ChurchTools unterstützt für den externen Login LDAP, OAuth, OIDC und SAML. Wir wollen dir hier einen kurzen Überblick über die vier Login-Methoden und ihre Verwendung in ChurchTools geben.
Bitte bedenke, dass alle vier Methoden ein gewisses technisches Grundverständnis voraussetzen und einige von ihnen recht komplex sind. Falls du dich bisher nicht mit der Thematik beschäftigt hast, informiere dich am besten über andere Quellen z. B. im Internet, bevor du eine Methode in deinem ChurchTools einrichtest.
LDAP (Lightweight Directory Access Protocol) #
LDAP ist ein weit verbreitetes Protokoll für den Zugriff auf Verzeichnisdienste. Es wird häufig in bestehenden IT-Infrastrukturen eingesetzt, um Benutzer zentral zu verwalten und zu authentifizieren.
ChurchTools kann einen vorhandenen LDAP-Server für den Login verwenden. LDAP ist vor allem interessant, wenn deine Organisation bereits einen entsprechenden Verzeichnisdienst nutzt oder ein anzubindendes System keine der moderneren Login-Methoden unterstützt.
Mehr zur Einrichtung erfährst du im Artikel Überblick LDAP.
OAuth (Open Authorization) #
OAuth ist ein tokenbasiertes Verfahren, mit dem Anwendungen Zugriff auf bestimmte Informationen erhalten können, ohne dass dafür das Passwort des Nutzers an die Anwendung weitergegeben werden muss.
In ChurchTools kann OAuth unter anderem verwendet werden, um den Login über ein Drittsystem zu ermöglichen. Umgekehrt kann ChurchTools auch als OAuth-Server für andere Anwendungen dienen.
Wenn du ChurchTools als Login für ein anderes System verwenden möchtest, findest du weitere Informationen unter OAuth-Authentifizierung mit ChurchTools.
OIDC (OpenID Connect) #
OpenID Connect, kurz OIDC, baut auf OAuth 2.0 auf und ergänzt es speziell um Funktionen zur Authentifizierung. Ein angebundener Identity-Provider kann ChurchTools damit mitteilen, welcher Nutzer sich angemeldet hat. Die Besonderheit von OIDC ist, dass bei der Authentifizierung keine Login-Daten übergeben werden. Stattdessen bestätigt der Login-Provider die Identität des Benutzers und liefert Informationen zur Person, wie den vollständigen Namen und seine E-Mail-Adresse.
OIDC wird von vielen modernen Identity-Providern unterstützt und eignet sich besonders, wenn deine Organisation bereits einen zentralen Login-Dienst verwendet.
Wie du einen solchen Login in ChurchTools einrichtest, erklären wir dir unter OIDC-Authentifizierung bei ChurchTools.
SAML (Security Assertion Markup Language) #
SAML ist ein etablierter Standard für den Austausch von Anmeldeinformationen zwischen einem Identity-Provider und einer Anwendung. Er wird häufig in größeren Organisationen, Unternehmen und Verbänden für Single Sign-On eingesetzt.
Wenn eure Organisation bereits einen zentralen Identity-Provider verwendet, der SAML unterstützt, kannst du diesen für den Login in ChurchTools anbinden.
Weitere Informationen zur Einrichtung findest du unter SAML-Authentifizierung mit ChurchTools.
Welche Login-Methode sollte ich verwenden? #
Welche Methode für euch sinnvoll ist, hängt vor allem davon ab, welche Verfahren euer bestehendes System bzw. euer Identity-Provider unterstützt.
- OIDC ist eine gute Wahl für moderne Identity-Provider und wurde speziell für die Authentifizierung auf Basis von OAuth 2.0 entwickelt. Für die Einrichtung von OIDC solltest du technisches Grundwissen mitbringen.
- SAML bietet sich besonders an, wenn es in eurer Organisation bereits für Single-Sign-On eingesetzt wird. Es setzt sehr gute Kenntnisse voraus und ist komplex.
- OAuth kannst du verwenden, wenn das anzubindende System OAuth unterstützt oder ChurchTools selbst als Login für ein anderes System dienen soll. Es lässt sich auch mit relativ einfachem technischen Grundverständnis einrichten.
- LDAP ist vor allem für bestehende Verzeichnisdienste und Systeme interessant, die keine der anderen Methoden unterstützen. LDAP ist komplex und setzt gute Kenntnisse voraus.
In vielen Fällen gibt also bereits das vorhandene Drittsystem vor, welche Methode du verwenden kannst.
Häufige Fragen (FAQ) #
Welche Daten werden geteilt? Nur die Daten, die für die Nutzung des Drittsystems erforderlich sind. Du siehst vorab, welche Informationen freigegeben werden.
Ist OAuth das Gleiche wie Single-Sign-On? Nicht ganz. Single-Sign-On, kurz SSO, beschreibt das Ziel: eine zentrale Anmeldung für mehrere Systeme. OAuth ist eines der technischen Verfahren, mit dem solche Login-Szenarien umgesetzt werden können.
Was ist Single Sign-On (SSO)? Nutzer melden sich einmal mit einem Benutzerkonto bei einem System an und können anschließend damit mehrere Systeme verwenden. In ChurchTools betrifft das vor allem Anmeldungen über oder für Drittsysteme.
Sind die angebotenen Login-Methoden sicher? Ja, alle vier Login-Methoden sind bewährte Standards, die von vielen großen Unternehmen genutzt werden. Deine Zugangsdaten bleiben dabei immer sicher.
Kann ich mit dem OAuth-Login auch auf die API zugreifen? Ja, OAuth-Anwendungen können mit ausdrücklicher Freigabe (Scope: api) auf die ChurchTools-API zugreifen – selbstverständlich nur im Rahmen der Berechtigungen des eingeloggten Benutzers. Damit sind nun eigene Applikationen denkbar, die den Login via ChurchTools ermöglichen und mit den Berechtigungen des Nutzers Daten aus ChurchTools laden.