跳转至

外部身份提供商

MRBS 1.12.2 可以与多种现有身份管理系统集成。应优先采用组织已经运行并提供支持的方式。

中科院

配置 CAS 主机、端口和上下文，并提供受信任的 CA 证书路径。

$auth["type"] = "cas";
$auth['cas']['host'] = 'cas.example.org';
$auth['cas']['port'] = 443;
$auth['cas']['context'] = '/cas';
$auth['cas']['ca_cert_path'] = '/path/to/ca-chain.pem';

在生产中保持服务器验证启用。

SAML

SAML 支持使用现有的 SimpleSAMLphp 安装。配置其绝对路径、认证源和属性映射：

$auth["type"] = "saml";
$auth['saml']['ssp_path'] = '/opt/simplesamlphp';
$auth['saml']['authsource'] = 'default-sp';
$auth['saml']['attr']['username'] = 'sAMAccountName';

将不可变的唯一身份映射到 MRBS 用户名。测试属性的缺失和变化以及成功路径。

WordPress 和 Joomla

这些方法加载周围的 CMS 并重用其帐户和角色。配置相对安装路径并显式映射用户和管理员角色。

CMS 升级可能会影响集成行为。每次 CMS 升级后测试 MRBS 登录。

维克斯

Wix 集成使用站点 API 密钥和徽章或个人资料信息。将 API 凭据保留在存储库之外，并使用最窄的可用权限。

外部数据库

db_ext 从单独的 SQL 数据库读取用户。尽可能配置专用的只读数据库帐户并选择正确的密码格式。

外部程序

ext 方法将身份验证工作传递给已配置的可执行文件。将程序和每个参数视为安全敏感的。避免 shell 插值，限制文件系统权限，并且从不记录密码。

推出清单

  • 验证身份提供者TLS。
  • 明确映射管理员。
  • 测试注销和会话过期。
  • 测试禁用和删除的用户。
  • 定义提供商停机期间的行为。
  • 保留配置错误的恢复过程。