity Management, konsistente Zugriffskontrolle und vereinfachte Audits. Bei self‑hosted Betrieb behalten Sie volle Kontrolle (Dauerlizenz, keine Umsatzbeteiligung) und koppeln trotzdem an bestehende IdP‑Infrastrukturen.
Voraussetzungen und Architekturentscheidungen
- Wählen Sie den IdP: SAML‑IdP (z. B. ADFS, Shibboleth) oder OIDC/OAuth‑Provider (z. B. Keycloak, Auth0, Azure AD).
- Entscheiden Sie das Authentifizierungsmodell: IdP‑only (zentral) oder hybrider Modus (lokaler Account als Fallback).
- Bereiten Sie sichere Verbindungspfade vor: HTTPS, aktuelle Zertifikate, Zeit‑/Clock‑Sync.
Schritte zur SAML‑Integration
1) Metadaten austauschen: Erstellen Sie Affilentra‑Service‑Provider (SP) Metadaten (EntityID, Assertion Consumer Service URL, gewünschtes NameID‑Format) und importieren Sie IdP‑Metadaten in Affilentra.
2) Signatur & Verschlüsselung: Aktivieren Sie Signaturprüfung der Assertions und prüfen Sie IdP‑Signaturzertifikate auf Fingerabdruck/PEM. Wenn verfügbar, nutzen Sie verschlüsselte Assertions.
3) Attribute definieren: Bitten Sie den IdP, diese Attribute zu senden:
- uid oder sub – eindeutiger Nutzer‑Bezeichner
- email – Kontakt/Primärschlüssel zum Matching
- roles oder entitlement – Rollen/Gruppe
- givenName / sn – Anzeigeinformationen
4) Mapping in Affilentra: Konfigurieren Sie in Affilentra, wie Attribute zu internen Rollen werden (siehe Rolle‑Mapping weiter unten). Aktivieren Sie optional Just‑In‑Time‑Provisioning, sodass neue Nutzer automatisch mit Basisrechten angelegt werden.
5) Tests: Validieren Sie Assertion‑Inhalte, Uhrzeitfenster (NotBefore/NotOnOrAfter), und prüfen Sie Logout (IdP‑initiated / SP‑initiated).
Schritte zur OIDC‑Integration
1) Discovery & Credentials: Fügen Sie Client‑ID, Client‑Secret und Redirect URI in IdP und in Affilentra ein. Nutzen Sie die .well‑known/openid-configuration zur Automatisierung.
2) Scopes & Claims: Fordern Sie mindestens openid und profile/email an. Zusätzliche claims für Rollen: roles, groups oder custom claims über UserInfo.
3) ID Token‑Validierung: Prüfen Sie issuer, audience (client_id), nonce (bei Authorization Code Flow optional falls SPA) und Signatur (JWKs).
4) Tokenmanagement: Nutzen Sie Authorization Code Flow mit PKCE für Webclients und Rotating Refresh Tokens für längere Sessions (siehe Token‑Lifecycle).
5) Provisioning & Mapping: Sobald ID Token / UserInfo vorhanden, mappen Sie Claims zu internen Benutzerkonten wie bei SAML.
Rollen‑Mapping: Präzise Zuordnung in Affilentra
Das Ziel: Jede externe Rolle führt deterministisch zu einer internen Rolle mit passenden Berechtigungen.
- Softwarebetreiber: Vergeben Sie diese Rolle nur, wenn der IdP Claim admin_level oder eine bestimmte Gruppenmitgliedschaft liefert. Softwarebetreiber haben Plattformweit‑Adminrechte – diese Zuordnung sollte streng geprüft und auf wenige IdP‑Gruppen beschränkt werden.
- Händler (Merchant): Mappen Sie IdP‑Gruppen oder einen Claim merchant_id → internes Händlerkonto. Händlerkonten müssen an ein separates Merchant‑Objekt in Affilentra gebunden werden.
- Partner: Partnerschaftsrollen (partner, publisher) sollten einen Claim partner_id oder affiliation enthalten. Partner erhalten persönliche Trackinglinks und Einsicht in Auszahlungshistorie – diese Zuordnung ist fein granular.
Praktische Regeln:
- Priorität bei Mehrfachrollen: Definieren Sie eine Hierarchie (z. B. Softwarebetreiber > Händler > Partner) oder erlauben Sie Multi‑Account Verknüpfung.
- Linking: Verwenden Sie sub/uid + email zur Zuordnung. Wenn bereits ein lokales Konto existiert, bieten Sie einen Link/Match‑Workflow an, statt ein neues Konto anzulegen.
- Least Privilege: Standardmäßig nur Basisrolle zuweisen; erweiterte Rechte per IdP‑Gruppen oder manuellem Review.
