Übersicht

Dieser Anwendungsfall beschreibt die Implementierung der attributbasierten Benutzeranmeldung in Drupal mithilfe des miniOrange OAuth-Clientmoduls. Die Benutzerauthentifizierung und -identifizierung erfolgt anhand von Attributen, die während des Single Sign-On (SSO) von einem OAuth-Identitätsanbieter empfangen werden.

Voraussetzungen:

In diesem Abschnitt besprechen wir alles von den Anforderungen und dem Implementierungsprozess bis hin zu den Ergebnissen.

• miniOrange OAuth-Client Das Modul (Version 8.x und höher) ist installiert und aktiviert.
• Administratorzugriff auf die Modulkonfiguration.
• Der OAuth-Anbieter ist konfiguriert und erreichbar.
• Die erforderlichen Benutzerattribute sind im OAuth-Token verfügbar.

Aufgabenstellung:

Wenn Ihre Drupal-Website für die Benutzeranmeldung einen externen Identitätsanbieter nutzt, kann es zu Problemen kommen, wenn Ihre lokalen Informationen – beispielsweise Benutzernamen oder E-Mail-Adressen – nicht mit den Daten des Identitätsanbieters übereinstimmen. Diese Diskrepanz verursacht allerlei Schwierigkeiten. Es kann zu doppelten Benutzerkonten kommen. Manchmal ordnet das System Benutzer beim Anmeldeversuch den falschen Konten zu. Benutzerprofile können veralten, und Sie müssen viel manuelle Arbeit leisten, um den Überblick zu behalten. Schlimmstenfalls können diese Probleme unbefugten Zugriff ermöglichen. Das ist wirklich ärgerlich.

Lösung

Durch die Aktivierung der attributbasierten Anmeldefunktion im Drupal OAuth Client-Modul können Website-Administratoren auswählen, welche OAuth-Attribute als Haupt-/primäre Benutzeridentifikatoren fungieren und sowohl die Authentifizierung als auch die Benutzererstellung übernehmen.

Um dies Ihrer Drupal-Website hinzuzufügen, sind einige wichtige Konfigurationsschritte erforderlich:

SSO-Anmeldekennungskonfiguration

• Administratoren können ein bestimmtes OAuth-Serverattribut als SSO-Anmeldekennung konfigurieren. Dieses Attribut dient als Primärschlüssel zur Benutzeridentifizierung während der Authentifizierung.
• Sie richten die SSO-Anmeldekennung ein, indem Sie ein Attribut Ihres OAuth-Servers auswählen, üblicherweise eine E-Mail-Adresse, einen Benutzernamen oder eine Mitarbeiter- bzw. externe Benutzerkennung. Beim Anmeldeversuch prüft Drupal, ob ein Benutzerkonto mit dem Wert dieses Attributs übereinstimmt. So wird stets eine zuverlässige Zuordnung zwischen OAuth-Benutzer und Drupal-Konto gewährleistet – ganz ohne Rätselraten.

Authentifizierungs- und Identifizierungsablauf

• Der Benutzer initiiert die Anmeldung über die Drupal-Anwendung.
• Der Benutzer wird zum OAuth-Anbieter weitergeleitet.
• Die Authentifizierung wird beim Identitätsanbieter abgeschlossen.
• Ein OAuth-Token mit Benutzerattributen wird an Drupal zurückgegeben.
• Das konfigurierte SSO-Anmeldeattribut wird ausgewertet
• Das Benutzerkonto wurde zugeordnet oder erstellt.
• Die zugeordneten Attribute werden mit dem Drupal-Benutzerprofil synchronisiert.
• Eine Benutzersitzung wurde eingerichtet

Konfiguration

SSO-Anmeldeattribut

• Zur Identifizierung von Benutzern während des Anmeldevorgangs wird ein einzelnes OAuth-Serverattribut ausgewählt. Zu den unterstützten Attributen gehören unter anderem:
• E-Mail
• Benutzername
• Dieses Attribut wird verwendet, um während des SSO bestehende Drupal-Benutzer zu finden.

Attributzuordnung

• OAuth-Serverattribute werden Drupal-Benutzerfeldern zugeordnet.
• Beispiele:
• E-Mail → Post
• Name → Name
• Abteilung → Fachabteilung
• Die zugeordneten Attribute werden bei jeder erfolgreichen Anmeldung aktualisiert.

Vorteile

• Deterministische Benutzeridentifizierung.
• Konsistente Identitätssynchronisierung.
• Reduzierter Verwaltungsaufwand.
• Sicherer und skalierbarer Authentifizierungsablauf.

Fazit

Die attributbasierte Anmeldung mit dem miniOrange OAuth-Client bietet einen zuverlässigen Mechanismus zur Benutzeridentifizierung in Drupal-Anwendungen, die in OAuth-Identitätsanbieter integriert sind. Durch die Auswertung der OAuth-Attribute während der Authentifizierung gewährleistet Drupal eine präzise Benutzerzuordnung, automatisierte Bereitstellung und konsistentes Identitätsmanagement.