Zwei Aufgaben auf einer Grundlage. Wir richten Keycloak mit euch ein und betreiben es: Single Sign-on, Upgrades, Migrationen, Erweiterungen und Absicherung. Darauf bauen wir Identitäten für KI-Agenten und MCP-Server, damit jeder Agent eigene Rechte pro Werkzeug hat und nachvollziehbar bleibt, was er getan hat.
Mit einer Aufgabe startenFür Gründer:innen und Teams, die Keycloak betreiben oder einführen, für ihre Anwendungen, ihre KI-Agenten oder beides.
Keycloak ist schnell eingerichtet und später schwer zu ändern. Mehr Anwendungen, mehr Rollen, ein Upgrade, das Verhalten ändert, auf das ihr euch verlassen habt, und Einstellungen, die von Hand zwischen Umgebungen kopiert werden. Mit Agenten wird es schwieriger. Der schnelle Weg ist ein Service-Account oder das Token eines Nutzers: Dann darf der Agent alles, was diese Person darf, in jedem Werkzeug, und im Log steht der Nutzer, nicht der Agent. Das trägt nur, wenn das Keycloak darunter solide ist.
Wir gehen mit euch Realms, Clients, Rollen und Flows durch, dazu die Agenten, MCP-Server und Werkzeuge, die ihr betreibt oder plant. Wir halten fest, was riskant oder uneinheitlich ist und was dem nächsten Upgrade im Weg steht.
Wir binden eure Anwendungen per Single Sign-on an, schreiben eigene Erweiterungen (SPIs), wo die Bordmittel nicht reichen, sichern die Konfiguration ab und legen sie als Code ab, damit jede Umgebung gleich aussieht. Upgrades und Migrationen bekommen einen eigenen Plan, damit die Anmeldung weiter funktioniert.
Jeder Agent bekommt einen eigenen Client mit Scopes pro Werkzeug. Per Token Exchange handelt er im Auftrag eines Nutzers und erhält nur den Teil der Rechte, den die Aufgabe braucht. Eure MCP-Server prüfen diese Tokens über OAuth wie bei jeder anderen API.
Riskante Aktionen eines Agenten warten, bis ein Mensch sie freigibt, und zu jedem Aufruf wird festgehalten, welcher Agent für welchen Nutzer mit welchem Scope gehandelt hat. Wir schulen euch oder die Entwickler, mit denen ihr arbeitet, damit ihr alles selbst betreiben könnt, und bleiben auf Wunsch als Retainer ansprechbar.
Erzählt uns, wie ihr Keycloak heute nutzt, welche Agenten ihr betreibt oder plant und wo es hakt. Gemeinsam klären wir die Aufgabe, die Zuständigkeiten und das Ziel, ob das eine Beratung zu einer einzelnen Frage ist, ein abgegrenztes Projekt oder laufender Keycloak-Support als Retainer.
Mit einer Aufgabe starten
Zusammenarbeit mit einem Team der Zürcher Hochschule für Angewandte Wissenschaften.
„Wir arbeiten mit Zone2 an APIs, Webanwendungen und Identitätsmanagement in unseren bestehenden Systemen. Sie arbeiten selbstständig, übernehmen Verantwortung für die technischen Details und beziehen uns ein, wenn Entscheidungen unsere Mitwirkung brauchen. Mit praxisnahen Schulungen helfen sie unserem Team außerdem, eigene Kompetenzen aufzubauen.“
Ja. Mit Keycloak Token Exchange tauscht der Agent das Token des Nutzers gegen ein neues, das auf die nötigen Scopes beschränkt ist. Die vollen Rechte des Nutzers hat er nie, und im Token steht, wer der Nutzer ist und welcher Agent gehandelt hat.
Ja, das ist die Hälfte unserer Arbeit. Einrichtung, Single Sign-on, eigene Erweiterungen, Absicherung, Upgrades und Migrationen aus anderen Identitätssystemen, dazu laufender Keycloak-Support als monatlicher Retainer und praxisnahe Schulungen an eurem eigenen Setup.
Für die Arbeit mit Agenten funktioniert es am besten, wenn ihr Keycloak schon betreibt oder dafür offen seid, denn darauf bauen wir auf. Seid ihr fest an einen anderen Identity Provider gebunden, sind wir wahrscheinlich nicht die Richtigen dafür.
Nein. Keycloak läuft in eurer Infrastruktur oder bei dem Anbieter, den ihr wählt. Wir helfen beim Einrichten, Ändern und Aktualisieren und haben keinen Hosting-Tarif, den wir euch verkaufen wollen.
Erzählt uns, welche Agenten ihr baut und wie die Anmeldung heute läuft. Das reicht für ein erstes Gespräch.
Eine Nachricht verpflichtet euch zu nichts. Mit dem Senden bestätigt ihr, dass ihr die Datenschutzerklärung gelesen habt.