Kurumsal SSO: SAML ve OpenID Connect entegrasyon planı
· PoolByte Technology
Kurumsal bir müşteri, çalışanlarının portalınıza şirket hesabıyla girmesini isteyebilir. SSO bu ihtiyacı karşılamak için kullanılır. SAML ve OpenID Connect gibi protokoller kimlik sağlayıcı ile uygulama arasında güvenli bir ilişki kurulmasına yardımcı olur; fakat kullanıcının uygulama içindeki rolünü kendiliğinden doğru belirlemez.
Kimlik ile yetkiyi ayırın
SSO yanıtı, kullanıcının doğrulanmış kimliği hakkında bilgi taşır. Hangi projeyi görebileceği, sipariş verebileceği veya ekip üyesi ekleyebileceği ise uygulamanızın yetki politikasıdır. “Şirket hesabıyla girdi” gerekçesiyle herkesi yönetici yapmak doğru bir başlangıç değildir.
OpenID Foundation açıklaması, OpenID Connect’in kimlik katmanını anlatır. Sağlayıcı seçimi sırasında müşterinin desteklediği protokolü, gereken claim veya öznitelikleri ve oturum sonlandırma beklentisini öğrenin. Farklı müşterilerin farklı kimlik sağlayıcıları kullanması, yapılandırmaların kuruluş bazında ayrılmasını gerektirir.
Hesap eşleştirmede e-posta tek başına yeterli olmayabilir
Bir çalışanın e-posta adresi değişebilir veya aynı isim daha sonra başka birine verilebilir. Kalıcı eşleştirme için sağlayıcının güvenilir kimlik tanımını kullanın; hangi kuruluş ve sağlayıcıdan geldiğini de hesaba katın. Var olan yerel bir hesabı yalnız gelen e-posta eşleşti diye otomatik birleştirmek, hesap devri riski yaratabilir.
İlk girişte hesap açılacaksa varsayılan rolü düşük tutun. İşten ayrılan çalışanın erişimi kapatıldığında uygulamadaki mevcut oturumların ne olacağını da belirleyin. Kimlik sağlayıcıda bir kullanıcıyı devre dışı bırakmak, her uygulamanın açık oturumunu anında sonlandıracağı anlamına gelmez. Kabul testine bunu özellikle ekleyin.
Yanıt doğrulamasını kütüphaneye bırakın, kuralları kontrol edin
İmza, gönderici, hedef kitle, süre ve tekrar kullanım kontrolleri atlanmamalıdır. SAML’de XML işleme ve yanıt bağlamı gibi ayrıntılar yanlış uygulandığında ciddi sorunlar doğabilir. OWASP SAML güvenlik rehberi, doğrulama için temel kontrol alanlarını listeler. Protokolü sıfırdan yazmak yerine bakımı yapılan uygun bir uygulama kullanın.
Sertifika yenilenmesi veya sağlayıcı anahtarlarının değişmesi için işletim planı hazırlayın. Yapılandırma hatası bütün çalışanların girişini kesebileceğinden, kısıtlı ve denetlenebilir bir kurtarma yöntemi bulunmalıdır. Bu yöntem normal giriş politikasını kolayca aşan genel bir arka kapıya dönüşmemelidir.
Kurumsal kabul listesi
- Doğru kuruluş, yanlış kuruluş ve süresi dolmuş yanıt.
- Aynı e-posta görünen iki farklı kimlik.
- Yeni çalışan, rol değişimi ve işten ayrılma.
- Kimlik sağlayıcı kesintisi ve sertifika değişimi.
- Mevcut oturumun kapanması ve yeniden doğrulama.
- Yönetici işlemlerinin ayrı yetki kontrolü.
SSO kapsamını özel yazılım projesine eklerken yalnız “kurumsal giriş” maddesi yazmayın. Kimlik eşleştirme, rol yönetimi, oturum süresi ve erişimin kaldırılması ayrı teslim ölçütleri olmalıdır. Böylece çalışan giriş yapabildiğinde değil, doğru erişimle güvenle çalışabildiğinde entegrasyon tamamlanır.