Zum Inhalt springen
Limen

Funktionen

Was Limen kann – und was nicht

Ein Identitätsdienst mit klarer Grenze: Konten, Anmeldung und Profil. Alles andere bleibt Sache eurer Anwendungen. Diese Seite zeigt beides, den Umfang und die Auslassungen.

Anmeldung

Passwort, Passkey oder beides

Die Anmeldemaske ist der Ort, den alle im Team am häufigsten sehen. Sie führt in einem Schritt zum Ziel, wenn ein Passkey hinterlegt ist – und in zweien, wenn Passwort und Bestätigungscode verlangt werden.

  • Benutzername und Passwort, geprüft gegen argon2id-Hashes
  • Passwortloser Passkey-Login über WebAuthn – Touch ID, Windows Hello oder Sicherheitsschlüssel
  • Passkeys werden im Benutzernamenfeld direkt angeboten, ohne dass jemand suchen muss
  • TOTP-Schritt nur dort, wo zweite Faktoren eingerichtet sind
  • Codes lassen sich kein zweites Mal verwenden – ein abgefangener Code läuft ins Leere
Anmeldemaske mit Feldern für Benutzername und Passwort, der Schaltfläche „Anmelden“ und darunter „Mit Passkey anmelden“.
Zweiter Anmeldeschritt mit dem Eingabefeld „Bestätigungscode“ für den sechsstelligen Code aus der Authenticator-App.

Selbstverwaltung

Das eigene Konto ohne Ticket pflegen

Unter „Mein Konto“ ändert jede Person Anzeigenamen, E-Mail-Adresse, Profilbild und Passwort selbst. Der Benutzername bleibt fest – er taucht in Protokollen und Tokens auf und soll dort verlässlich dieselbe Person bezeichnen.

  • Anzeigename, E-Mail und Profilbild jederzeit änderbar
  • E-Mail ist optional: Konten ohne Adresse funktionieren vollständig
  • Zweite Faktoren selbst einrichten – TOTP mit Recovery-Codes, dazu beliebig viele Passkeys
  • Verbundene Anwendungen einsehen und einzeln den Zugriff entziehen
  • „Überall abmelden“ beendet alle Sitzungen auf allen Geräten – die aktuelle bleibt bestehen
  • Anmeldeverlauf mit Zeitpunkt, Ergebnis und Herkunftsadresse
Karte „Zwei-Faktor-Authentisierung“ mit aktiver Authenticator-App, sechs ungenutzten Recovery-Codes und zwei hinterlegten Passkeys.
Vier verbundene Anwendungen – Fachschafts-Cloud, Raumbuchung, Fachschafts-Wiki und Protokoll-Tool – jeweils mit dem Zeitpunkt der letzten Verbindung.

Verwaltung

Konten anlegen, übergeben, stilllegen

Der Verwaltungsbereich ist bewusst schmal gehalten: Konten, Anwendungen, Schlüssel, Protokoll. Öffnen kann ihn nur, wer Administratorrechte hat – und auch dann erst mit aktiver Zwei-Faktor-Sitzung. Ein Passwort allein reicht nicht.

  • Zugang ausschließlich für Konten mit Administratorrechten, erkennbar in der Kontenliste
  • Konten anlegen und dabei ein Erstpasswort ausgeben
  • Suche über Benutzername und Anzeigename
  • Deaktivieren statt löschen: Anmeldung gesperrt, Sitzungen beendet, Protokolleinträge bleiben zuordenbar
  • Verwaltungsrechte vergeben und wieder entziehen
  • Zweite Faktoren zurücksetzen, wenn jemand sein Gerät verloren hat
Kontenverwaltung mit 16 Konten: Profilbild, Name, Benutzername, E-Mail und Schaltflächen zum Deaktivieren, Zu-Admin-Machen und Bearbeiten.

Protokoll

OpenID Connect ohne Sonderweg

Limen setzt den Standard um, statt ihn zu erweitern. Das ist der Grund, warum die Anbindung einer Anwendung meist eine Sache von Minuten ist.

  • Discovery und JWKS

    Anwendungen lesen alle Endpunkte aus dem Discovery-Dokument und holen sich die öffentlichen Schlüssel selbst. Keine Konfiguration von Hand, kein Nachziehen bei Änderungen.

  • PKCE mit S256

    Der Authorization Code Flow ist verpflichtend mit PKCE abgesichert. Ein abgefangener Code lässt sich ohne den passenden Verifier nicht einlösen.

  • Refresh-Token mit Rotation

    Jede Einlösung gibt ein neues Token aus und entwertet das alte. Taucht ein bereits benutztes Token wieder auf, wird die ganze Kette verworfen.

  • Schlüsselrotation ohne Ausfall

    Ein neuer Signaturschlüssel wird sofort aktiv, der bisherige bleibt für eine Karenzzeit im JWKS. Bereits ausgestellte Tokens bleiben bis zu ihrem Ablauf gültig.

  • Standard-Endpunkte

    /authorize, /token, /userinfo, /revoke, /introspect und /logout. Wer schon einmal einen OIDC-Client angebunden hat, findet sich sofort zurecht.

  • Scopes statt Vollzugriff

    openid liefert die Benutzerkennung, profile Name und Avatar, email die Adresse. Eine Anwendung bekommt nur, was bei ihrer Registrierung freigegeben wurde.

Zwei RS256-Schlüssel mit Kennung und Erstellungszeitpunkt: der neuere ist aktiv, der ältere läuft aus und bleibt vorerst im JWKS.
Nach einer Rotation stehen beide Schlüssel nebeneinander im JWKS – bereits ausgestellte Tokens bleiben bis zu ihrem Ablauf prüfbar.

Grenzen

Was Limen bewusst nicht macht

Ein Werkzeug wird nicht dadurch besser, dass es alles versucht. Diese vier Punkte fehlen absichtlich – wenn ihr sie braucht, ist Limen die falsche Wahl.

  • Keine Rollen- und Rechteverwaltung

    Limen sagt, wer jemand ist – nicht, was die Person darf. Berechtigungen gehören in die jeweilige Anwendung, weil sie dort vom Zusammenhang abhängen.

  • Keine Mandantenfähigkeit

    Eine Instanz bedient eine Organisation. Wer mehrere voneinander getrennte Mandanten braucht, betreibt entweder mehrere Instanzen oder greift zu einem größeren Werkzeug.

  • Kein SAML, kein LDAP

    Limen spricht OpenID Connect. Für die Anbindung älterer Software, die auf SAML oder LDAP besteht, ist es nicht das richtige Werkzeug.

  • Keine Föderation

    Es gibt keine Anmeldung über externe Identitätsanbieter und keinen Verbund mehrerer Limen-Instanzen. Die Konten liegen bei euch, und nur dort.

Klingt passend?

Die Installation dauert weniger als eine Kaffeepause. Danach wisst ihr, ob es zu euch passt.

Zur Installation Quellcode ansehen