Когда использовать какой уровень защиты в Oracle Access Manager?
Когда мы должны использовать уровень защиты как исключенный?
Когда мы должны использовать уровень защиты как незащищенный / публичный?
В чем разница между исключенным и незащищенным / общедоступным ресурсом?
1 ответ
Уровни защиты применяются к ресурсам. Ресурс - это обычно URL-адрес, который вы хотите защитить, чтобы к нему можно было применить политику аутентификации. Поэтому, когда пользователь хочет получить доступ к этому ресурсу, он может быть аутентифицирован и авторизован, прежде чем будет предоставлен доступ к ресурсу. Существует 3 уровня защиты: защищенный, незащищенный и исключенный.
Теперь, чтобы ответить на ваш вопрос о том, какой уровень защиты использовать, вы будете использовать Защищенный уровень (который является наиболее распространенным вариантом использования), когда вы хотите защитить URL-адрес или ресурс приложения, предложив пользователю выполнить аутентификацию до того, как ему будет предоставлен доступ. ресурс. И политика аутентификации, и авторизация могут применяться к этому типу уровня защиты. Следующий уровень - незащищенный уровень - на этом уровне ресурсу предоставляется политика уровня проверки подлинности 0 (уровень незащищенности). Это похоже на анонимную схему аутентификации. Вы можете связать базовую политику авторизации для этого уровня, то есть все, что требуется для этого уровня. Как и в случае с защищенным уровнем, выполняется отключение сервера OAM для проверки возможности предоставления доступа к этому ресурсу (на незащищенном уровне). Таким образом, аудит и управление сеансами могут выполняться как на защищенном, так и на незащищенном уровне. Единственное отличие состоит в том, что если пользовательский сеанс истекает для ресурса с незащищенным уровнем, пользователь не должен проходить проверку подлинности, и пользователь может продолжать доступ к ресурсу как анонимный.
Третий уровень защиты - исключенный уровень защиты. Для любого доступа к ресурсу, который исключен, webgate не проверяет сервер OAM для этого ресурса, вместо этого доступ предоставляется сразу. Очевидно, что нет никаких политик Аутентификации и Авторизации, связанных с Исключенным ресурсом, и нет никакого управления сеансом или аудита. Если вы хотите, чтобы ресурс имел публичный доступ, вы можете предоставить исключенный уровень защиты. Вот документ Oracle, который предоставляет подробности.