5.8 Управление доступом по схеме однократного входа с авторизацией sso

Исторически распределенные системы собраны из компонентов, которые функционируют, как независимые домены безопасности. Например, пользователь выполнил аутентификацию в первичном домене и начинает там работать. Из первичного домена пользователь имеет возможность вызывать сервисы других доменов, которые называются вторичными. При вызове сервиса вторичного домена, пользователю необходимо пройти аутентификацию во вторичном домене. Это и проиллюстрировано на рисунке 18.

Технология однократного входа Single-Sign-on (SSO) позволяет избежать повторной процедуры аутентификации во вторичных доменах. Применение данного подхода позволяет:

- сократить время, которое пользователь тратит на аутентификацию в каждом домене;

- повысить безопасность за счет сокращения аутентификационной информации, которую необходимо запоминать пользователю;

- сократить время, которое тратит системный администратор на управление пользователями;

- сократить нагрузку на серверы доступа за счет уменьшения количества процедур аутентификации;

Рисунок 18 - Традиционный подход ко входу пользователя в сложную систему

Последний пункт особенно важен в грид среде. Подразумевается, что в грид работают тысячи, а то и миллионы пользователей, и если каждому пользователю придется каждый раз аутентифицироваться на отдельном ресурсе, то на сервер ложится очень большая нагрузка по обработке аутентификационных данных. Поэтому обеспечение единого входа в грид среде является очень важной проблемой.

Информация, предоставленная пользователем при аутентификации в первичном домене, затем используется для аутентификации пользователя во всех вторичных доменах прозрачно от пользователя. Этого можно достичь несколькими способами:

1) Информация, предоставленная пользователем во время аутентификации в первичном пользователе, непосредственно передается во вторичный домен.

2) Косвенно информация, предоставленная пользователем, используется для загрузки другой информации, которая и используется для аутентификации.

3) При аутентификации в первичном домене сразу же создаются сессии во все вторичные домены.

Первый подход также известен как делегирование полномочий, согласно которому вторичный домен доверяет первичному домену и принимает переданную ей информацию (см. рисунок19).

Рисунок 19 - Единый вход пользователя в сложную систему

Потенциальные недостатки SSO:

- попытка первоначальной реализации может быть сложной, в зависимости от количества существующих несопоставимых систем;

- скомпрометированные входные данные (credentials) пользователя могут привести к доступу к большому числу приложений;

- производитель либо не использует существующий открытый стандарт, либо использует стандарты, несовместимые со стандартами, используемыми другими приложениями.

Сложность обеспечения SSO связана с функционированием в средах с независимыми архитектурами безопасности, директориями и т. д. для каждой из существующих платформ приложений. Для поддержки SSO необходимо заставить все приложения использовать общую инфраструктуру безопасности для сквозной аутентификации между приложениями. Это требует некоторого общего формата для представления аутентификационной информации и параметров доступа пользователя (credentials), которые могут понять и правильно обработать (accept) все приложения.

Применение метода делегирования полномочий ставит вопрос обмена данными об аутентификации и авторизации между защищенными доменами. Для решения этой проблемы консорциум OASIS [20] разработал стандарт SAML (Security Assertion Markup Language - язык разметки подтверждения безопасности), - основанный на языке XML стандарт.

Схему однократного входа SSO поддерживают такие средства, как протокол LDAP (Lightweight Directory Access Protocol), протокол SSL (Secure Sockets Layer), система Kerberos и инфраструктура управления открытыми ключами PKI, а также средства интеграции сервисов каталогов и безопасности. Эти средства и технологии образуют вместе фундамент для применения схемы однократного входа SSO при обработке данных системами, использующими различные комбинации клиентов, серверов, сервисов и приложений.

Сегодня ряд технологий безопасности - межсетевое экранирование, виртуальные защищенные сети VPN, шифрование файлов, аппаратная реализация операционных систем и др. - могут действовать независимо от решения SSO. Со временем многие из этих технологий будут становиться кандидатами на более тесную интеграцию с SSO-решениями.