Enterprise PKI · Digital Trust Engineering
AGENTLESS* · YUBIKEY MANAGEMENT · MICROSOFT ENTRA ID
SYNRION x.ID verbindet YubiKeys, Identitäten und PIV-Zertifikate mit Microsoft Entra ID und Ihrer PKI. Cloud-First, On-Premises oder hybrid: CoreService und Outpost-Connectoren passen den Betrieb an Ihre IT-Strategie an. Das Webportal ist auch mobil bedienbar. Agentless*: ohne lokale Agent-Installation in unterstützten Jump-Host-Szenarien.
Ausgegebene Hardware allein beantwortet keine Frage nach Identität, Nutzung und Verantwortung. Mitarbeiter brauchen Übersicht über ihre Schlüssel. IT und Audit benötigen den zentralen Zusammenhang von Gerät, Zertifikat, Dienst und dokumentiertem Vorgang.
Inventory, Register, Assign und Enroll bleiben getrennt. Die Ausstellung erfolgt im empfohlenen Standard durch den authentifizierten Endbenutzer; unabhängige Policies prüfen die aktuellen Identitätsdaten. Erneuerung erzeugt neue Hardware-Schlüssel, Connectoren pflegen Zertifikate und Zuordnungen.
SYNRION x.ID · ARCHITEKTUR
Klein starten oder eine verteilte PKI verbinden: Erkunden Sie drei Referenzarchitekturen und verfolgen Sie Enrollment, Quellenprüfung und Zertifikatsrückgabe Schritt für Schritt.
TECHNISCHE KONTROLLE
x.ID begleitet Ihre Kunden- und Serviceprozesse. Vorbereitung, Benutzerausgabe und laufender Betrieb behalten eigene Berechtigungen und nachvollziehbare Ergebnisse.
Auto-Inventory und Auto-Register unterstützen den Servicebestand. Die erste Registrierung setzt benutzte YubiKeys nach Freigabe zurück; sie ist kein erhaltender Import.
Endbenutzer authentifizieren sich per OIDC, optional mit Windows-/Entra-SSO. PIV Attestation, CA-Profil und aktuelle Identitätsattribute steuern die Ausgabe.
Erneuerung immer mit neuem Schlüssel, kontrollierte Sperrung und Verzeichnisbereinigung. Aktionen und aktueller Zertifikatszustand bleiben auswertbar.
FUNKTIONEN & FREIGABE
Browserportal, native Entra-Anbindung, PIV-Lifecycle und FIDO2-Verwaltung: Entdecken Sie den Funktionsumfang von x.ID. Die Wissensartikel erklären Anwendung, Voraussetzungen und Nachweise.
Vertrauen entsteht erst, wenn Identität, Rolle und unabhängige Regeln gemeinsam erfüllt sind.
Die verantwortbare Person als Ausgangspunkt jeder weiteren Identitäts- und Berechtigungsentscheidung erhalten.
Weitere Identitäten und Rollen zuordnen, ohne die Verbindung zur Primäridentität zu verlieren.
Freigabebedingungen technisch durchsetzen und nicht allein dem Zielsystem oder einem einzelnen Signal überlassen.
Funktionstrennung und erforderliche Gegenprüfung als festen Bestandteil der Vertrauensentscheidung anwenden.
* Nicht alle Funktionen sind mit jedem Token verfügbar. Der Funktionsumfang hängt vom Tokenmodell und dessen Firmware ab. Für den PIV-Lifecycle sind PIV-fähige YubiKeys ab Firmware 5.3 freigegeben; weitere Hersteller haben eigene Freigabestatus.
Auch Retired-Key-Management-Slots können in x.ID aktive Identitäten mit eigenen CA-Profilen tragen. S/MIME-Archivplätze lassen sich reservieren. Die Belegung richtet sich nach Zertifikatsbedarf, Hardware und Policy; gemeinsame Hardware und PIV-PIN ersetzen keine physische Tier-Trennung.
Authentizität der Hardware und Herkunft des gebundenen Schlüssels als Trust-Signal einbeziehen.
Erlaubte YubiKey-Anwendungen getrennt für USB und NFC aktivieren sowie Konfigurationsschutz und Reset-Vorgaben festlegen. PIV-PIN/PUK und FIDO2 bleiben getrennt; Änderungen greifen bei der nächsten Zertifikatserneuerung.
