Ohne Break-Glass-Account kein SSO Sicherer SSO-Rollout für Shopify-Stores

Anbieter zum Thema

cidaas by Widas ID GmbH

Zentral gesteuerte Anmeldung über SAML bindet Shopify an die Sicherheits­regeln des Unternehmens. Der Rollout greift dabei in Domains, Konten und bestehende Sitzungen ein und braucht eine gut geplante Testphase vor dem produktiven Start. Wer den Wechsel angeht, sollte gleich das be­ste­hen­de Rollen- und Rechtekonzept in Shopify auf den Prüfstand stellen.

SSO löst kein Berechtigungsproblem

SSO bündelt die Anmeldung, ersetzt aber keine Autorisierung. Auch mit SAML bestimmen Shopify-Rollen, welche Shops, Daten und Funktionen ein Konto erreicht. Authentifizierung, Rollen und Offboarding müssen zusammenpassen.

Der SAML-Login gilt für Shopify-Benutzerkonten mit Shop- oder Organisationszugriff. Er steht nur Shopify-Plus-Organisationen zur Verfügung und wird unter Einstellungen > Benutzer > Sicherheit eingerichtet. Die Erzwingung kann einzelne Benutzer oder alle Konten einer verifizierten E-Mail-Domain betreffen.

Security-Basics für Shopify

10 Checks für sichere Shopify-Stores

Domains und betroffene Konten müssen bekannt sein

Aus meiner Projekterfahrung beginnt die Planung mit Shopify-Organisationen, Benutzern und E-Mail-Domains. Entscheidend ist die Login-Domain der User, nicht die Domain des Onlineshops.

Da „Erforderlich“ in den SAML-Einstellungen auch passende Konten außerhalb der führenden Organisation erfassen kann, sollten Zuständigkeit, Konten und Rollback organisationsübergreifend dokumentiert werden. Subdomains sind separat zu verifizieren; die SAML-Konfiguration kann während der Domain-Verifizierung vorbereitet werden.

Es ist für die Planung deswegen unbedingt notwendig zu wissen, welche Shops und Organisationen von der SAML-Aktivierung betroffen sein werden.

Least Privilege für Shopify-Stores

Shopify-Sicherheit beginnt beim Rollenmodell

Eine führende Organisation festlegen

Shopify verknüpft eine Domain nur mit einer Organisation. Nutzen mehrere Shopify-Organisationen dieselbe Login-Domain, empfehle ich eine führende SSO-Organisation und die Abstimmung mit dem Shopify Plus Support. Nur die führende Organisation verifiziert die Domain und betreibt SAML. In den anderen Organisationen ist keine eigene Verifizierung und damit keine domainabhängige SAML- oder SCIM-Konfiguration möglich.

Microsoft Pass-through-Authentication richtig nutzen

SSO zwischen Active Directory und Azure AD / Microsoft 365

Break-Glass-Zugriff vor der Integration einrichten und testen

Ich empfehle dringend einen aktiven Break-Glass-Account mit einer anderen Email-Domain. Er sollte mit Zwei-Faktor-Authentifizierung (oder einem Passkey) geschützt sein und als Organisations­inhaber oder Organisationsadministrator SAML bei Bedarf deaktivieren können.

Wenn Microsoft Entra Cloud Konten genutzt werden, gibt es standardmäßig für jeden Account zusätzlich zur @contoso.com Email noch einen default-Alias unter @contoso.onmicrosoft.com. Dieser eignet sich hervorragend für einen Break Glass Account. Die Adresse muss Einladungen und Wiederherstellungsnachrichten empfangen können.

Der Test ist bestanden, wenn eine autorisierte Person sich ohne die reguläre Login-Domain anmeldet, die SAML-Einstellung erreicht und den Vorgang dokumentiert. Für Routinearbeiten sollte der Account nicht verwendet werden und Aktivität darauf idealerweise direkt zu einem Alarm führen.

Wenn kein Break-Glass-Account eingerichtet wird und im späteren Verlauf der SAML-Aktivierung etwas schief läuft, kann man sich und alle User aus der Organisation aussperren und muss auf Hilfe vom Shopify Plus Support warten.

