Ein technischer Dienst, der Authentifizierungsassertionen, Identitätsattribute oder Anmeldeinformationen zwischen verschiedenen Identitätssystemen und -formaten abbildet, normalisiert, validiert und weiterleitet, damit ein vertrauendes System in einer Verwaltungsdomäne Authentifizierungs- und Autorisierungsentscheidungen über ein von einer anderen Domäne ausgestelltes Subjekt treffen kann.

Prinzip

Der Übersetzungsdienst muss die semantische Absicht und das Vertrauensniveau (Level of Assurance) der ursprünglichen Anmeldeinformation erhalten und sie gleichzeitig in den Tokens, Attributschemas und Validierungsregeln des Zielsystems ausdrücken, damit die empfangende Stelle ihre lokale Policy anwenden kann.

Demonstration

Illustratives Szenario → Eine Hochschule stellt eine signierte Studierenden-Assertion aus, die eine Nationalbibliothek nur als OAuth-angebundene Attribute akzeptiert. Der Dienst prüft die Signatur der Hochschule, mappt 'studentStatus' auf das Berechtigungsattribut der Bibliothek, stellt ein äquivalentes, von der Bibliothek akzeptiertes Token aus und protokolliert die Zuordnung zur Prüfung. Die Bibliothek kann daraufhin ihre Zugriffskontrolle anwenden.

Fehlanwendung

Die Annahme, Übersetzung sei gleichbedeutend mit Vertrauensübertragung: Ein gemapptes Credential ohne Prüfung der Ausstellervertrauenswürdigkeit, Signaturvalidität oder Übereinstimmung der Assurance-Level als direkte Identitätsbestätigung behandeln. Der semantische Fehler ist die Verwechslung von syntaktischer Konversion mit Vertrauensbegründung.

Konsequenz

Bei richtiger Umsetzung ermöglicht es domänenübergreifenden Zugriff und verringert Nutzerfriktionen; kausal verlagert es die Interoperabilitätsarbeit auf die Übersetzungsschicht, schafft jedoch Abhängigkeiten von ihrer Sicherheit, Prüfbarkeit und den Mapping-Regeln.

Umkehrung

Wenn Aussteller- und Empfängerdomänen unvereinbare Assurance‑Rahmen, nicht übertragbare Attributsemantiken, rechtliche Einschränkungen oder ausdrücklich nicht übersetzbare Bindungen (z. B. an Hardware-Tokens) haben, kann die Übersetzung kein akzeptables Äquivalent erzeugen und muss fehlschlagen oder ein außerbandiges Abkommen erfordern.

Abgrenzung

Im Anwendungsbereich: Token-/Assertion-Konversion, Attributmapping, Signatur-/Formatvalidierung, Audit-Logging und Policy‑Übersetzung zwischen Verwaltungsdomänen. Außerhalb: Identitätsprüfung bei der Erstanmeldung, dauerhafte Identitätsbereitstellung, rechtliche Eigentumsfeststellung an Identitäten oder DRM‑basierte Rechteverwaltung.

Semantische Spannung

Privacy ↔ Interoperability — Mapping erfordert oft die Offenlegung oder Transformation von Attributen, um Interoperabilität zu erreichen, was die Datenaussetzung erhöhen kann, sofern nicht eingeschränkt.

Synthese

Ein Dienst zur Übersetzung von Anmeldeinformationen ist ein protokoll- und policy‑bewusster Adapter: Er nimmt technische Konversionen und Mappings vor, ersetzt aber nicht die Governance‑Entscheidung über Ausstellervertrauen oder rechtliche Berechtigung.