Airlock Token Exchange: Sichere Identitätsautorisierung über Domänengrenzen hinweg
Die zunehmende Nutzung von KI-Agenten, APIs und Microservices erfordert sichere Authentifizierung über mehrere Sicherheits- und Vertrauensdomänen hinweg. Unternehmen stoßen jedoch schnell an Grenzen, wenn KI-Bots oder Mitarbeitende auf Systeme wie SAP außerhalb der eigenen Identitätsdomäne – etwa Microsoft 365 mit Entra ID – zugreifen möchten. Airlock verzeichnet daher steigende Nachfrage nach Lösungen, die den sicheren KI-Einsatz trotz paralleler Identitätsdomänen mit unterschiedlichen Identity Providern (IdP) ermöglichen. Um Unternehmen hier Orientierung zu bieten, rückt der Spezialist das Konzept des „Token Exchange“ in einem aktuellen Whitepaper in den Fokus. Mit der 2024 integrierten Token-Exchange-Funktionalität (RFC 8693) des OAuth 2.0-Frameworks lassen sich Informationen aus verschiedenen Quellen und mit mehreren IdPs zentral und sicher autorisieren.
Funktionsweise von Token Exchange
Token Exchange agiert als Vermittler zwischen unterschiedlichen Identity Providern und Tokenformaten. Eingehende Token werden geprüft und in neue Token umgewandelt, die den Zugriff auf weitere Ressourcen innerhalb anderer Sicherheitsdomänen erlauben. Dabei können Claims wie Subject, Audience oder Scopes angepasst werden, sodass Berechtigungen dynamisch und granular nach Zero-Trust-Prinzipien vergeben werden. Diese Methode reduziert Inkonsistenzen, vereinfacht Protokollvielfalt und erhöht die Nachvollziehbarkeit von Zugriffen.
Einsatz in Kubernetes- und Microservice-Umgebungen
Mit zunehmender Nutzung von Microservices und Container-Orchestrierung ist der Schutz vor Missbrauch entscheidend. Der Token-Exchange-Server von Airlock übernimmt die Vermittlung bei der Autorisierung, während ein vorgeschaltetes Microgateway OIDC- oder JWT-Token prüft, bevor der Zugriff auf einen Microservice erfolgt. So können domänenübergreifende Zugriffe sicher und effizient gesteuert werden.
Praxisbeispiel Schweizerische Bundesbahnen AG
Seit 2024 sorgt Token Exchange dort für die sichere Integration mehrerer hundert Service-Anbieter auf einer Plattform. Frontend- und Backend-Server in unterschiedlichen Sicherheitszonen nutzen jeweils eigene Zugriffstoken, die beim Autorisierungsserver in neue Token umgetauscht werden. Dadurch wird verhindert, dass Angreifer von einem kompromittierten System auf weitere Server zugreifen. Die Integration in die zentrale IAM-Plattform von Airlock gewährleistet Skalierbarkeit, hohe Verfügbarkeit und Systemsicherheit auch in Multi-Cloud-Umgebungen.
Weitere Informationen bietet das Whitepaper: Token Exchange über Domänengrenzen.
