CAS veya OAuth ile TOA?

Tek oturum açma için CAS protokolünü mü yoksa OAuth + ' ı mı kullanacağımı merak ediyorum .

Örnek Senaryo:

1. Bir Kullanıcı korumalı bir kaynağa erişmeye çalışır, ancak kimliği doğrulanmaz.
2. Uygulama kullanıcıyı SSO sunucusuna yönlendirir.
3. Beeing kimlik doğrulaması yaptığında kullanıcı TOA sunucusundan bir token alır.
4. TOA, orijinal uygulamaya yönlendirir.
5. Özgün uygulama, belirteci TOA sunucusuna karşı denetler.
6. Belirteç uygunsa, erişime izin verilir ve uygulama kullanıcı kimliğini bilir.
7. Kullanıcı oturumu kapatır ve tüm bağlı uygulamadan aynı anda oturumu kapatır (tek çıkış).

Anladığım kadarıyla CAS tam olarak ne için icat edildi. CAS istemcileri, kimlik doğrulama hizmetini kullanmak için CAS protokolünü uygulamalıdır. Şimdi istemci (tüketici) sitesinde CAS veya OAuth kullanmayı merak ediyorum. OAuth CAS'ın bu kısmının yerine mi geçiyor? Yeni fiili bir standart olarak OAuth tercih edilmeli midir? CAS'ın kullanıcı adı / şifre, OpenID, TLS sertifikaları gibi farklı yöntemleri destekleyen kimlik doğrulama kısmı için kullanımı kolay (Sun OpenSSO! Değil) değişimi var mı?

Bağlam:

• Farklı uygulamalar TOA sunucusunun kimlik doğrulamasına güvenmeli ve oturum benzeri bir şey kullanmalıdır.
• Uygulamalar GUI web uygulamaları veya (REST) ​​serileri olabilir.
• TOA sunucusuna, merkezi kullanıcı bilgi deposundan roller, e-posta ve benzeri gibi kullanıcı hakkında daha fazla bilgi almak için gereken bir kullanıcı kimliği sağlanmalıdır.
• Tek Oturum Açma mümkün olmalıdır.
• Çoğu istemci Java veya PHP ile yazılmıştır.

Az önce OAuth halefi olabilecek WRAP'ı keşfettim . Microsoft, Google ve Yahoo tarafından belirlenen yeni bir protokoldür.

ek

OAuth'un SSO'yu uygulamak için bile kullanılabileceği için kimlik doğrulama için tasarlanmadığını, yalnızca OpenID gibi bir TOA hizmetiyle birlikte öğrendiğini öğrendim.

OpenID bana "yeni CAS" gibi geliyor. CAS'da OpenID'nin bazı özellikleri vardır (tek çıkış gibi), ancak belirli bir senaryoda eksik parçaları eklemek zor olmamalıdır. Bence OpenID geniş kabul görüyor ve OpenID'yi uygulamalara veya uygulama sunucularına entegre etmek daha iyi. CAS'ın OpenID'yi de desteklediğini biliyorum, ancak CAS'ın OpenID ile dağıtılabilir olduğunu düşünüyorum.

OpenID, CAS için bir 'ardıl' veya 'yedek' değildir, farklıdır, niyette ve uygulamada.

CAS merkezileştiriyor kimlik doğrulamayı . Tüm (muhtemelen dahili) uygulamalarınızın kullanıcılardan tek bir sunucuya giriş yapmalarını istemelerini istiyorsanız kullanın (tüm uygulamalar tek bir CAS sunucusunu gösterecek şekilde yapılandırılmıştır).

OpenID merkezsizleşiyor kimlik. Uygulamanızın kullanıcıların istediği kimlik doğrulama hizmetine giriş yapmasını kabul etmesini istiyorsanız bunu kullanın (kullanıcı OpenID sunucu adresini sağlar - aslında 'kullanıcı adı' sunucunun URL'sidir).

Yukarıdakilerin hiçbiri yetkilendirme işlemlerini gerçekleştirmez (uzantılar ve / veya özelleştirme olmadan).

OAuth yetkilendirmeyi işler ancak geleneksel 'USER_ROLES tablosunun (kullanıcı erişimi) yerini almaz. Üçüncü taraflar için yetkilendirme yapar.