FIDO2-Schlüssel in Microsoft Entra ID vorprovisionieren und die persönliche PIN übergeben. Registrierung im Tenant und PIN-Übergabe bleiben getrennte Schritte. Tenant-Policy, Berechtigungen, Hardware und Transportweg bestimmen den Einsatz.
Token der Thales SafeNet eToken Fusion Series und Nitrokey 3 in x.ID-Lifecycle-Prozesse einbinden. Der nutzbare Funktionsumfang richtet sich nach konkretem Modell und Firmware; eine Gleichheit zum YubiKey wird nicht vorausgesetzt.
Swissbit-Token in x.ID-Lifecycle-Prozesse einbinden. Der nutzbare Funktionsumfang richtet sich nach dem konkreten Modell und dessen Firmware.
PIV-Lifecycle, Gerätevorgaben und Policy-Kontrollen unterstützen die Umsetzung Ihrer BSI-orientierten Anforderungen. Die Bewertung der tatsächlichen Konformität bleibt beim Unternehmen; eine Zertifizierung wird nicht behauptet.
Cloud-First, eigenes Rechenzentrum oder Mischbetrieb: Architektur und Browserzugriff folgen Ihrer IT-Strategie.
Den webbasierten CoreService in der Cloud oder im eigenen Rechenzentrum betreiben. Outpost-Connectoren binden die benötigten Verzeichnisse, CAs und getrennten Netze gezielt an. So folgt die Platzierung der Kundenstrategie – auch in gemischten Umgebungen. Das Portal ist per Browser erreichbar; lokale Geräteaktionen nutzen den jeweils unterstützten Zugriffsweg.
Zertifikatsbasierte Anmeldung unter Windows mit geprüfter Identitäts-, Hardware- und Policy-Zuordnung verbinden.
Zertifikatsbasierte Authentifizierung für Linux-Anwendungsfälle mit derselben Vertrauensentscheidung unterstützen.
Das x.ID-Portal ist im Browser auf Desktop, Tablet und Smartphone bedienbar. *Im unterstützten Jump-Host-Betrieb ist kein SYNRION-Agent auf dem Benutzer-PC zu installieren. Die zentrale Komponente übernimmt den Gerätezugriff über freigegebene Smartcard-Umleitung; der YubiKey bleibt beim Benutzer. Alternativ kann der Agent lokal laufen. Portalzugriff und konkrete Geräteaktionen haben eigene technische Voraussetzungen.
Identitäten und Richtlinien über getrennte Ebenen und mehrere Verzeichnisstrukturen hinweg zuordnen.
Bestehende Identitätsquellen und Fremdsysteme bleiben Teil des Betriebsmodells.
Mehrere Zertifizierungsstellen in ein gemeinsames Identitäts- und Freigabemodell einbinden.
Der Azure Connector bindet Microsoft Entra ID direkt über Microsoft Graph an. Entra CBA und certificateUserIds gehören zum verfügbaren Zertifikats-Lifecycle. Lokales AD wird über LDAP integriert; eine AD-Synchronisierung ist kein Ersatz für die native Entra-Anbindung.
Zertifikat und SKI-Zuordnung werden bei Ausgabe gezielt gepflegt und beim Entzug bereinigt: AD userCertificate, X509:
Windows-Outposts können unter gezielt berechtigten gMSA-Dienstkonten laufen. mTLS authentisiert die Verbindung; ein HSM kann den privaten Schlüssel des Service-Zertifikats schützen. Das ist getrennt von der Passwortverwaltung des gMSA.
Das Enrollment erfolgt im empfohlenen Standard durch den per OIDC authentifizierten Endbenutzer. SSO kann die vorhandene Windows-Anmeldung über WIA oder eine Entra-Anmeldung nutzen. Eine administrative Ausstellung ist konfigurierbar, wird von keyONE aber ausdrücklich nicht empfohlen.
Betriebs- und Auswertungsdaten über die API in eigene Abläufe integrieren. Abfragen setzen die jeweils berechtigte Rolle voraus.
Sperrung auslösen. Vertrauen entziehen. Den Benutzer sicher wieder arbeitsfähig machen.
