Auto-hébergé
Auto-hébergé sur votre propre infrastructure : vous décidez où résident les données. Aucune télémétrie.
- Serveur sans état derrière un chart Helm
- PostgreSQL requis, Redis optionnel, pas de broker de messages
- Haute disponibilité intégrée
Centre de confiance
Une ingénierie de la sécurité que vous pouvez examiner.
Comment HelixIAM est conçu, construit, testé et publié — pour que votre équipe sécurité puisse l'examiner avant le début d'un pilote.
Architecture de sécurité
Conçu pour la maîtrise.
Des clés sous votre contrôle
Clés de signature par tenant avec rotation sûre, conservées dans votre HSM via PKCS#11 ou dans Vault / OpenBao Transit.
- Apportez vos propres clés signées par une AC
- Un magasin de clés dédié par tenant
- Rotation en ligne des clés de chiffrement de clés
Isolation des tenants
Chaque tenant dispose de son realm, de ses utilisateurs, de ses clés et de son image de marque.
- Permissions d'administration fines
- Administrateurs par tenant
- Journal d'audit consultable des connexions et des modifications d'administration
Protocoles
Fondé sur les standards ouverts.
Identité
- OpenID Connect et OAuth 2
- SAML 2.0
- SCIM 2.0
- Passkeys WebAuthn / FIDO2
Sécurité des jetons
- DPoP (RFC 9449)
- PAR (RFC 9126)
- Resource indicators (RFC 8707)
- Échange de jetons (RFC 8693)
- Jetons liés mTLS, PS256
Identité européenne
- Connecteurs DigiD, eHerkenning et eIDAS
- Connexion par portefeuille OpenID4VP Accès anticipé
- Émission d'attestations OpenID4VCI Accès anticipé
Processus d'ingénierie de la sécurité
Chaque modification, chaque version.
- 01
Revue
Revues de sécurité des conceptions et des modifications touchant l'authentification, les jetons et la gestion des clés.
- 02
Analyse
Analyse statique, analyse des dépendances et des images à chaque modification.
- 03
Tests
Tests de sécurité automatisés en CI, avec les tests unitaires et de bout en bout.
- 04
Signature
Chaque version est signée avec cosign et accompagnée d'un SBOM attesté.
Versions et divulgation
Notre gestion des vulnérabilités et des versions.
Divulgation des vulnérabilités
Signalez une vulnérabilité présumée à [email protected] (voir security.txt). Nous nous efforçons d'accuser réception rapidement, corrigeons dans une nouvelle version et coordonnons la divulgation avec l'auteur du signalement.
Versions signées et SBOM
Images et charts sont signés avec cosign et accompagnés d'un SBOM SPDX attesté, livrés aux clients sous licence depuis un registre privé : vous pouvez vérifier ce que vous exécutez.
Feuille de route d'assurance
Test d'intrusion indépendant en préparation. Pendant un pilote, vous pouvez réaliser vos propres tests de sécurité.
Dossier sécurité
Architecture, processus de construction et de publication et accès au SBOM, pour votre questionnaire et votre revue de sécurité.
Vie privée
Des fonctions qui soutiennent vos obligations RGPD.
HelixIAM ne rend pas à lui seul une organisation conforme ; il vous donne les moyens de respecter vos obligations.
- Export et effacement RGPD intégrés, par utilisateur
- Enregistrement des consentements
- Journal d'audit consultable avec durée de conservation configurable
- Auto-hébergé : vous décidez où résident les données
Exploitation
Sauvegarde et reprise.
Utilisateurs, configuration et audit résident dans PostgreSQL ; les sessions sont dans PostgreSQL, ou dans Redis si vous l'activez. Le serveur HelixIAM est sans état. Sauvegardez PostgreSQL avec vos outils habituels et gérez les sauvegardes du magasin de clés selon la politique de votre HSM ou Vault. Les guides de mise à niveau commencent par une sauvegarde, et KubeDNA peut revoir la sauvegarde et la reprise après sinistre de votre environnement dans le cadre de l'accompagnement au déploiement.
- Serveur sans état, deux réplicas par défaut
- PostgreSQL contient utilisateurs, configuration et audit
- Métriques Prometheus et règles d'alerte prêtes à l'emploi
Examinez HelixIAM avec nous.
Une consultation d'architecture avec les ingénieurs de KubeDNA, et notre dossier sécurité pour votre revue.