Proveïdors d'identitat externs¶
MRBS 1.12.2 es pot integrar amb diversos sistemes d'identitat existents. Preferiu el mètode ja utilitzat i compatible amb la vostra organització.
CAS¶
Configureu l'amfitrió, el port i el context CAS i proporcioneu una ruta de certificat de CA de confiança.
$auth["type"] = "cas";
$auth['cas']['host'] = 'cas.example.org';
$auth['cas']['port'] = 443;
$auth['cas']['context'] = '/cas';
$auth['cas']['ca_cert_path'] = '/path/to/ca-chain.pem';
Mantingueu activada la validació del servidor en producció.
SAML¶
El suport SAML utilitza una instal·lació de SimpleSAMLphp existent. Configureu el seu camí absolut, la font d'autenticació i el mapa d'atributs:
$auth["type"] = "saml";
$auth['saml']['ssp_path'] = '/opt/simplesamlphp';
$auth['saml']['authsource'] = 'default-sp';
$auth['saml']['attr']['username'] = 'sAMAccountName';
Assigneu una identitat única i immutable al nom d'usuari d'MRBS. Proveu tant l'absència o el canvi d'atributs com el funcionament normal.
WordPress i Joomla¶
Aquests mètodes carreguen el CMS circumdant i reutilitzen els seus comptes i rols. Configureu la ruta d'instal·lació relativa i mapeu explícitament els rols d'usuari i administrador.
Les actualitzacions del CMS poden afectar el comportament d'integració. Proveu l'inici de sessió MRBS després de cada actualització de CMS.
Wix¶
La integració de Wix utilitza una clau d'API del lloc i una insígnia o informació de perfil. Manteniu les credencials de l'API fora del repositori i utilitzeu els permisos més restringits disponibles.
Base de dades externa¶
db_ext llegeix els usuaris d'una base de dades SQL independent. Configureu un compte de base de dades de només lectura dedicat quan sigui possible i seleccioneu el format de contrasenya correcte.
Programa extern¶
El mètode ext delega l'autenticació a un executable configurat. Tracteu el programa i tots els arguments com a elements sensibles per a la seguretat. Eviteu la interpolació de l'intèrpret d'ordres, restringiu els permisos del sistema de fitxers i no registreu mai les contrasenyes.
Llista de control de desplegament¶
- Verifiqueu el TLS del proveïdor d'identitat.
- Assigneu explícitament els administradors.
- Proveu el tancament i la caducitat de la sessió.
- Proveu usuaris desactivats i eliminats.
- Definiu el comportament durant el temps d'inactivitat del proveïdor.
- Mantingueu un procediment de recuperació per a errors de configuració.