Cloud, On-Premises oder gemischt
Den CoreService in der vorgesehenen Infrastruktur betreiben. Bestehende Systeme können an ihrem Platz bleiben, während der Identitäts-Lifecycle zentral gesteuert wird.
CLOUD · ON-PREMISES · HYBRID
Ihre IT-Strategie bestimmt den Aufbau.
Cloud-First ist mit SYNRION x.ID ebenso möglich wie ein vollständig eigener Betrieb oder eine hybride Architektur. Der webbasierte CoreService und gezielt platzierte Outpost-Connectoren verbinden die benötigten Systeme. Mitarbeiter und Administratoren bedienen das Portal im Browser – auch auf Tablet und Smartphone.
NUTZEN IN 30 SEKUNDEN
Ein Betriebsmodell, das zu Ihrer Strategie passt.
Outposts verbinden die Umgebungen
Outpost-Connectoren übernehmen definierte Aufgaben nah an Verzeichnissen, CAs und getrennten Netzen. Microsoft Entra ID wird nativ angebunden; die Kommunikation bleibt authentisiert.
Im Browser arbeiten – auch mobil
Das Portal ist auf Desktop, Tablet und Smartphone bedienbar. Für konkrete Aktionen am YubiKey gelten zusätzlich die unterstützten Geräte-, Browser- und Verbindungswege.
VON EINEM SERVER ZUR VERTEILTEN KONTROLLE
Wie wächst x.ID über Verzeichnisse, CAs und Netzgrenzen hinweg?
Zuerst stehen Kundenstrategie, Betriebsverantwortung und Netzgrenzen fest. Danach werden CoreService und Outpost-Connectoren passend platziert. Ein konsistentes Identitäts- und Policy-Modell verbindet Cloud, eigene Infrastruktur und gemischte Umgebungen.
-
01
Identitätsquellen nativ anbinden
Lokales Active Directory über den LDAP Connector und Microsoft Entra ID direkt über den nativen Azure Connector anbinden, damit Benutzer, Computer und zugeordnete Credentials kontrolliert zusammengeführt werden.
-
02
Zertifikat und starke Zuordnung veröffentlichen
Nach erfolgreicher Ausgabe den Zielzustand nicht nur in x.ID, sondern auch in den vorgesehenen Microsoft-Identitätssystemen herstellen.
-
03
Konnektorrollen bewusst platzieren
Outposts dort betreiben, wo CA-, Verzeichnis- oder Policy-Funktionen eine kontrollierte lokale Verbindung über eine Trust- oder Netzgrenze brauchen.
-
04
Jeden Outpost-Weg authentisieren
Beidseitig authentisiertes TLS einsetzen, damit beide Enden der Verbindung bekannt sind und der Transport verschlüsselt bleibt.
-
05
Mehrere Zertifizierungsstellen anbinden
Bestehende interne oder öffentliche CA-Wege ergänzen, ohne für jedes Ausgabesystem einen eigenen Identitäts-Lifecycle zu erzeugen.
-
06
Clients und Fremdsysteme integrieren
Der x.ID Agent läuft auf dem Client oder auf einem Jump Host mit unterstützter Smartcard-Umleitung. Ohne lokale Installation bedeutet nicht ohne Agent. Der YubiKey bleibt am Rechner des Benutzers; der Agent kommuniziert per mTLS mit dem Core.
-
07
Topologie erweitern, Übersicht behalten
Outposts sternförmig, hintereinander oder gemischt verbinden. So lassen sich auch mehrstufig segmentierte Netze erreichen. Die Administration erkennt, welche Outposts verbunden sind.
DIE ARCHITEKTUR AUF EINEN BLICK
AD, Entra und CAs nativ anbinden; Outposts als Stern, Kette oder gemischt verbinden.
TECHNISCHE TIEFE
Die Konnektorrollen bleiben ausdrücklich getrennt.
Ein Outpost ist kein allgemeiner Tunnel. Jede Rolle besitzt eine definierte Verantwortung und sollte nur die dafür erforderlichen Zugriffe erhalten.