Session‑ und Token‑Lifecycle sicher verwalten
Sichere Sitzungskontrolle ist entscheidend, damit SSO nicht zur Schwachstelle wird.
Access Tokens
- Kurzlebig: Access Tokens sollten kurz leben (z. B. Minuten bis wenige Stunden).
- Prüfung: Serverseitige Validierung (Signatur, aud, exp) bei jedem relevanten Request.
Refresh Tokens
- Rotation: Implementieren Sie rotating refresh tokens, damit kompromittierte Tokens ungültig werden.
- Sichere Speicherung: Speichern Sie Refresh Tokens nur serverseitig oder in HttpOnly, Secure Cookies; vermeiden Sie Client‑Side Storage bei Webapps.
Sessions
- Serverseitige Session‑Store: Bevorzugen Sie einen zentralen, verschlüsselten Session‑Store (Redis, DB) statt reinem JWT für lange Sitzungen.
- Idle vs. Absolute Timeout: Kombinieren Sie Idle‑Timeout (z. B. 30‑60 min) und absolute Timeout (z. B. mehrere Stunden/Tage) pro Sicherheitsanforderung.
Logout & Revocation
- RP‑initiated Logout: Implementieren Sie Redirects zum IdP Logout Endpoint und löschen Sie lokale Sessions.
- IdP‑initiated SLO: Unterstützen Sie SAML Single Logout oder OIDC Front/Backchannel Logout für zentrale Abmeldung.
- Token Revocation: Nutzen Sie Token Revocation Endpoints des IdP, wenn nötig bei Benutzerentzug oder Kompromittierung.
Sicherheit & Betrieb
- Monitoring & Audit: Loggen Sie Login, Assertion/ID Token‑Inhalte (nicht sensibel), Token‑Revocations und Provisioning‑Events. Bewahren Sie Audit‑Trail zur Nachvollziehbarkeit auf.
- Clock Sync: Stellen Sie NTP sicher; Authentifizierungsprüfungen sind zeitkritisch.
- Least Privilege für Admins: Nur wenige Accounts mit Plattformweite Rechten; Multi‑Factor Authentication (MFA) für Admins erzwingen.
- Testing: Testen Sie Failover (IdP-Ausfall), Time‑Skew, Claim‑Variationen und unerwartete Attribute.
Praxisbeispiel: Typischer Integrations‑Workflow
- IdP auswählen und Metadaten/Configuration exportieren.
- In Affilentra SP/Client anlegen, Redirect/ACS URL eintragen, Zertifikate hinterlegen.
- Attribute‑Mapping in Affilentra konfigurieren: sub → extern_id, email → email, roles → role.
- Just‑In‑Time Provisioning aktivieren + Initialrechte einstellen.
- Token/Session‑Policy konfigurieren (Lifetimes, Refresh‑Rotation, Logout‑Handling).
- End‑to‑End testen mit je einem Softwarebetreiber‑, Händler‑ und Partner‑Account.
- Audit‑Logging aktivieren und dokumentieren.
Affilentra‑Vorteil bei der SSO‑Integration
Affilentra (PRO & NETWORK Editionen, self‑hosted, Dauerlizenz) liefert die rollenbasierte Plattformstruktur und die Hooks für SAML/OIDC‑Provider. Die klare Trennung von Softwarebetreiber, Händler und Partner erleichtert das Rollenmapping, und die self‑hosted Installation gibt Ihnen die vollständige Kontrolle über Token‑Speicherung, Session‑Policies und Audits ohne Umsatzbeteiligung.
Fazit und nächster Schritt
Die Integration von SAML oder OIDC in Affilentra bietet sichere, skalierbare Single Sign‑On‑Funktionen bei gleichzeitiger Wahrung der Rollen‑Trennung zwischen Plattformbetreiber, Händlern und Partnern. Fokus auf korrektes Claim/Attribute‑Mapping, kurzlebige Access Tokens, sichere Refresh‑Token‑Strategien und umfassende Audit‑Prozesse reduziert Risiken und erhöht Betriebssicherheit.
Jetzt starten: Entscheiden Sie die gewünschte Authentifizierungsarchitektur und wählen Sie Ihren Einstieg – Einstieg wählen: https://affilentra.de
Bei Fragen zur konkreten Konfiguration in Ihrer Infrastruktur bietet Affilentra technische Integrationsunterstützung für self‑hosted Installationen an.
Nächster Schritt
Affilentra selbst ausprobieren
Einheitliche Plattform, die Produktbereitstellung, Tracking, Conversion-Validierung, Provisionsberechnung und Auszahlung entlang klar getrennter Rollen transparent zusammenführt; Option zur self-hosted Installation mit Dauerlizenz ohne Umsatzbeteiligung; Händler behalten Kontrolle über Produkte, Konditionen und Werbemittel; Partner erhalten persönliche Trackinglinks und nachvollziehbare Auszahlungshistorie.