Проектирование системы единой аутентификации

Single Sign On — механизм единого входа в систему или в приложение, принцип работы которого состоит в распознавании любого интерфейса процесса аутентификации и автоматического заполнения формы ввода пароля для каждого корпоративного приложения. Другими словами, решения на основе SSO осуществляют аутентификацию во все приложения вместо пользователя, при этом исключают необходимость запоминания множества паролей и сокращают время доступа к приложениям. Ключевыми особенностями таких решений являются быстрая реакция на действия пользователя и отсутствие внесения каких-либо сценариев или изменений в существующие процессы аутентификации приложений [18].

Важно отметить, что внедрение системы единого входа привносит большее разделение между процессами идентификации и аутентификации пользователей с одной стороны и авторизацией пользователей с другой.

Проектирование технологии единого входа может пойти по двум направлениям в зависимости от этапа, на котором происходит переход к сервису идентификации:

«незатребованная» или инициированная идентификационным сервисом идентификация и аутентификация (англ. «unsolicited»),.

«затребованная» или инициированная сервсисом-поставщиком идентификация и аутентификация аутентификация (англ. «unsolicited») [19].

В перовом случае пользователь посещает идентификационный сервис и аутентифицирован в нем. Затем при обращении пользователем к Серису-поставщику идентифицирующий сервис отправляет данные с утверждениями о том, что пользователь идентифицирован, аутентифицирован и другой необходимой информацией о пользователе, после чего пользователь будет успешно авторизован в Сервисе-поставщике Второй случай — это сценарий, в котором при использовании Сервсиа-поставщика происходит перенаправление пользователя к идентифицирующему сервису для установления его «личности». В случае положительного ответа от идентификационного сервиса, SP авторизует пользователя в системе. К данному сценарию можно отнести активно используемую на многих веб-сайтах возможность войти в систему при помощи социальной сети.

В пункте 1.2.5 уже были упомянуты основные компоненты, которые в совокупности представляют собой систему единого входа. Перечислим их еще раз:

• — идентификационный сервер,
• — сервер-провайдер (любой Сервис из описанных в данной работе),
• — безопасное соединение протокол взаимодействия между IdP и SP.

Также к участникам системы, без которых она не представляется полноценной, является клиент и непосредственно сам пользователь описанный по введении Сервисов.

Исходные данные к задаче проектирования системы единого входа Как уже было описано во введении, существует несколько Сервисов, каждый из которых имеет выход в сеть Интернет. Иными словами — это веб-сайты, предоставляющие услуги в сфере распространения различного вида литературы.

Основной целевой аудиторией каждого из представленных сайтов являются внешние пользователи.

Каждая из систем абсолютно автономна и независима от любой другой из описанных.

В каждой из систем действует ряд своих бизнес-процессов. В частности, данными бизнес-процессами полностью определяется и политика разграничения прав доступа к Сервисам. Это значит, что каждый пользователь обладает рядом прав, которыми его наделил Сервис в соответствии с существующими бизнес-правилами данного Сервиса.