Обзор

Предприятиям, использующим критически важные приложения на платформах .NET и ASP.NET Core, требуется решение для управления идентификацией, обеспечивающее следующие преимущества: безопасная централизованная аутентификация вместе с автоматизированное управление жизненным циклом пользователейПо мере роста портфеля приложений многие организации полагаются на аутентификацию, специфичную для каждого приложения, и ручное управление пользователями, что приводит к фрагментированному процессу входа в систему, увеличению административных издержек и повышению рисков безопасности.

Этот пример использования демонстрирует, как реализовать Единая авторизация (SSO) в .NET с Резервирование на основе SCIM Это позволяет организациям централизовать аутентификацию, стандартизировать контроль доступа и автоматизировать управление жизненным циклом идентификационных данных во всех приложениях ASP.NET. Благодаря объединению SSO и SCIM, организации получают единую масштабируемую систему управления идентификацией, которая улучшает пользовательский опыт, повышает безопасность и соответствует требованиям законодательства.

Предпосылки

В клиентской среде используется одно или несколько приложений ASP.NET или ASP.NET Core, доступ к которым имеют сотрудники, партнеры или внешние пользователи. В настоящее время каждое приложение управляет аутентификацией независимо или использует непоследовательные механизмы аутентификации, что приводит к множеству запросов на вход в систему и фрагментированному контролю доступа.

Создание, обновление и удаление учетных записей пользователей осуществляется вручную или полуавтоматически, без использования стандартизированного протокола предоставления доступа. Хотя организация намерена перейти к централизованному управлению идентификацией и доступом (IAM), аутентификация и управление жизненным циклом пользователей пока не унифицированы в экосистеме приложений .NET.

В данной ситуации возникает явная потребность в внедрении централизованной аутентификации с использованием единого входа (SSO) и автоматизации управления жизненным циклом пользователей через SCIM.

Условия проведения

По мере роста числа .NET-приложений и пользователей организация сталкивалась с растущей сложностью управления идентификацией как с точки зрения бизнеса, так и с технической точки зрения.

Деловые вызовы

• Многократный вход в систему снижает производительность пользователей.
• Медленное подключение из-за ручной настройки доступа.
• Задержка с высадкой из самолета увеличивает риски для безопасности.
• Высокие эксплуатационные расходы ИТ-инфраструктуры, связанные с управлением доступом к конкретным приложениям.
• Ограниченная прозрачность в отношении доступа к приложению и его использования.

Технические проблемы

• Раздельная реализация аутентификации для всех приложений ASP.NET.
• Отсутствует централизованная аутентификация или управление сессиями.
• Отсутствие стандартизированных процедур предоставления и отзыва прав доступа пользователям.
• Несоответствие атрибутов пользователя, ролей и прав доступа.
• Риск наличия устаревших или "осиротевших" учетных записей пользователей.
• Ограничения масштабируемости возникали по мере роста приложений и числа пользователей.

Наше решение

Компания miniOrange внедрила решение корпоративного уровня для управления идентификацией и доступом. Единый вход (SSO) в .NET для централизованной аутентификации рядом Предоставление ресурсов на основе SCIM для автоматизированного управления жизненным циклом пользователей.Этот унифицированный подход позволил решить проблемы доступа во время выполнения и управления жизненным циклом идентификационных данных в экосистеме .NET.

Единая авторизация (Single Sign-On) на .NET

Единый вход (SSO) был реализован с использованием SAML 2.0, OAuth 2.0 и OpenID Connect, что позволило обеспечить централизованную аутентификацию через единого корпоративного поставщика идентификационных данных (IdP). Пользователи проходят аутентификацию один раз, используя корпоративные учетные данные, и получают беспрепятственный доступ ко всем авторизованным приложениям ASP.NET. Безопасная проверка токенов, авторизация на основе утверждений и управление доступом на основе ролей обеспечивают согласованное применение политик безопасности во всех приложениях.

Предоставление пользователей SCIM

Система SCIM-управления автоматизировала создание, обновление и удаление учетных записей пользователей во всех приложениях .NET. Идентификаторы пользователей, их атрибуты и назначения ролей синхронизируются практически в режиме реального времени между поставщиком идентификации и приложениями, обеспечивая точное соответствие доступа текущему статусу пользователя. Это исключает необходимость ручного администрирования и устраняет риск устаревшего или избыточного доступа.

Вместе SSO и SCIM обеспечивают централизованное управление идентификацией как для аутентификации, так и для управления жизненным циклом пользователя.

движение

1. Пользователь пытается получить доступ к защищенному приложению .NET.
2. Приложение перенаправляет пользователя на корпоративный поставщик идентификации.
3. Пользователь проходит аутентификацию, используя корпоративные учетные данные.
4. IdP выдает защищенный токен аутентификации.
5. miniOrange проверяет токен и устанавливает сессию приложения.
6. SCIM создает или обновляет учетные записи пользователей и роли по мере необходимости.
7. Доступ предоставляется на основе централизованных правил и распределения ролей.

Преимущества

• Бесперебойная единая авторизация во всех приложениях ASP.NET.
• Ускоренное подключение и отключение сотрудников благодаря автоматизированной системе предоставления ресурсов.
• Снижение эксплуатационных расходов на ИТ за счет централизованного управления идентификацией.
• Единые политики аутентификации и авторизации.
• Повышенная безопасность благодаря немедленному аннулированию доступа.
• Улучшенное соответствие нормативным требованиям, готовность к аудиту и прозрачность доступа.
• Масштабируемая архитектура, поддерживающая будущий рост приложений.
• Удаление неактивных и «осиротевших» учетных записей пользователей.
• Повышение производительности пользователей и улучшение удобства доступа.

Результат

После внедрения организация добилась ощутимых улучшений в сфере безопасности и операционной деятельности:

• Скидка 70–80% в запросах на поддержку, связанных с идентификацией.
• Время, необходимое для регистрации новых пользователей, сократилось с нескольких дней до нескольких минут.
• Мгновенное снятие доступа во время увольнения без каких-либо зазоров для доступа.
• Повышение уровня безопасности за счет централизованной аутентификации и управления.
• Снижение административных издержек и повышение надежности системы.