Обмен технологиями

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

Обзор

Единый вход (SSO) — это механизм аутентификации, который позволяет пользователям входить в систему, используя одни учетные данные, в нескольких приложениях и веб-сайтах. Это означает, что пользователям нужно только один раз войти в систему для нескольких приложений или служб. Аутентификация обеспечивает доступ ко всем авторизованным службам.

На основе файлов cookie

Используйте механизм файлов cookie родительского домена, чтобы установить общий файл cookie под именем основного домена. Имя субдомена может прочитать этот файл cookie для подтверждения личности пользователя.
Этот метод подходит для единого входа между несколькими субдоменами одного и того же основного доменного имени, но он неприменим, если основные доменные имена различаются.
Преимущества: Простота реализации, подходит для нескольких поддоменов под одним и тем же именем основного домена.
Недостатки: не подходит для межосновных доменных имен, низкий уровень безопасности и уязвим для атак «человек посередине» и атак с использованием межсайтовых сценариев (XSS).

На основе токена (OAuth, JWT)

После аутентификации пользователя у поставщика удостоверений он или она получает токен (например, токен доступа или JWT в OAuth).
Токен хранится на стороне клиента (например, Cookie, LocalStorage) или на стороне сервера (например, сеанс). Когда пользователь обращается к другим приложениям, приложение использует токен для проверки личности пользователя.
Этот метод поддерживает междоменный доступ и более безопасен, поскольку токен можно зашифровать.

Преимущества: поддерживает междоменный доступ, токен можно зашифровать для передачи, что повышает безопасность; токен можно хранить в автономном режиме, что снижает нагрузку на сервер.
Недостатки: необходимо правильно управлять периодом действия и безопасностью токена, чтобы предотвратить утечку токена. Если JWT слишком длинный, это может повлиять на производительность.

Централизованные службы аутентификации (CAS, SAML)

Централизованная служба аутентификации служит единой точкой входа, и все приложения используют ее для аутентификации.
После того, как пользователь войдет на сервер CAS/SAML, сервер CAS/SAML сгенерирует билет или утверждение и передаст его приложению. Затем приложение будет использовать этот билет или утверждение для связи с сервером CAS/SAML для подтверждения. личность пользователя.
CAS и SAML — два широко используемых протокола централизованной аутентификации.

Преимущества: Предоставляет стандартизированные решения единого входа, легко интегрируемые и способные поддерживать множество различных приложений и сервисов.
Недостатки: Централизованные службы могут стать единой точкой отказа, а настройка и обслуживание сложны.

Распределенная сессия:

Используя общее хранилище сеансов (например, Redis, Memcached), все приложения могут получить доступ к одному и тому же хранилищу сеансов.
После того, как пользователь входит в любое приложение, информация о сеансе записывается в общее хранилище, и другие приложения могут определять статус пользователя, считывая этот общий сеанс.

Преимущества: Улучшенная масштабируемость и доступность приложений. Данные сеанса можно совместно использовать в кластере.
Недостатки: Повышенная зависимость от общих систем хранения, сбой системы хранения повлияет на весь процесс SSO.

Облегченный протокол доступа к каталогам (LDAP)

LDAP используется для хранения и получения информации о пользователях и группах в сети, поддерживая единый вход.
Приложение проверяет личность пользователя, опрашивая сервер LDAP, избегая необходимости для каждого приложения хранить информацию о пользователе отдельно.

Преимущества: Простота управления и запроса пользовательской информации, подходит для крупных предприятий.
Недостатки: Относительно сложен в настройке и обслуживании, не подходит для небольших или временных проектов.

OAuth 2.0/OIDC

OAuth 2.0 — это платформа авторизации OpenID Connect (OIDC), построенная на основе OAuth 2.0 и предоставляющая функции аутентификации.
После того как пользователь входит на сервер авторизации, сервер авторизации выдает токены клиентскому приложению, и приложение использует эти токены для доступа к серверам ресурсов или подтверждения личности пользователя.

Преимущества: Стандартизированный интерфейс, простая интеграция сторонних приложений, поддержка нескольких режимов авторизации.
Недостатки: существует множество деталей реализации, и меры безопасности необходимо тщательно продумывать, могут возникнуть проблемы с чрезмерными разрешениями;

Керберос

Kerberos — это протокол сетевой аутентификации, особенно подходящий для внутренних сетевых сред предприятия и поддерживающий единый вход.
Kerberos использует механизм билетов (Ticket) для аутентификации пользователей и служб. После входа в систему пользователь получит серию билетов, которые можно использовать для доступа к другим службам в сети без необходимости повторного ввода пароля.

Преимущества: Высокая безопасность, подходит для внутренних сетей крупных предприятий, поддерживает несколько механизмов аутентификации.
Недостатки: Сложная конфигурация и высокие затраты на обслуживание, ограничены внутренними сетями и не подходят для Интернет-среды.