Chat · Diskussionen · Newsletter · Doku · Ory Network ausprobieren · Jobs

Ory Oathkeeper ist ein Identity & Access Proxy (IAP) und eine Access Control Decision API, die HTTP-Anfragen auf der Grundlage von Zugriffsregeln (Access Rules) autorisiert. Es folgt dem von Google entwickelten BeyondCorp-Modell und schützt Anwendungen in Zero-Trust- Netzwerken.

---

• Was ist Ory Oathkeeper?
  • Warum Ory Oathkeeper
• Bereitstellungsoptionen
  • Installation
• Schnellstart
• Wer nutzt Ory Oathkeeper
• Ökosystem
  • Ory Kratos: Identitäts- und Benutzerinfrastruktur und -verwaltung
  • Ory Hydra: OAuth2- & OpenID-Connect-Server
  • Ory Oathkeeper: Identity & Access Proxy
  • Ory Keto: Zugriffskontrollrichtlinien als Server
• Dokumentation
• Ory Oathkeeper entwickeln
• Sicherheit
  • Offenlegung von Schwachstellen
• Telemetrie

Was ist Ory Oathkeeper?

Ory Oathkeeper ist ein Identity & Access Proxy (IAP) und eine Access Control Decision API. Es folgt den Best Practices für Cloud-Architektur und konzentriert sich auf:

• HTTP-Anfragen authentifizieren und autorisieren
• Als Reverse-Proxy oder Decision API fungieren
• Anfragen mit Identitätsinformationen mutieren
• Integration in bestehende API-Gateways und Proxys
• Unterstützung mehrerer Authentifizierungs- und Autorisierungsstrategien
• Arbeiten in Zero-Trust-Netzwerkarchitekturen

Wir empfehlen, mit der Einführung in Ory Oathkeeper zu beginnen, um mehr über seine Architektur, den Funktionsumfang und den Vergleich mit anderen Systemen zu erfahren.

Warum Ory Oathkeeper

Ory Oathkeeper ist darauf ausgelegt:

• Authentifizierung und Autorisierung vom Anwendungscode zu entkoppeln
• Als API-Gateway-Plugin oder eigenständiger Proxy zu arbeiten
• Flexible Zugriffsregeln für verschiedene Endpunkte zu unterstützen
• Mit Ambassador, Envoy, AWS API Gateway, Nginx und mehr zu integrieren
• Sowohl Proxy- als auch Sidecar-Bereitstellungsmodi bereitzustellen
• Mühelos in Cloud-nativen Umgebungen zu skalieren

Oathkeeper arbeitet mit:

• Ambassador über den Auth-Dienst
• Envoy über den HTTP-Filter für externe Autorisierung
• AWS API Gateway über benutzerdefinierte Autorisierer
• Nginx über Authentifizierung basierend auf Subrequest-Ergebnis

Bereitstellungsoptionen

Sie können Ory Oathkeeper auf zwei Arten ausführen:

• Als verwalteter Dienst im Ory Network
• Als selbst gehosteter Dienst unter eigener Kontrolle, mit oder ohne die Ory Enterprise License

Installation

Sie können Ory Oathkeeper selbst ausführen, um die volle Kontrolle über Infrastruktur, Bereitstellung und Anpassung zu erhalten.

Der Installationsleitfaden erklärt, wie Sie:

• Oathkeeper unter Linux, macOS, Windows und Docker installieren
• Zugriffsregeln und Authentifizierungsstrategien konfigurieren
• In Kubernetes und andere Orchestrierungssysteme bereitstellen

Dieser Leitfaden verwendet die Open-Source-Distribution, damit Sie ohne Lizenzanforderungen loslegen können. Er eignet sich hervorragend für Einzelpersonen, Forscher, Hacker und Unternehmen, die experimentieren, Prototypen bauen oder unwichtige Workloads ohne SLAs ausführen möchten. Sie erhalten die vollständige Kern-Engine und können sie frei einsehen, erweitern und aus dem Quellcode erstellen.

Wenn Sie Oathkeeper als Teil eines geschäftskritischen Systems betreiben, sollten Sie eine kommerzielle Vereinbarung nutzen, um Betriebs- und Sicherheitsrisiken zu reduzieren. Die Ory Enterprise License (OEL) ergänzt selbst gehostetes Oathkeeper und bietet:

• Zusätzliche Enterprise-Funktionen, die in der Open-Source-Version nicht verfügbar sind
• Regelmäßige Sicherheitsreleases, einschließlich CVE-Patches, mit Service-Level-Agreements
• Unterstützung für fortgeschrittene Skalierung, Multi-Tenancy und komplexe Bereitstellungen
• Premium-Supportoptionen mit SLAs, direktem Zugang zu Ingenieuren und Onboarding-Hilfe
• Zugang zu einer privaten Docker-Registry mit häufigen, geprüften und aktuellen Enterprise-Builds

Für garantierte CVE-Fixes, aktuelle Enterprise-Builds, erweiterte Funktionen und Unterstützung in der Produktion benötigen Sie eine gültige Ory Enterprise License und Zugriff auf die Ory Enterprise Docker-Registry. Weitere Informationen erhalten Sie, wenn Sie das Ory-Team kontaktieren.