- CA Connector
- Der CA Connector führt Ausstellung und Widerruf mit der zuständigen CA aus. Bei einer Sperrung gehören Sperrgrund und unmittelbare CRL-Veröffentlichung zum Prozess. LDAP- und Azure-Connectoren bereinigen die betroffenen Zertifikatseinträge und Zuordnungen in ihren Zielsystemen.
- LDAP Connector
- Liest den AD-Identitätskontext, veröffentlicht Zertifikate in userCertificate und pflegt die starke X509:<SKI>-Zuordnung in altSecurityIdentities. Beim Entzug werden die betroffenen Einträge bereinigt. Das gMSA erhält dafür gezielte Attributrechte in den vorgesehenen OUs.
- Azure Connector
- Der native Azure Connector greift über Microsoft Graph direkt auf Microsoft Entra ID zu, ohne eine AD-Synchronisation vorauszusetzen. Für Entra CBA pflegt er SKI-Zuordnungen in certificateUserIds. Die Entra-FIDO2-Vorprovisionierung verbindet die Registrierung im Tenant mit einer getrennten persönlichen PIN-Übergabe.
- Policy Enforcement
- Bewertet unabhängige Regeln nah an der kontrollierten Umgebung, damit Trust nicht nur von einer Zielanwendung oder einem einzelnen Verzeichnisattribut abhängt.
- mTLS und gMSA
- mTLS authentisiert beide Verbindungsenden. Ein gMSA kann ein verwaltetes Windows-Servicekonto bereitstellen; Hardwareschutz kann den privaten Schlüssel privilegierter Services zusätzlich stärken.
- APIs in beide Richtungen
- Fremdsysteme lassen sich an SYNRION anbinden. Andere Plattformen können Betriebs- und Auswertungsdaten über die API nutzen, sofern die abfragende Rolle dafür berechtigt ist.
- Vorübergehende Störungen
- Ist ein Ziel vorübergehend nicht erreichbar, hält x.ID den Auftrag vor und setzt die Verarbeitung automatisch fort, sobald die Verbindung wieder besteht. Das umfasst Sperrung und Verzeichnisbereinigung. Der reguläre Sperrprozess wird unmittelbar ausgeführt.
NACHWEIS & GRENZEN
Was über die hybride Umgebung sichtbar bleibt.
Die Architektur trennt technische Reichweite von Trust-Autorität. Ein Konnektor kann seine Aufgabe erfüllen, ohne unkontrollierter Herr der gesamten Identitätsumgebung zu werden.
Benutzer und Computer über Quellen hinweg
Lokale AD-Domains, Microsoft Entra ID und Systeme außerhalb eines klassischen AD-Joins bleiben über ihre jeweiligen Connector-Pfade sichtbar.
Konsistenter Microsoft-Zielzustand
Eine Sperraktion führt CA-Widerruf und CRL-Veröffentlichung mit der Bereinigung betroffener Zertifikatseinträge und Zuordnungen in AD/LDAP, Windows-Zertifikatsspeicher und Entra CBA zusammen.
Mehrere CAs in einem Policy-Modell
Ausgabesysteme können verschieden sein, während Identitäts-, Freigabe- und Lifecycle-Kontext konsistent bleibt.
Authentisierte Konnektorkommunikation
Outpost-Wege nutzen mTLS und ausdrückliche Service-Identitäten statt anonymen Infrastrukturzugriff.
PASSENDES PRODUKT
SYNRION x.ID
YubiKeys, Identitäten, PIV-Zertifikate und FIDO2 zentral im Browser verwalten. SYNRION x.ID verbindet native Entra-Anbindung mit Cloud-, On-Premises- oder Hybridbetrieb über Outpost-Connectoren. Das Portal ist auch mobil bedienbar; Freigabestatus und Voraussetzungen stehen in der Funktionsübersicht.
NÄCHSTER KONTROLLIERTER SCHRITT
Bringen Sie Ihre IT-Strategie mit. Wir ordnen die Architektur dazu.
Gemeinsam bestimmen wir den passenden Betriebsort für den CoreService, die erforderlichen Outpost-Rollen und den Browser- und Gerätezugriff Ihrer Benutzer.