Επιλέξτε μια μέθοδο ελέγχου ταυτότητας

Ο έλεγχος ταυτότητας απαντά σε δύο ξεχωριστές ερωτήσεις:

1. Μέθοδος περιόδου σύνδεσης: πώς το MRBS αποκτά και θυμάται την ταυτότητα χρήστη.
2. Μέθοδος ελέγχου ταυτότητας: πώς το MRBS επαληθεύει τα διαπιστευτήρια.

Από προεπιλογή, χρησιμοποιούνται συνεδρίες PHP και έλεγχος ταυτότητας μέσω βάσης δεδομένων:

$auth["session"] = "php";
$auth["type"] = "db";

Επίπεδα πρόσβασης

Το MRBS διακρίνει τους επισκέπτες που δεν έχουν συνδεθεί, τους πιστοποιημένους χρήστες και τους διαχειριστές. Ο έλεγχος ταυτότητας εξακριβώνει ποιος είναι ο χρήστης, ενώ η ρύθμιση παραμέτρων ή η επιλεγμένη μέθοδος καθορίζει το επίπεδο πρόσβασής του.

Διαθέσιμες μέθοδοι στην 1.12.2

Μέθοδος	Χρησιμοποιήστε όταν
db	Το MRBS θα πρέπει να διαχειρίζεται τους δικούς του χρήστες και κωδικούς πρόσβασης
db_ext	Οι χρήστες αποθηκεύονται σε άλλη βάση δεδομένων SQL
ldap	Ο οργανισμός διαθέτει LDAP ή Active Directory
imap, imap_php, pop3, smtp	Ένας διακομιστής αλληλογραφίας επαληθεύει τα διαπιστευτήρια
cas	Ο οργανισμός χρησιμοποιεί υπηρεσία ενιαίας σύνδεσης CAS
saml	Ένας πάροχος ταυτότητας SAML είναι διαθέσιμος μέσω του SimpleSAMLphp
joomla, wordpress, wix	Το MRBS πρέπει να χρησιμοποιεί την ταυτότητα χρήστη από έναν υπάρχοντα ιστότοπο
config	Αρκεί μια μικρή, τοπικά διαμορφωμένη λίστα χρηστών
ext	Ένα αξιόπιστο εξωτερικό πρόγραμμα εκτελεί επαλήθευση
none	Δεν απαιτείται επαλήθευση διαπιστευτηρίων

Warning

Μην επιλέξετε μια μέθοδο ελέγχου ταυτότητας μόνο επειδή ενεργοποιείται εύκολα. Εξετάστε ποιο σύστημα διαχειρίζεται τους κωδικούς πρόσβασης και τον κύκλο ζωής των λογαριασμών, καθώς και την ασφάλεια της μεταφοράς, την αντιστοίχιση διαχειριστών και τις διαδικασίες ανάκτησης.

Οδηγός απόφασης

• Για αυτόνομη εγκατάσταση, ξεκινήστε με έλεγχος ταυτότητας βάσης δεδομένων.
• Για έναν κεντρικά διαχειριζόμενο εταιρικό κατάλογο, χρησιμοποιήστε LDAP.
• Για μια ήδη καθιερωμένη υπηρεσία ενιαίας σύνδεσης, ανατρέξτε στους εξωτερικούς παρόχους ταυτότητας.
• Αποφύγετε το config για μεγάλες εγκαταστάσεις ή εγκαταστάσεις που έχουν πρόσβαση στο διαδίκτυο.
• Χρησιμοποιήστε το none μόνο όταν οι ενέργειες κράτησης πρέπει σκόπιμα να είναι διαθέσιμες χωρίς έλεγχο ταυτότητας και άλλα μέτρα παρέχουν επαρκή προστασία.

Δοκιμή πριν από την κυκλοφορία

Επαληθεύστε την επιτυχή και ανεπιτυχή σύνδεση, αποσύνδεση, λήξη περιόδου σύνδεσης, απενεργοποιημένους λογαριασμούς, αντιστοίχιση διαχειριστή και συμπεριφορά όταν ο πάροχος ταυτότητας δεν είναι διαθέσιμος.

Τεκμηριώστε μια διαδικασία ανάκτησης, ώστε ένα σφάλμα στη ρύθμιση του παρόχου ταυτότητας να μην αποκλείσει οριστικά όλους τους διαχειριστές.