Översikt

Detta användningsfall beskriver implementeringen av attributbaserad användarinloggning i Drupal med hjälp av miniOrange OAuth-klientmodulen. Användarautentisering och identifiering utförs med hjälp av attribut som tas emot från en OAuth-identitetsleverantör under Single Sign-On (SSO).

Förkunskaper:

I det här avsnittet diskuterar vi allt från krav och implementeringsprocess till resultat.

• miniOrange OAuth-klient modulen (version 8.x och senare) är installerad och aktiverad.
• Administratörsåtkomst till modulkonfiguration.
• OAuth-leverantören är konfigurerad och nåbar.
• Obligatoriska användarattribut finns tillgängliga i OAuth-token.

Problem

Om din Drupal-webbplats är beroende av en extern identitetsleverantör för inloggning kan det bli rörigt när din lokala information, som användarnamn eller e-postadresser, inte stämmer överens med vad som finns i identitetsleverantören. Den avvikelsen orsakar alla möjliga problem. Du kan få dubbletter av användarkonton. Ibland matchar systemet personer med fel konton när de försöker logga in. Användarprofiler kan bli föråldrade, och du får göra mycket manuellt arbete bara för att hålla allt rätt. Värst av allt är att dessa problem kan öppna dörren för obehörig åtkomst. Det är ett riktigt besvär.

Lösning

Genom att aktivera den attributbaserade inloggningsfunktionen i Drupals OAuth-klientmodul kan webbplatsadministratörer välja vilka OAuth-attribut som ska fungera som huvudsakliga/primära användaridentifierare, och hantera både autentisering och användarskapande.

Att lägga till detta på din Drupal-webbplats kräver några viktiga konfigurationssteg:

Konfiguration av SSO-inloggningsidentifierare

• Administratörer kan konfigurera ett specifikt OAuth-serverattribut som ska användas som SSO-inloggningsidentifierare. Detta attribut fungerar som primärnyckel för användaridentifiering under autentisering.
• Du konfigurerar SSO-inloggningsidentifieraren genom att välja ett attribut från din OAuth-server, vanligtvis något i stil med en e-postadress, ett användarnamn eller kanske ett anställnings-ID eller externt användar-ID. När någon försöker logga in söker Drupal efter ett användarkonto som matchar värdet i det attributet. På så sätt får du alltid en pålitlig matchning mellan OAuth-användaren och Drupal-kontot, utan gissningar.

Autentiserings- och identifieringsflöde

• Användaren initierar inloggning från Drupal-applikationen
• Användaren omdirigeras till OAuth-leverantören
• Autentiseringen är slutförd hos identitetsleverantören
• OAuth-token som innehåller användarattribut returneras till Drupal
• Konfigurerat SSO-inloggningsattribut utvärderas
• Användarkontot matchas eller skapas
• Mappade attribut synkroniseras med Drupal-användarprofilen
• Användarsessionen är upprättad

konfiguration

SSO-inloggningsattribut

• Ett enda OAuth-serverattribut väljs för att identifiera användare vid inloggning. Attribut som stöds inkluderar, men är inte begränsade till:
• E-post
• Användarnamn
• Det här attributet används för att hitta befintliga Drupal-användare under SSO.

Attributmappning

• OAuth-serverattribut mappas till Drupal-användarfält.
• Exempel:
• e-post → post
• namn → namn
• avdelning → fältavdelning
• Mappade attribut uppdateras vid varje lyckad inloggning.

Fördelar

• Deterministisk användaridentifiering.
• Konsekvent identitetssynkronisering.
• Minskade administrativa omkostnader.
• Säkert och skalbart autentiseringsflöde.

Slutsats

Attributbaserad inloggning med miniOrange OAuth-klienten ger en pålitlig mekanism för användaridentifiering i Drupal-applikationer integrerade med OAuth-identitetsleverantörer. Genom att utvärdera OAuth-attribut under autentisering säkerställer Drupal korrekt användarmatchning, automatiserad provisionering och konsekvent identitetshantering.