Zum Inhalt springen
Craftifact

Identity Provider für Craftifact-Instanzen

Wie die Authentifizierung deiner Craftifact-Instanz zum Login in der Control Plane steht und wann der verwaltete oder benutzerdefinierte IdP-Pfad sinnvoll ist.

Zwei getrennte Login-Bereiche

Craftifact trennt bewusst zwischen Verwaltungszugang und Repository-Login:

  • Der Account, mit dem du dein Abonnement erwirbst, dient auch für die Verwaltung deiner laufenden Instanzen in der Control Plane.
  • Der Login in deine Craftifact-Instanz führt dich in das Repository selbst.

Das ist nicht dieselbe Identität, nur weil an beiden Stellen dieselbe E-Mail-Adresse verwendet wird.

Verwalteter SoluForge-IdP

Wenn „iam.soluforge.de als IdP verwenden“ aktiv bleibt, verwaltet SoluForge das OIDC-Setup für die Instanz.

Praktisch bedeutet das:

  • die erste verwaltete Instanz erzeugt einen Admin-User in einer dedizierten Realm für deine Instanz
  • spätere Instanzen können dieselbe verwaltete Realm wiederverwenden
  • Änderungen am Instanznamen aktualisieren den Anzeigenamen der verwalteten Realm
  • Änderungen an der Instanz-Domain aktualisieren die Redirect-URLs des verwalteten Clients
Hintergrund: warum die Realm von der Control Plane getrennt ist
Die Control Plane und das ausgerollte Repository lösen unterschiedliche Aufgaben. Getrennte Realms vermeiden verwirrenden gemeinsamen Zustand und machen die Hosted-Grenze explizit.

Benutzerdefiniertes OIDC

Wenn die Instanz deinen eigenen Identity Provider nutzen soll, brauchst du:

  • client_id
  • client_secret
  • issuer_url
  • groups_claim
  • groups_scope, falls dein Provider ihn benötigt

Lege client_secret nicht im Klartext in der Konfiguration ab, sondern im Tab Secrets und referenziere es über ${...}.

Aktuelle Details:

  • groups_scope ist optional
  • wenn client_secret bei einem Update leer bleibt, wird das gespeicherte Secret beibehalten
  • benutzerdefiniertes OIDC kannst du beim Erstellen der Instanz oder später im Tab Identity Provider konfigurieren

Praktische Orientierung

  • Nutze den verwalteten SoluForge-IdP für den kürzesten Onboarding-Pfad.
  • Nutze benutzerdefiniertes OIDC, wenn die Instanz auf deine vorhandenen Unternehmensidentitäten und Group-Claims aufsetzen soll.
  • Wenn du später wechselst, behandle das als echte Auth-Änderung und prüfe Redirect-URLs, Claims und Group-Mapping, bevor mehr Teams auf die Instanz gehen.

Verwandte Seiten