Video-Tipp #58: Break Glass Account in Microsoft 365

Notfallzugriff für Microsoft 365 einrichten

Shopify und Identity Provider verbinden

Shopify bietet Integrationen für Okta, OneLogin und Entra; andere Anbieter lassen sich manuell anbinden. Login- und Metadaten-URL werden direkt übernommen. Shopify gibt in der Dokumentation eine genaue Anleitung fürs Setup.

Risiken im Pilot praktisch testen

Nach der Domain-Verifizierung bietet Shopify die Modi „Erforderlich“, „Bestimmte Benutzer“ und „Aus“ bei der Frage, ob SAML für eine Domain erzwungen werden soll. „Erforderlich“ erfasst alle Shopify-Konten mit passender E-Mail-Domain. Dazu können Shop-Inhaber und Benutzer außerhalb der konfigurierenden Organisation gehören. Ich empfehle deshalb einen vorherigen Test mit „Bestimmte Benutzer“.

Für den Pilot empfehle ich eine kleine Gruppe aus IT, einem regulären Benutzer und einem fachlichen Administrator. Der Test sollte erfolgreiche und abgewiesene Anmeldung, MFA, Conditional Access, direkte Shopify-URLs, Browser, Mobilgerät, Break-Glass-Zugriff und Rollback erfassen. Falls POS Geräte genutzt werden, können diese auch wichtig sein.

Notfallaccounts überwachen und absichern

MFA-Pflicht für Break Glas-Accounts in Azure und Microsoft 365

Erst wenn Supportweg, Verantwortliche und Kommunikation feststehen, sollte der Wechsel auf „Erforderlich“ erfolgen. Für den Rollback wird der Modus „Aus“ dokumentiert. Beim Wechsel von „Erforderlich“ zurück zu „Bestimmte Benutzer“ stellt Shopify frühere Einzelanforderungen nicht automatisch wieder her. Sie müssen erneut gesetzt und geprüft werden, falls sie davor vorhanden waren.

Fünf Wege zu MFA in Active Directory im Vergleich

MFA in Active Directory umsetzen und im Betrieb absichern

SAML-only und SCIM getrennt behandeln

Desktop-SAML-Sitzungen dauern laut Shopify 14 Tage. Mobile und POS-Sitzungen laufen nach 14 Tagen Inaktivität aus und können sich bei Aktivität erneuern. Bei einer reinen SAML-Anbindung reicht es daher nicht, nur die Shopify-App-Zuweisung im Identity Provider zu entfernen: Der Zugriff kann weiterbestehen. Für einen zeitnahen Entzug muss zusätzlich der Organisationszugriff in Shopify enden und ein Shopify Account z.B. suspended werden.

Mit korrekt eingerichtetem SCIM lässt sich der Entzug für reguläre Benutzer automatisieren. Wird einer aktiven Person der Zugriff über den Identity Provider entzogen, sperrt Shopify sie in der Organisation. SCIM kann außerdem Benutzer erstellen und Gruppen zuweisen oder aktualisieren. Es verwaltet nur Konten mit einer für diese Organisation verifizierten Domain.

Shop- und Organisationsinhaber sind eine Ausnahme: Sie können nicht über den Identity Provider entfernt werden. Ihre Inhaberschaft muss zuerst übertragen werden. Dieser Pfad gehört separat in den Leaver-Prozess.

Fazit

Ein SSO-Rollout braucht eine führende Organisation, einen unabhängigen Break-Glass-Zugriff und eine Pilotgruppe. Am Ende eines User-Lifecycles muss der Zugriff verlässlich enden: bei SAML-only direkt in Shopify, bei regulären SCIM-Benutzern automatisiert und bei Inhabern nach Übertragung der Inhaberschaft.

Über den Autor: Vita: Mika Schmidt ist Gründer von Six Eight Consulting und spezialisiert auf IT-Security im Bereich E-Commerce.

Single Sign-on (SSO) oder Passwort-Manager

Sicherer Zugang ohne komplexe Passwörter

(ID:50949333)