Provedores de identidade externos¶

O MRBS 1.12.2 pode ser integrado a diversos sistemas de identidade existentes. Dê preferência ao método que sua organização já opera e mantém.

CAS¶

Configure o host, a porta e o contexto do CAS e forneça um caminho de certificado de CA confiável.

$auth["type"] = "cas";
$auth['cas']['host'] = 'cas.example.org';
$auth['cas']['port'] = 443;
$auth['cas']['context'] = '/cas';
$auth['cas']['ca_cert_path'] = '/path/to/ca-chain.pem';

Mantenha a validação do servidor habilitada na produção.

SAML¶

O suporte SAML usa uma instalação existente do SimpleSAMLphp. Configure seu caminho absoluto, fonte de autenticação e mapeamento de atributos:

$auth["type"] = "saml";
$auth['saml']['ssp_path'] = '/opt/simplesamlphp';
$auth['saml']['authsource'] = 'default-sp';
$auth['saml']['attr']['username'] = 'sAMAccountName';

Mapeie uma identidade única e imutável para o nome de usuário MRBS. Teste a ausência e alterações de atributos, bem como o caminho de sucesso.

WordPress e Joomla¶

Esses métodos carregam o CMS circundante e reutilizam suas contas e funções. Configure o caminho de instalação relativo e mapeie explicitamente as funções de usuário e administrador.

As atualizações do CMS podem afetar o comportamento de integração. Teste o login MRBS após cada atualização do CMS.

Wix¶

A integração Wix usa uma chave de API do site e um selo ou informações de perfil. Mantenha as credenciais da API fora do repositório e use as permissões mais restritas disponíveis.

Banco de dados externo¶

db_ext lê usuários de um banco de dados SQL separado. Configure uma conta de banco de dados dedicada somente leitura sempre que possível e selecione o formato de senha correto.

Programa externo¶

O método ext passa o trabalho de autenticação para um executável configurado. Trate o programa e cada argumento como sensíveis à segurança. Evite interpolação de shell, restrinja permissões do sistema de arquivos e nunca registre senhas.

Lista de verificação de implementação¶

Verifique o provedor de identidade TLS.
Mapeie administradores explicitamente.
Teste o logout e a expiração da sessão.
Teste usuários desabilitados e removidos.
Defina o comportamento durante o tempo de inatividade do provedor.
Mantenha um procedimento de recuperação para erros de configuração.