Auris voor MSP's: één console, één tenant per klant

Auris is het identiteits- en toegangsproduct van Altovar: single sign-on, adaptieve multifactorauthenticatie en granulaire rolgebaseerde toegang, speciaal gebouwd voor managed service providers die met één operationeel team veel klanten beheren. Voor een MSP bestaat het aanbod uit twee delen die je makkelijk door elkaar haalt: één console om alles vanuit te beheren, en een harde grens tussen wat elke klant kan zien. Auris houdt die twee ideeën gescheiden, en juist dat onderscheid moet je begrijpen voordat je het product beoordeelt.

Tenant versus organisatie: het verschil

In Auris is de tenant de harde beveiligings- en gegevensisolatiegrens die overeenkomt met een klant. Een organisatie is een groepering binnen een tenant — voor teams, rollen of afdelingen — en is een losse structuur, geen vervanging voor isolatie. Twee organisaties binnen dezelfde tenant kunnen bewust zichtbaarheid delen; twee verschillende tenants zouden elkaars gegevens nooit op enige manier moeten kunnen zien. Toegangsbeleid, rollen en auditlogs die voor de ene tenant zijn gedefinieerd, lekken niet door naar de andere.

Waarom de grens bij de tenant ligt, niet bij de organisatie

Één tenant per klant geeft een MSP een voorspelbare impactradius: als er iets misgaat binnen de tenant van een klant, blijft de schade structureel beperkt tot die tenant, in plaats van zich te verspreiden via gedeelde structuren op organisatieniveau. Dit vereenvoudigt ook twee van de meest foutgevoelige MSP-werkstromen. Toegangscontroles worden eenvoudiger, omdat je maar over het lidmaatschap van één tenant tegelijk hoeft na te denken. Offboarding wordt ook eenvoudiger, omdat het verwijderen van een klant neerkomt op het opheffen van één duidelijk afgebakende tenant, in plaats van organisatielidmaatschappen te ontwarren die tussen klanten gedeeld kunnen zijn geweest.

Één console voor de MSP, geen gedeelde directory

De andere helft van het aanbod is operationeel: met één console kan één operationeel team sign-on, provisioning en toegang beheren voor alle klant-tenants, zonder van tool te wisselen. Auris documenteert SSO via SAML 2.0 en OIDC, SCIM-gebaseerde provisioning vanuit identity providers zoals Okta en Azure AD, en relatiegebaseerde toegangscontrole naar het voorbeeld van Google's Zanzibar-aanpak. Niets daarvan verandert de hierboven beschreven tenantgrens — het beschrijft hoe de MSP vanuit één plek veel geïsoleerde tenants beheert, geen manier om de isolatie te omzeilen. Alle technische details staan op de Auris-productpagina.

Waar de gegevens staan

Altovar, met hoofdkantoor in Genua, draait Auris op dedicated servers in datacenters in Duitsland. Het "soevereine" deel van het aanbod beschrijft waar verwerking en opslag plaatsvinden; het is een configuratiekeuze, geen certificering door een derde partij.

Wat dit is, en wat niet

Dit is een beschrijving van waarvoor Auris is gebouwd, geen onafhankelijke productreview. Altovar heeft voor deze MSP-positionering geen audits door derden of cijfers over het winpercentage bij klanten gepubliceerd, en die worden hier ook niet beweerd. Voor een MSP die identiteitstools beoordeelt, is het model van één tenant per klant een ontwerpkeuze over waar Auris zijn hardste grens trekt, geen garantie die de eigen toegangscontroles van de MSP vervangt.

Wat te doen

• Controleer de tenantisolatie in een echte toegangscontrole, niet op basis van de marketingomschrijving — van deze leverancier of van welke andere ook.
• Behandel organisaties als een gemak om de teams van een klant te structureren, nooit als een beveiligingsperimeter.
• Breng SSO en SCIM-provisioning per tenant in kaart voordat je een nieuwe klant aansluit, zodat identiteitsbronnen vanaf dag één gescheiden blijven.
• Plan offboarding op tenantniveau, zodat het verwijderen van een klant één schone grens opheft in plaats van gedeelde organisatielidmaatschappen te moeten ontwarren.

Bronnen: Altovar — European infrastructure, real security, Auris documentation.