Schnellstart

Besuchen Sie die Ory-Entwicklerdokumentation, um zu erfahren, wie Sie Ory Oathkeeper unter Linux, macOS, Windows und Docker installieren und wie Sie Ory Oathkeeper aus dem Quellcode erstellen.

Wer nutzt Ory Oathkeeper

Die Ory-Community steht auf den Schultern von Einzelpersonen, Unternehmen und Maintainern. Das Ory-Team dankt allen Beteiligten – vom Einreichen von Fehlerberichten und Feature-Anfragen bis hin zu Beiträgen von Patches und Dokumentation. Die Ory-Community zählt mehr als 50.000 Mitglieder und wächst. Der Ory-Stack schützt 7.000.000.000+ API-Anfragen täglich in tausenden Unternehmen. Nichts davon wäre ohne jeden Einzelnen von Ihnen möglich gewesen!

Die folgende Liste repräsentiert Unternehmen, die uns auf dem Weg begleitet haben und die herausragende Beiträge zu unserem Ökosystem geleistet haben. Wenn Sie glauben, dass Ihr Unternehmen hier einen Platz verdient hat, wenden Sie sich jetzt an [email protected]!

Vielen Dank an alle einzelnen Mitwirkenden

Ökosystem

Wir bauen Ory auf mehreren Leitprinzipien auf, wenn es um unsere Architektur geht:

• Minimale Abhängigkeiten
• Läuft überall
• Skaliert ohne Aufwand
• Minimiert Spielraum für menschliche und Netzwerkfehler

Orys Architektur ist darauf ausgelegt, am besten auf einem Container-Orchestrierungssystem wie Kubernetes, CloudFoundry, OpenShift und ähnlichen Projekten zu laufen. Binärdateien sind klein (5-15MB) und für alle gängigen Prozessortypen (ARM, AMD64, i386) und Betriebssysteme (FreeBSD, Linux, macOS, Windows) ohne Systemabhängigkeiten (Java, Node, Ruby, libxml, ...) verfügbar.

Ory Kratos: Identitäts- und Benutzerinfrastruktur und -Verwaltung

Ory Kratos ist ein API-first-Identitäts- und Benutzerverwaltungssystem, das gemäß Best Practices für Cloud-Architektur entwickelt wurde. Es implementiert Kernanwendungsfälle, mit denen sich fast jede Softwareanwendung auseinandersetzen muss: Self-Service-Login und -Registrierung, Multi-Faktor-Authentifizierung (MFA/2FA), Kontowiederherstellung und -Verifizierung, Profile und Kontoverwaltung.

Ory Hydra: OAuth2- und OpenID-Connect-Server

Ory Hydra ist ein OpenID Certified™ OAuth2- und OpenID-Connect-Anbieter, der sich durch eine winzige „Brücken"-Anwendung problemlos an jedes bestehende Identitätssystem anbinden lässt. Es bietet volle Kontrolle über die Benutzeroberfläche und die User-Experience-Abläufe.

Ory Oathkeeper: Identitäts- und Zugriffs-Proxy

Ory Oathkeeper ist ein BeyondCorp/Zero-Trust-Identitäts- und Zugriffsproxy (IAP) mit konfigurierbaren Regeln für Authentifizierung, Autorisierung und Request-Mutation für Ihre Webdienste: Authentifizieren Sie JWT, Access Tokens, API-Keys, mTLS; Prüfen Sie, ob das enthaltene Subjekt die Anfrage ausführen darf; Codieren Sie die resultierenden Inhalte in benutzerdefinierte Header (X-User-ID), JSON Web Tokens und mehr!

Ory Keto: Zugriffskontrollrichtlinien als Server

Ory Keto ist ein Policy-Entscheidungspunkt. Es verwendet eine Reihe von Zugriffskontrollrichtlinien, ähnlich wie AWS-IAM-Richtlinien, um festzustellen, ob ein Subjekt (Benutzer, Anwendung, Dienst, Auto, ...) autorisiert ist, eine bestimmte Aktion an einer Ressource auszuführen.

Dokumentation

Die vollständige Oathkeeper-Dokumentation ist unter www.ory.com/docs/oathkeeper verfügbar, einschließlich:

• Installationsanleitungen
• Konfigurationsreferenz
• HTTP-API-Dokumentation
• Konfiguration von Zugriffsregeln

Informationen zu Upgrades und Changelogs finden Sie in UPGRADE.md und CHANGELOG.md.

Entwicklung von Ory Oathkeeper

Siehe DEVELOP.md für Informationen zu:

• Richtlinien für Beiträge
• Voraussetzungen
• Installation aus dem Quellcode
• Ausführen von Tests
• Docker-Image erstellen

Sicherheit

Offenlegung von Sicherheitslücken

Wenn Sie glauben, eine Sicherheitslücke gefunden zu haben, veröffentlichen Sie diese bitte nicht öffentlich in den Foren, im Chat oder auf GitHub. Alle Informationen zur verantwortungsvollen Offenlegung finden Sie in unserer security.txt.

Telemetrie

Unsere Dienste sammeln zusammengefasste, anonymisierte Daten, die optional deaktiviert werden können. Klicken Sie hier, um mehr zu erfahren.