Zentralisierte Autorisierung und Anwendungsplattform

Aufgabenstellung

Atrea betreibt eine Reihe von Webanwendungen für Mitarbeiter, Vertriebspartner und Kunden. Bisher hat jede davon die Anmeldung, die Benutzer und die Berechtigungen auf eigene Weise geregelt. Das bedeutete mehrere Konten für eine Person, eine fragmentierte Rechteverwaltung und jedes Mal neu programmierte Zugriffslogik.

Das Ziel war es, eine gemeinsame Plattform zu schaffen, die von jeder neuen und bestehenden Anwendung genutzt werden kann – mit einheitlichem Login, zentraler Rechteverwaltung und gemeinsam genutzten Diensten wie Benachrichtigungen oder Benutzerfeedback.

Lösung

Single Sign-On (SSO)

Als Identitätsanbieter haben wir uns für die Open-Source-IAM-Plattform Zitadel entschieden. Die Anmeldebildschirme haben wir jedoch selbst geschrieben (Next.js über Session API v2), sodass Registrierung, Passwort-Reset und Multi-Faktor-Authentifizierung (MFA) genau den Bedürfnissen von Atrea entsprechen. Mitarbeiter melden sich mit ihrem Firmen-Microsoft-Konto an, externe Benutzer per E-Mail und Passwort.

Mehrere Marken auf einer Plattform

Eine einzige Installation bedient mehrere Marken und Organisationen. Jede Marke hat ein eigenes Anmelde-Design, eine eigene Domain, E-Mail-Vorlagen und einen eigenen SMTP-Versandserver. Die Marke wird zentral anhand der Anwendung und des Callbacks bestimmt, sodass sich ein Benutzer niemals in der falschen Umgebung befindet.

Rechte an einem Ort

Anwendungen müssen nichts mehr selbst berechnen, die gesamte Berechtigungslogik befindet sich in einem zentralen Dienst:

• Rollen innerhalb jeder Anwendung und automatische Rollenzuweisung nach E-Mail-Domain,
• binäre und abgestufte Rechte (gesperrt / Ansicht / Bearbeitung) in einer Baumstruktur,
• Rechte für konkrete Datensätze (z. B. Teilen eines Projekts mit einem Kollegen),
• Anwendungsadministratoren und Superadministratoren mit einem Audit-Log aller Änderungen.

Rollen und Rechte werden bei der Anmeldung direkt in das Zugriffstoken (JWT) geschrieben. Das Frontend weiß somit ohne zusätzliche Abfragen, was der Benutzer sehen darf. Die Backends anderer Anwendungen verifizieren die Berechtigungen über einen einzigen API-Aufruf.

Gemeinsame Dienste für alle Anwendungen

• Benachrichtigungen per E-Mail und Web Push, mit Vorlagen für jeden Nachrichtentyp, Massenversand und Benutzereinstellungen für den Empfang.
• Mehrsprachigkeit mit einem zentralen Sprachregister, Fallback-Sprachen und automatischer Übersetzung von Vorlagen.
• Feedback und Support direkt aus den Anwendungen heraus, einschließlich Anhängen und Benachrichtigungen über Statusänderungen.
• Benutzerprofile und Präferenzen, die über Anwendungen hinweg geteilt werden.

Administration

Für Administratoren haben wir ein Administrationspanel in Vue 3 aufgebaut. Es enthält Benutzer, Rollen und Rechte, Anwendungen und deren OIDC-Clients, Marken, E-Mail-Einstellungen, Benachrichtigungsvorlagen, Support und Audits. Zur Plattform gehört auch eine Entwicklerdokumentation (VitePress) mit einer für KI-Assistenten optimierten Version, mit deren Hilfe Entwickler neue Anwendungen schnell und einheitlich anbinden können.

Ergebnis

• Ein Konto für alle Atrea-Anwendungen und unternehmensweites SSO über Microsoft.
• Eine neue Anwendung ist in wenigen Tagen angebunden statt Wochen der Entwicklung für eigenes Login und Rechteverwaltung.
• Zugriffsverwaltung an einem Ort, einschließlich der sofortigen Sperrung eines Benutzers auf der gesamten Plattform.
• Bereit für mehrere Marken und Märkte dank Unterstützung für mehrere Marken und Sprachen.
• Die Plattform bedient bereits die Produktionsanwendungen von Atrea, und weitere werden schrittweise migriert.