Каков наиболее элегантный и эффективный способ предоставления AAA веб-службам с использованием шлюза WS и LDAP?

Question

Я ищу лучший способ обеспечить авторизацию, аутентификацию и аудит для веб-сервисов. Я буду использовать устройство шлюза веб-службы, развернутое в DMZ, и за брандмауэром будет находиться экземпляр LDAP в качестве хранилища пользователей. Как это должно быть построено?

ура

KA

Обновление Как указано в ответе ниже, LDAP не идеален для аудита. Сейчас мы смотрим на вызов нашей CRM-системы для этой функции, так как мы можем проверить использование клиентом.

Answer 1

Аутентификация довольно стандартная. При попытке подтвердить имя пользователя и пароль сначала свяжитесь как пользователь с привилегией видеть всех пользователей и найдите запись с предоставленным именем пользователя в соответствующем поле (вероятно, "uid"). Как только вы нашли запись, получите ее DN и попробуйте связать эту запись, используя предоставленный пароль.

Авторизация обычно обрабатывается либо с помощью "динамических групп", где у вас есть многозначный атрибут в каждом пользовательском объекте, который говорит, какие привилегии имеет пользователь, либо с помощью "статических групп", где у вас есть объекты класса, напоминающего "groupOfNames", и стик DN всех членов в атрибуте "member".

Проводите одитинг так, как вам нравится. LDAP, вероятно, не лучший способ сохранить данные аудита. Вы можете поместить его в базу данных, если хотите, или просто использовать системный журнал.