الدخول الموحد للمؤسسات: SAML وOpenID Connect
· PoolByte Technology
قد يرغب أحد عملاء الشركة من موظفيه بتسجيل الدخول إلى بوابتك باستخدام حساب الشركة. يتم استخدام SSO لتلبية هذه الحاجة. تساعد البروتوكولات مثل SAML وOpenID Connect في إنشاء علاقة آمنة بين موفر الهوية والتطبيق؛ ولكنه لا يحدد تلقائيًا دور المستخدم داخل التطبيق.
افصل الهوية عن صلاحيات الوصول
تحمل استجابة SSO معلومات حول هوية المستخدم التي تم التحقق منها. تحدد سياسة صلاحيات الوصول لتطبيقك المشروع الذي يمكن عرضه أو تقديم طلب أو إضافة عضو في الفريق. إن جعل الجميع مسؤولين على أساس أنهم "سجلوا الدخول باستخدام حساب الشركة" ليس بداية جيدة.
يصف وصف مؤسسة OpenID طبقة الهوية الخاصة بـ OpenID Connect. عند اختيار مزود الخدمة، تعرف على البروتوكول الذي يدعمه العميل، والمطالبات أو السمات المطلوبة، وتوقعات إنهاء الجلسة. يستخدم العملاء المختلفون موفري هويات مختلفين، مما يتطلب فصل التكوينات حسب المؤسسة.
قد لا يكون البريد الإلكتروني وحده كافيًا لمطابقة الحساب
قد يتغير عنوان البريد الإلكتروني الخاص بالموظف أو قد يتم إعطاء نفس الاسم لشخص آخر لاحقًا. بالنسبة للاقتران المستمر، استخدم تعريف الهوية الموثوق به للموفر؛ ضع في الاعتبار أيضًا المنظمة والمزود الذي يأتي منه. إن دمج حساب محلي موجود تلقائيًا لمجرد أن تطابقات البريد الإلكتروني الوارد قد يشكل خطر الاستيلاء على الحساب.
إذا كان سيتم فتح حساب عند تسجيل الدخول لأول مرة، فاحتفظ بالدور الافتراضي منخفضًا. حدد أيضًا ما يحدث للجلسات الموجودة في التطبيق عند تعطيل وصول الموظف المغادر. لا يعني تعطيل مستخدم في موفر الهوية أن كل تطبيق سينهي جلسته المفتوحة على الفور. قم بتضمين هذا على وجه التحديد في اختبار القبول.
استخدم مكتبة للتحقق من الاستجابة وراجع قواعدها
لا ينبغي تخطي عمليات التحقق من التوقيع والمرسل والجمهور المستهدف والمدة وإعادة الاستخدام. يمكن أن تنشأ مشكلات خطيرة عندما يتم تنفيذ تفاصيل مثل معالجة XML وسياق الاستجابة بشكل غير صحيح في SAML. يسرد دليل أمان OWASP SAML مناطق التحكم الرئيسية للمصادقة. استخدم تطبيقًا تم صيانته بشكل صحيح بدلاً من كتابة البروتوكول من البداية.
إعداد خطة التشغيل لتجديد الشهادة أو تغيير مفاتيح الموفر. نظرًا لأن خطأ التكوين قد يمنع جميع الموظفين من تسجيل الدخول، فيجب أن تكون هناك طريقة استرداد محدودة وقابلة للتدقيق. لا ينبغي أن تتحول هذه الطريقة إلى باب خلفي عام يتجاوز سياسة تسجيل الدخول العادية بسهولة.
قائمة القبول المؤسسي
- المؤسسة الصحيحة والمنظمة الخاطئة والاستجابة القديمة.
- يبدو أن هويتين مختلفتين هما نفس البريد الإلكتروني.
- الموظف الجديد وتغيير الدور وانتهاء العمل.
- انقطاع مزود الهوية واستبدال الشهادة.
- إغلاق الجلسة الحالية وإعادة المصادقة.
- تحكم منفصل في إذن إجراءات المسؤول.
عند إضافة نطاق SSO إلى مشروع برنامج مخصص ، لا تكتب عبارة "تسجيل دخول المؤسسة" فقط. يجب أن تكون مطابقة الهوية وإدارة الأدوار ومدة الجلسة وإزالة الوصول مقاييس تسليم منفصلة. وبالتالي، لا يكتمل التكامل عندما يتمكن الموظف من تسجيل الدخول، ولكن عندما يتمكن من العمل بأمان مع الوصول الصحيح.