Was taugt eigentlich… Shibboleth?

Shibboleth (http://shibboleth.internet2.edu/) hat sich besonders im angelsächsischen Bereich und dort in öffentlichen Bildungseinrichtungen als Open-Source-Lösung für Web SSO etabliert. Es gibt aber auch vereinzelt Projekte in anderen Ländern, zum Beispiel in der Schweiz, in Oman und auch in Deutschland. Doch für wen ist Shibboleth eigentlich geeignet?

Shibboleth ist ein erprobtes und offenes Framework und unterstützt unter anderem den anerkannten Standard SAML 2.0. Es trifft insbesondere sehr gut den Bedarf von Behörden und Bildungseinrichtungen. Dort sind verschiedene Institutionen wie etwa Bibliotheken oder Bundes- und Landesbehörden mehr oder weniger eng miteinander vernetzt, ohne dass eine Zentralisierung der Nutzerverwaltung möglich oder gar gewünscht ist. Das auf einen Service Provider (SP) und Identity Provider (IdP) basierende Modell von Shibboleth ist hier gut geeignet, um eine institutionsübergreifende Web-SSO-Funktionalität herzustellen.

Sollte der Kunde echtes Federated Provisioning oder „Enterprise SSO“ benötigen, ist Shibboleth weniger geeignet. Problematisch kann auch der Support werden, denn dieser wird in Deutschland offiziell nur von einem Dienstleister angeboten. Insgesamt bleibt beim Kunden ein erheblicher Aufwand für die Konzeption, Realisierung und Wartung der Lösung hängen. Unter dem Strich dürfte die Total Cost of Ownership (TCO) bei Shibboleth nicht wesentlich niedriger sein als beim Kauf kommerzieller Softwareprodukte für Web SSO. Außerdem stellt die starke Ausrichtung von Shibboleth auf den Behörden- und Bildungssektor ein Risiko für Unternehmen aus anderen Branchen dar, denn die künftige Weiterentwicklung des Rahmenwerks wird sich primär an den Bedürfnissen der Fokusbranchen orientieren.

Während im öffentlichen Sektor die Beschaffung von Open-Source-Software oftmals politisch vorgegeben ist, hat die Privatwirtschaft das Privileg der freien Wahl. Und das ist auch gut so.