Benutzerverwaltung Keycloak (IAM)

Hinter dem normalen Berechtigungskonzept der JUMO smartWARE SCADA befindet sich ein Keycloak System, welches als IAM die übergreifende Benutzerverwaltung übernimmt.

Zu Beginn ist lediglich der “root” Benutzer vorhanden

Zugriff auf die Keycloak Administrationskonsole

1. SCADA-URL mit der Endung /auth in Webbrowser eingeben: https://Hostname/auth/

2. Auf “Administration Console” klicken

3. Anmelden mit Benutzer = „root“ und Passwort = root-Password

Zusätzliche Benutzer erstellen und alle Benutzer einsehen

1. Manage → Users → Add user

2. Folgende Eingaben sind notwendig und anschließend mit „Save“ bestätigen:

   1. Username

   2.  First Name (optional: Aber sinnvoll, um den Benutzer später in der Zentralen Administration wiederzufinden)

   3. User Enabled → ON

   4. Email Verified → ON

3. Passwort vergeben

   1. Unter „Credentials“ Passwort vergeben und mit „Set Password“ bestätigen

   2. Unter “Temporary” → OFF (d.h. der Benutzer wird nicht nochmal aufgefordert das Passwort zu ändern)

4. Überprüfung ob der User angelegt wurde:

   1. Users → View all users

Es ist immer Hilfreich innerhalb Keycloak über die Fragezeichen zu hovern, um zusätzliche Informationen zu erhalten.

“Single Sign On” Gedanke: Ein Benutzername und ein Passwort für alle Anwendungen

Verknüpfung der SCADA Benutzerverwaltung mit einer firmeninternen Benutzerverwaltung

1. In der Keycloak Konsole unter “User Federation” auf “Add provider” gehen und eine Auswahl treffen:

   1. Option 1: LDAP Anbindung

   2. Option 2: Kerberos

2. Anschließend alle notwendigen und gewünschten Einstellungen treffen

3. Anschließend kann jeder Benutzer innerhalb des eingestellten Providers mit bekanntem Benutzernamen und Passwort auf die SCADA Anwendung zugreifen.

Login Einstellungen ändern

• User Registration → Hier kann eingestellt werden, das sich Nutzer registrieren müssen, um auf die SCADA Anwendung zugreifen zu können.

• Edit Username → Off

• Forgot password → Ist diese Funktion aktiv und ein Email Server in Keycloak eingerichtet kann die Passwort vergessen Funktion genutzt werden.

E-Mail Server zur Verifizierung einrichten

Wird z.B. benötigt, wenn die Passwort vergessen oder Email verifizieren Funktion genutzt werden soll. Im generellen, wenn die Keycloak Konsole Mails verschicken soll.

Sicherheits- und Passwortrichtlinien einstellen

Unter diesen Bereichen können Sicherheits- und Passwortrichtlinien eingestellt werden:

Token Einstellungen ändern

Hier kann u.a. eingestellt werden, wie lange bei Anmeldung die Sitzung im Browser aktiv bleibt, bevor das System einen automatisch abmeldet und zu einer erneuten Anmeldung auffordert: “Access Token Lifespan For Implict Flow”