Мне нужно решение, обеспечивающее единый вход для различных веб-сайтов в разных доменах для организации. Мне не нужно реализовывать это самому, мне нужна более четкая картина, что именно я должен искать.
На самом деле я не совсем уверен, правильно ли я использую этот термин - классическое определение SSO выглядит так: «после входа в систему у вас есть доступ к нескольким приложениям». Я ищу то, что позволяет иметь единый набор учетных данных для каждого пользователя для нескольких сайтов и веб-сервисов. Это не должно зависеть от внешних объектов, поэтому должна быть возможность запуска поставщика удостоверений на сервере организации.
Прежде чем я начал проводить исследования, я был убежден, что у меня есть базовое представление о том, как это работает. Прочитав несколько часов, я должен признать, что сбит с толку. Некоторые статьи в Интернете предупреждают, что SSO не следует путать с такими вещами, как OpenID. Однако в других местах OpenID Connect провозглашается будущим приложений единого входа. Он основан на протоколе OAuth2, который, как утверждается, настолько небезопасен, что один главный разработчик с криком убегает, но, похоже, все еще превратился в квазиотраслевой стандарт. И т.д., чем больше я читал, тем больше я запутался.
Также я не совсем уверен, может ли поставщик удостоверений обрабатывать разные уровни доступа или их нужно обрабатывать на уровне приложения. Мне нужно поместить пользователей в разные группы (им нужны разные разрешения на веб-сайтах — я думаю, какое разрешение относится к той группе, которая должна обрабатываться на уровне приложения).
Итак, вот мой список желаний:
На этом этапе я был бы уже рад некоторым общим намекам («да, OpenID Connect — это билет» или что-то в этом роде).
OpenID — отличное решение. Здесь есть несколько разных идей. Первой идеей был OpenID 1.0, который создан для авторизации и только для авторизации. Но по некоторым практическим причинам компании перешли на OAuth2, который предоставляет доступ, и они объединяют оба в OpenID Connect или просто используют OAuth2 в качестве системы аутентификации. Для справки вы можете посмотреть, какие системы используются для подключения к облачным API: http://passportjs.org/guide/providers/
Посмотрите на Auth0 . In может обрабатывать аутентификацию, но также поддерживает авторизацию.
PS, я не аффилирован, но моя компания только что выбрала его, отсюда и подсказка
Хантерхоган