Gehostete Authentifizierung

Konfigurieren Sie den einheitlichen Anmelde- und Benutzererstellungsablauf.Benutzererstellung.

Einheitlicher Ablauf

XID stellt keine getrennten Produkte für Registrierung und Anmeldung von Endbenutzern bereit. Hosted Auth beginnt mit demselben Kennungsschritt und entscheidet anhand von Organisationsrichtlinie und Kontostatus über Anmeldung oder Benutzererstellung.

Initiale Standardwerte aktivieren nur magischen Link per E-Mail und E-Mail-OTP. Passwort, WhatsApp-OTP, SMS-OTP, Passkey, soziales OAuth und Enterprise SSO bleiben verborgen, bis Organisationsrichtlinie und erforderliche Zugangsdaten sie aktivieren.

flowchart TD
  Browser --> authorize["/authorize"]
  authorize --> signIn["/sign-in"]
  signIn --> config["/auth/config"]
  config --> methods["WebAuthn / Password / OTP / SSO"]
  methods --> code["code"]
  methods --> mfa["/auth/mfa/passkey/*"]
  mfa --> code

Konfigurationsendpunkt

GET /auth/config gibt die öffentliche Konfiguration der Hosted Auth für die Organisation zurück. Anbieter-Geheimnisse und deaktivierte Anbieter werden nicht an den Browser zurückgegeben.

Methode	Angezeigt wenn
Magischer Link	Aktiviert und für Anmeldung oder Benutzererstellung erlaubt.
E-Mail-OTP	Aktiviert und für Anmeldung oder Benutzererstellung erlaubt.
Telefon-OTP	WhatsApp- oder SMS-Anbieter ist konfiguriert, aktiviert und für Anmeldung oder Benutzererstellung erlaubt.
Passwort	Passwortrichtlinie aktiviert Anmeldung oder Benutzererstellung.
Soziales OAuth	Anbieter ist aktiviert, Zugangsdaten existieren, und die Richtlinie erlaubt die Aktion.
Inbound Enterprise SSO	Domain-Erkennung gleicht eine verifizierte Organisationsdomain ab.

Kennungsrichtlinie

Organisationen können E-Mail-Kennungen, Benutzernamen-Kennungen oder beides verlangen.
Listen erlaubter und blockierter E-Mail-Domains werden vor der Benutzererstellung angewendet.
SSO-Erzwingung blendet lokale Methoden aus, wenn eine Enterprise-Verbindung erforderlich ist.

WebAuthn- und Passkey-Grenzen

Passkey-Anmeldung ist die primäre AAL2-Authentifizierung. Passwort- oder OTP-Sitzungen können MFA über /auth/mfa/passkey/* mit erforderlicher Benutzerverifizierung abschließen.
Die Organisationsrichtlinie attestationMode wählt bei der Passkey-Registrierung keine, indirekte oder direkte Enterprise-Attestierung.
WebAuthn-Credential-Parameter bewerben ES256, RS256 und EdDSA. Synchronisierbare Passkeys bleiben auch nach MFA AAL2.
urn:xid:aal3 wird nur ausgestellt, wenn Passkey-MFA Hardware-Einzelgerät- und Nicht-Backup-Sicherheit erfüllt. Synchronisierbare Passkeys qualifizieren nicht für AAL3.