Обзор

Не каждый пользователь, посещающий ваш сайт на Joomla, должен видеть один и тот же контент. На сайте с платным доступом к контенту могут быть зарезервированы определенные статьи для платных подписчиков. Внутренний портал может не предоставлять доступ к страницам отдельных отделов для всех сотрудников. Платформа сообщества может предоставлять модераторам доступ к разделам, недоступным для обычных пользователей.

Joomla решает все эти задачи с помощью встроенной системы контроля доступа, которая позволяет ограничивать доступ к страницам, статьям, категориям и пунктам меню в зависимости от группы пользователей. Недостающим звеном является автоматическое распределение пользователей по соответствующим группам. Когда кто-то входит в систему через OAuth SSO, расширение miniOrange Joomla OAuth Client считывает роли, назначенные этому пользователю в поставщике идентификации, и мгновенно сопоставляет их с соответствующими группами пользователей Joomla. После этого вступает в действие ACL Joomla, обеспечивая соблюдение уже установленных вами ограничений на контент. Вы управляете ролями в одном месте, и доступ ко всему вашему сайту Joomla автоматически регулируется.

Предпосылки

Для включения управления доступом на основе ролей с использованием OAuth SSO на веб-сайте Joomla вам потребуется следующее:

Расширение miniOrange OAuth Client для Joomla

Скачать расширение

Вызов

Система контроля доступа Joomla мощная, но она хорошо работает только тогда, когда пользователи входят в нужные группы. Без сопоставления ролей на основе единого входа (SSO) этот процесс дает сбой по нескольким распространенным причинам:

• Кто-то должен вручную назначать группы. Каждый раз, когда новый пользователь регистрируется или входит в систему через SSO, администратор должен проверить его учетную запись и добавить его в правильную группу, прежде чем он сможет получить доступ к нужному контенту. Это выполнимо для небольшого количества пользователей, но нецелесообразно для сотен.
• Роли перестают синхронизироваться. Если роль пользователя меняется в системе идентификации, истекает срок действия подписки, сотрудник переходит в другую команду или участник получает повышение, его группа в Joomla остается неизменной до тех пор, пока администратор не заметит это и не обновит. Это означает, что пользователи либо сохраняют доступ, который они должны были потерять, либо лишаются доступа к контенту, на который теперь имеют право.
• Защищенный контент становится доступным. Когда распределение прав между группами несогласовано, статьи или страницы с ограниченным доступом легко могут стать доступными для более широкой аудитории, чем предполагалось. Это не всегда очевидно, пока кто-нибудь не сообщит об этом.
• Управление правами на редактирование становится сложной задачей. Доступ к просмотру — это лишь часть картины. Не менее важно и то, кто может создавать статьи, редактировать существующий контент или публиковать страницы. Без надежного управления членством в группах сложно проверить права на редактирование и еще сложнее отозвать их при изменении роли пользователя.

Реализация

Настройка включает в себя конфигурирование сопоставления ролей в расширении miniOrange, а затем использование стандартных инструментов ACL Joomla для применения ограничений к вашему контенту.

1. Подключение к поставщику идентификации: Настройте поставщика идентификации в расширении miniOrange OAuth Client, используя стандартную конфигурацию OAuth 2.0 или OIDC. Убедитесь, что области действия OAuth включают в себя все утверждения, содержащие информацию о ролях или группах для вашего поставщика. В Entra ID это может быть утверждение группы; в Okta — утверждение роли. Именно эти данные расширение будет использовать для назначения групп Joomla при входе в систему.

2. Сопоставление ролей поставщика идентификации с группами Joomla: В настройках сопоставления ролей расширения сопоставьте каждую роль поставщика идентификации с соответствующей ей группой пользователей Joomla. Например, роль «Премиум-участник» в поставщике идентификации соответствует группе Joomla, имеющей доступ к премиум-контенту. Роль «Редактор» соответствует группе с правами на создание и редактирование статей. Когда пользователь входит в систему через SSO, расширение считывает его текущие роли, назначает соответствующие группы Joomla и автоматически обновляет эти назначения, если что-либо изменилось с момента его последней сессии.

3. Ограничение доступа к статьям и категориям в Joomla: Благодаря надежному назначению групп через SSO, вы можете использовать менеджер контента Joomla для ограничения доступа к статьям и категориям обычным способом. Установите уровень доступа для просмотра каждой статьи или категории в соответствии с соответствующей группой пользователей. Доступ к контенту для премиум-пользователей ограничен группой «Премиум-пользователи», к внутренней документации — группой «Сотрудники», а общедоступный контент остается доступным для всех. Никакого пользовательского кода не требуется; все это обрабатывается через стандартный интерфейс Joomla.

4. Ограничение доступа к пунктам меню и модулям: Контроль доступа касается не только статей. В Joomla каждому пункту меню и модулю можно присвоить свой уровень доступа, поэтому навигационные ссылки и содержимое боковой панели будут отображаться только тем пользователям, которым разрешен их просмотр. Это предотвращает ситуацию, когда страница с ограниченным доступом технически недоступна, но все еще видна в меню пользователям, которые не могут ее открыть.

5. Настройка прав редактирования и создания контента: Если на вашем сайте есть пользователи, которые создают или управляют контентом, ACL Joomla позволяет контролировать, кто может создавать, редактировать, публиковать или удалять контент в определенных категориях. Группам, сопоставленным с ролями участников или редакторов в поставщике идентификации, могут быть предоставлены соответствующие разрешения в назначенных им областях. Поскольку членство в группах поддерживается в актуальном состоянии благодаря сопоставлению ролей SSO, эти права на создание контента автоматически корректируются при следующем входе пользователя в систему после изменения его роли.

6. Проверка доступа для разных ролей: Перед запуском в работу войдите в систему с помощью тестовых учетных записей, представляющих каждый уровень ролей, и убедитесь, что в менеджере пользователей Joomla назначены правильные группы. Проверьте, что статьи и категории с ограниченным доступом недоступны для учетных записей с более низкими привилегиями, и что пункты меню и модули отображаются корректно в зависимости от группы вошедшего в систему пользователя. Также протестируйте крайние случаи: пользователей с несколькими ролями, пользователей без назначенных ролей и пользователей, чьи роли изменились с момента последнего входа в систему.

Заключение

Система контроля доступа Joomla берет на себя основную работу по ограничению доступа к контенту, но для ее корректной работы необходима точная информация о членстве в группах. Подключив вход через единый вход (SSO) к назначению групп с помощью расширения miniOrange OAuth Client, ваш поставщик идентификации становится надежным источником достоверной информации о том, кто куда относится. Администраторы настраивают правила доступа один раз, и нужные пользователи автоматически получают нужный доступ при каждом входе в систему.

Дополнительные ресурсы

1. Защита доступа посредством разделения доступа — протокол OAuth в Joomla!
2. SAML против OAuth в Joomla: что выбрать?
3. Ознакомьтесь с нашей документацией.