Обзор

В процессах аутентификации OAuth 2.0 и OpenID Connect (OIDC) токены доступа намеренно имеют короткий срок действия, чтобы ограничить риски в случае компрометации токена. Поддержка обновления токенов позволяет плагину miniOrange OAuth & OpenID Connect SSO для Joomla незаметно получать новый токен доступа в фоновом режиме после истечения срока действия текущего, поддерживая сессию пользователя без необходимости повторного входа в систему. Это дает организациям возможность устанавливать строгие сроки действия токенов в качестве меры безопасности, одновременно обеспечивая бесперебойную работу для конечных пользователей.

Предпосылки

Для включения поддержки обновления токенов в Joomla вам потребуется следующее:

Расширение miniOrange OAuth Client для Joomla

Скачать расширение

Вызов

Когда срок действия токена доступа на веб-сайте Joomla истекает в середине сессии, пользователь внезапно выходит из системы и перенаправляется на страницу входа. В рабочих процессах, требующих длительного взаимодействия, таких как редактирование контента, заполнение длинных форм или обработка транзакций, такое внезапное прерывание может привести к потере прогресса и разочарованию пользователя.

Инстинктивный обходной путь в виде продления срока действия токенов доступа сопряжен со своим риском: перехваченный токен с более длительным сроком действия остается уязвимым для злоумышленников в течение более длительного периода времени. Таким образом, организации оказываются между двумя нежелательными последствиями: частыми сбоями при входе в систему или ослаблением безопасности токенов, и стандартная конфигурация не позволяет найти компромиссное решение.

Реализация

Плагин miniOrange OAuth & OpenID Connect SSO полностью обрабатывает обновление токенов в фоновом режиме, требуя однократной настройки как на стороне плагина, так и на стороне поставщика идентификационных данных.

Шаг 1: Завершите первоначальную настройку OAuth/OIDC между плагином miniOrange и вашим поставщиком идентификации на всех соответствующих веб-сайтах Joomla.

Шаг 2: В вашем поставщике удостоверений включите выдачу токенов обновления для клиента OAuth. В Keycloak разрешите тип предоставления refresh_token и включите автономный доступ . В Azure AD включите область действия offline_access в запрос авторизации.

Шаг 3: В панели конфигурации плагина miniOrange перейдите в раздел «Дополнительные функции» и установите тип предоставления прав как «Предоставление токена обновления».

Шаг 4: Установите пороговое значение срока действия токена доступа — время буфера до истечения срока действия, по истечении которого плагин инициирует фоновый запрос на обновление.

Шаг 5: Определите время жизни токена обновления у вашего поставщика идентификации/провайдера, чтобы установить максимальную продолжительность сессии до необходимости полной повторной аутентификации в соответствии с политикой безопасности вашей организации.

Шаг 6: Сохраните и проверьте, войдя в систему и дождавшись истечения срока действия токена доступа, убедившись, что сессия остается активной без запроса подтверждения от пользователя.

Заключение

Благодаря поддержке токенов обновления организациям больше не нужно идти на компромисс между безопасностью и удобством использования. Короткий срок действия токенов доступа остается обязательным стандартом безопасности, в то время как пользователи получают непрерывный доступ к приложениям Joomla на протяжении всей своей рабочей сессии. Команды безопасности и ИТ-специалисты также сохраняют детальный контроль над политикой истечения срока действия токенов обновления и продолжительностью сессии, что гарантирует полное соответствие решения требованиям соответствия организации.

Дополнительные ресурсы

1. Единая авторизация SAML для Joomla
2. Защита доступа посредством разделения доступа — протокол OAuth в Joomla!
3. SAML против OAuth в Joomla: что выбрать?
4. Ознакомьтесь с нашей документацией.