Przejdź do treści

Zewnętrzni dostawcy tożsamości

MRBS 1.12.2 można zintegrować z kilkoma istniejącymi systemami tożsamości. Najlepiej wybrać metodę, którą organizacja już stosuje i obsługuje.

CAS

Skonfiguruj hosta, port i kontekst CAS oraz podaj ścieżkę certyfikatu zaufanego urzędu certyfikacji.

$auth["type"] = "cas";
$auth['cas']['host'] = 'cas.example.org';
$auth['cas']['port'] = 443;
$auth['cas']['context'] = '/cas';
$auth['cas']['ca_cert_path'] = '/path/to/ca-chain.pem';

Pozostaw włączoną weryfikację serwera w środowisku produkcyjnym.

SAML

Obsługa SAML wykorzystuje istniejącą instalację SimpleSAMLphp. Skonfiguruj jego ścieżkę bezwzględną, źródło uwierzytelniania i mapowanie atrybutów:

$auth["type"] = "saml";
$auth['saml']['ssp_path'] = '/opt/simplesamlphp';
$auth['saml']['authsource'] = 'default-sp';
$auth['saml']['attr']['username'] = 'sAMAccountName';

Przypisz niezmienną, unikalną tożsamość do nazwy użytkownika MRBS. Sprawdź brak i zmiany atrybutów, a także pomyślną ścieżkę.

WordPressa i Joomli

Metody te ładują otaczający CMS i ponownie wykorzystują jego konta i role. Skonfiguruj względną ścieżkę instalacji i jawnie mapuj role użytkowników i administratorów.

Aktualizacje systemu CMS mogą mieć wpływ na zachowanie integracji. Przetestuj logowanie MRBS po każdej aktualizacji CMS.

Wix

Integracja z Wix wykorzystuje klucz API witryny oraz informacje o plakietce lub profilu. Trzymaj dane uwierzytelniające API poza repozytorium i korzystaj z najwęższych dostępnych uprawnień.

Zewnętrzna baza danych

db_ext odczytuje użytkowników z oddzielnej bazy danych SQL. Jeśli to możliwe, skonfiguruj dedykowane konto bazy danych tylko do odczytu i wybierz prawidłowy format hasła.

Program zewnętrzny

Metoda ext przekazuje prace uwierzytelniające do skonfigurowanego pliku wykonywalnego. Traktuj program i każdy argument jako ważny dla bezpieczeństwa. Unikaj interpolacji powłoki, ograniczaj uprawnienia do systemu plików i nigdy nie rejestruj haseł.

Lista kontrolna wdrożenia

  • Zweryfikuj dostawcę tożsamości TLS.
  • Administratorzy map jawnie.
  • Testowe wylogowanie i wygaśnięcie sesji.
  • Testuj wyłączonych i usuniętych użytkowników.
  • Zdefiniuj zachowanie podczas przestoju dostawcy.
  • Zachowaj procedurę odzyskiwania błędów konfiguracyjnych.