Örneğin, uygulamanızın Twitter ile entegre olmasını istiyorsunuz: bir kullanıcı verilerini güncellediğinde veya yeni içerik yayınladığında otomatik olarak tweet atmasına izin verebilir. Bir kullanıcı adına, şifresini almadan (bu kullanıcı için güvenli olmadığı açıktır) bazı üçüncü taraf hizmetlere veya kaynaklara erişmek istiyorsunuz. Uygulama Twitter'dan erişim ister, kullanıcı yetkilendirir (Twitter üzerinden) ve ardından uygulamanın erişimi olabilir.

Yani, OAuth Tek Oturum Açma (ya da CAS protokolünün yerine geçme) ile ilgili değildir. Yaklaşık değil sen kullanıcının erişebileceği neyi kontrol. Bu bırakılmasıyla ilgilidir kullanıcıyı nasıl kontrol etmek onların kaynaklarını üçüncü şahıslar tarafından erişilebilir. Çok farklı iki kullanım durumu.

Tanımladığınız bağlamda CAS muhtemelen doğru seçimdir.

[güncellenmiş]

Bununla birlikte, kullanıcının kimliğini güvenli bir kaynak olarak görürseniz, TOA'yı OAuth ile uygulayabilirsiniz. Temel olarak 'GitHub'a kaydolun' ve benzerleri bunu yapar. Muhtemelen protokolün orijinal amacı değil, ama yapılabilir. OAuth sunucusunu kontrol ederseniz ve uygulamaları yalnızca onunla kimlik doğrulaması yapacak şekilde kısıtlarsanız, bu TOA'dır.

Ancak oturumu kapatmayı zorlamanın standart bir yolu yoktur (CAS bu özelliğe sahiptir).

Bunu şu şekilde düşünme eğilimindeyim:

Kullanıcı kimlik doğrulama sistemini kontrol ediyorsanız / sahipseniz ve merkezi kimlik doğrulaması gerektiren heterojen sunucuları ve uygulamaları desteklemeniz gerekiyorsa CAS kullanın.

Sahip olmadığınız / desteklemediğiniz sistemlerden (yani Google, Facebook vb.) Kullanıcı kimlik doğrulamasını desteklemek istiyorsanız OAuth'u kullanın.

OpenID bir kimlik doğrulama protokolüdür, OAuth ve OAuth WRAP yetkilendirme protokolleridir. Hibrit OpenID uzantısı ile birleştirilebilirler .

Elinizdeki uygulamaya tam olarak uymasalar bile, çok fazla momentum (daha fazla destek, üçüncü tarafların katılımını sağlamak daha kolay) olan standartların üzerine inşa eden insanları görmeyi kesinlikle tercih ediyorum. Bu durumda, OAuth'un CAS değil momentumu vardır. OAuth ile yapmanız gerekenlerin tümünü veya en azından neredeyse tamamını yapabilmelisiniz. Gelecekte daha sonraki bir noktada, OAuth WRAP işleri daha da basitleştirmelidir (bir taşıyıcı jetonu kullanarak ve şifrelemeyi protokol katmanına iterek bazı değerli ödünleşimler yapar), ancak yine de bebeklik döneminde ve bu arada, OAuth muhtemelen işi iyi yapacak.

Sonuç olarak, OpenID ve OAuth kullanmayı seçerseniz, sizin ve sistemle entegre olması gereken herkes için daha fazla dil için daha fazla kitaplık vardır. Ayrıca, protokollere bakarak çok daha fazla göz küresine sahipsiniz ve olması gerektiği kadar güvenli olduklarından emin olun.

Bana göre, TOA ve OAuth arasındaki gerçek fark hibe, uygular besbelli Oauth bir sunucuya çünkü değil kimlik doğrulama vardır kimlik doğrulaması (OAuth istemci uygulaması ile gerçekleşmesi için google OpenID veya Facebook'a giriş yapmanız gerekir)

TOA'da, ileri düzey bir kullanıcı / sysadmin son kullanıcıya "TOA uygulaması" nda bir uygulamaya son erişim izni verir OAuth'ta, son kullanıcı "OAuth uygulaması" nda "verilerine" uygulama erişimi verir

Neden OAuth protokolünün bir TOA sunucusunun parçası olarak kullanılamadığını anlamıyorum. Hibe ekranını akıştan çıkarın ve OAuth sunucusunun destek db'den hibe aramasına izin verin.

Eski yayın, ancak bu yararlı olabilir:

CAS 3.5, oAuth'u İstemci ve Sunucu olarak destekleyecektir. Bkz. Https://wiki.jasig.org/display/CASUM/OAuth