PIV-Zertifikate, discoverable FIDO2-Credentials und Identitätszuordnungen im Portal verbinden. Mitarbeiter sehen ihren Bestand, berechtigte Verantwortliche die Unternehmenssicht. Wiederholte FIDO2-Erfassung im Lifecycle auf unterstützten YubiKeys ab Firmware 5.8.
Eine Sperraktion führt den Widerruf einschließlich Sperrgrund und CRL-Veröffentlichung aus. x.ID bereinigt die betroffenen Zertifikate und Zuordnungen in den angebundenen AD-/LDAP-Verzeichnissen, im Windows-Zertifikatsspeicher und in Microsoft Entra ID.
Alten Trust entziehen, genehmigten Recovery-Zugang nutzen und einen neuen YubiKey im Self-Service aufnehmen. Der Benutzer erhält nach OIDC-Anmeldung neue hardwaregebundene Schlüssel und Zertifikate; x.ID führt Verzeichniszuordnungen und Prozessnachweise mit.
Bei jeder Zertifikatserneuerung erzeugt x.ID einen neuen privaten Schlüssel auf dem YubiKey. Geänderte Geräte- und Anwendungsvorgaben werden dabei übernommen. Administrative Sperrungen führt x.ID unabhängig von dieser Erneuerung aus.
Secrets werden verschlüsselt in SQL Server oder PostgreSQL gespeichert. Der autorisierte Core kann den Schutzschlüssel im HSM verwenden; ohne HSM über den Windows-Zertifikatsspeicher. Reiner Datenbankzugriff entschlüsselt keine Secrets.
Auditberichte als CSV und Excel exportieren, Betriebsdaten rollenberechtigt per API abfragen. Compliance-Auswertungen und CBOM-fähige Daten gehören zum SYNRION-Basismodul. PCI-DSS-, DORA- und BSI-orientierte Berichte unterstützen Prüfungen, ersetzen aber keine Konformitätsbewertung.
Ist eine CA oder ein Zielsystem vorübergehend nicht erreichbar, hält x.ID den Auftrag vor und setzt die Verarbeitung automatisch fort, sobald die Verbindung wieder besteht. Das gilt auch für Sperrung und Bereinigung.
Installation einschließlich HSM-Anbindung und Zertifikats-/Schlüsseleinrichtung ist gescriptet und dokumentiert. Der Kunde sichert Datenbank und erforderliche Server-/HSM-Schlüssel. Ein Neuaufbau ersetzt diese Sicherungen nicht.
BETRIEBSKONTEXT
Wählen Sie den Einstieg nach Ihrer Betriebsaufgabe und IT-Strategie – vom eigenen Server bis zur Cloud-First-Architektur.
Windows Server ab 2019, Microsoft AD CS und SQL Server oder PostgreSQL. Eine AD-Domäne und ein HSM sind nicht zwingend.
Benutzer- und Administratorkonten mit eigenen Zertifikaten, CA-Profilen und Slots zuordnen. Hardwarekonsolidierung muss zur Rollen- und Tier-Policy passen.
Den CoreService dort betreiben, wo Ihre Strategie es vorsieht. Outpost-Connectoren binden Verzeichnisse, CAs und getrennte Netze an. Mitarbeiter und Administratoren nutzen das Browserportal – am Desktop, Tablet oder Smartphone.
SYNRION x.ONE
SYNRION x.ONE ist die Digital-Trust-Suite von keyONE für Enterprise PKI, Certificate Lifecycle Management und starke Identitäten. Sie verbindet Zertifikate und Schlüssel mit Anwendungen, Verantwortlichen, Policies und kontinuierlichem Trust Monitoring.
Produkt ansehen ↗
SYNRION x.BIND
SYNRION x.BIND kontrolliert Lebenszyklen von Zertifikaten und kryptografischen Services und bindet sie über durchsetzbare Abläufe an Anwendungen.
Produkt ansehen ↗
SYNRION x.PULSE
SYNRION x.PULSE überwacht Endpunkte, Zertifikatszustände und Vertrauensbeziehungen kontinuierlich, agentenlos und mit nachweisfähigem Kontext.
Produkt ansehen ↗NÄCHSTER KONTROLLIERTER SCHRITT
Wir zeigen Aufnahme, Enrollment, Erneuerung und Verlust an einem passenden Szenario – und besprechen den Weg vom ersten Server in Ihre bestehende Umgebung.
