Översikt

Inte alla användare som besöker din Joomla-webbplats bör se samma innehåll. En medlemswebbplats kan reservera vissa artiklar för betalande medlemmar. En intern portal kan hålla avdelningsspecifika sidor borta från den allmänna personalen. En communityplattform kan ge moderatorer tillgång till områden som vanliga medlemmar inte kan nå.

Joomla hanterar allt detta genom sitt inbyggda åtkomstkontrollsystem, som låter dig begränsa sidor, artiklar, kategorier och menyalternativ efter användargrupp. Den saknade delen är att automatiskt placera användare i rätt grupper. När någon loggar in via OAuth SSO läser miniOrange Joomla OAuth Client-tillägget de roller som tilldelats den användaren i identitetsleverantören och mappar dem direkt till rätt Joomla-användargrupper. Därifrån tar Joomlas ACL över och tillämpar de innehållsbegränsningar du redan har konfigurerat. Du hanterar roller på ett ställe, och åtkomst till hela din Joomla-webbplats följer automatiskt.

Förutsättningar

För att aktivera rollbaserad åtkomstkontroll med OAuth SSO på en Joomla-webbplats behöver du följande:

miniOrange OAuth-klienttillägg för Joomla

Ladda ner tillägg

Utmaning

Joomlas åtkomstkontrollsystem är kraftfullt, men det fungerar bara bra när användarna är i rätt grupper. Utan SSO-driven rollmappning bryts den processen ner på några vanliga sätt:

• Någon måste tilldela grupper manuellt. Varje gång en ny användare registrerar sig eller loggar in via SSO måste en administratör kontrollera deras konto och placera dem i rätt grupp innan de kan komma åt rätt innehåll. Detta är hanterbart med en handfull användare och ohållbart med hundratals.
• Roller blir osynkroniserade. Om någons roll ändras hos identitetsleverantören, en prenumeration upphör, en anställd byter team eller en bidragsgivare blir befordrad, förblir deras Joomla-grupp densamma tills en administratör märker det och uppdaterar det. Det innebär att användare antingen behåller åtkomst de borde ha förlorat eller blir utelåsta från innehåll de nu har rätt till.
• Skyddat innehåll exponeras. När grupptilldelningar är inkonsekventa är det lätt att begränsade artiklar eller sidor blir tillgängliga för en bredare publik än vad som var avsett. Detta är inte alltid uppenbart förrän någon rapporterar det.
• Redigeringsbehörigheter blir svåra att hantera. Visningsåtkomst är bara en del av bilden. Vem som kan skapa artiklar, redigera befintligt innehåll eller publicera sidor är lika viktigt. Utan tillförlitligt gruppmedlemskap är redigeringsrättigheter svåra att granska och svårare att återkalla när någons roll ändras.

Genomförande

Installationen innebär att konfigurera rollmappning i miniOrange-tillägget och sedan använda Joomlas standard ACL-verktyg för att tillämpa begränsningar på ditt innehåll.

1. Ansluta till identitetsleverantören: Konfigurera identitetsleverantören i miniOrange OAuth Client-tillägget med hjälp av standardkonfigurationen för OAuth 2.0 eller OIDC. Se till att OAuth-scopen inkluderar de anspråk som innehåller roll- eller gruppinformation för din leverantör. I Entra ID kan detta vara ett gruppanspråk; i Okta kan det vara ett rollanspråk. Detta är de data som tillägget kommer att använda för att tilldela Joomla-grupper vid inloggning.

2. Mappa identitetsleverantörsroller till Joomla-grupper: I tilläggets rollmappningsinställningar, para ihop varje identitetsleverantörsroll med den Joomla-användargrupp den ska motsvara. Till exempel mappas en Premium-medlemsroll i identitetsleverantören till en Joomla-grupp som har åtkomst till premiuminnehåll. En Redaktörsroll mappas till en grupp med rättigheter att skapa och redigera artiklar. När en användare loggar in via SSO läser tillägget deras nuvarande roller, tilldelar matchande Joomla-grupper och uppdaterar dessa tilldelningar automatiskt om något har ändrats sedan deras senaste session.

3. Begränsa artiklar och kategorier i Joomla: Med grupper som tilldelas pålitligt via SSO kan du använda Joomlas innehållshanterare för att begränsa artiklar och kategorier på vanligt sätt. Ställ in åtkomstnivån för varje artikel eller kategori så att den matchar lämplig användargrupp. Innehåll för premiummedlemmar är begränsat till Premiummedlemmar-gruppen, intern dokumentation är begränsad till Personal-gruppen och offentligt innehåll förblir tillgängligt för alla. Ingen anpassad kod behövs; allt detta hanteras via Joomlas standardgränssnitt.

4. Begränsa menyalternativ och moduler: Åtkomstkontroll handlar inte bara om artiklar. Menyalternativ och moduler kan tilldelas sin egen åtkomstnivå i Joomla, så navigeringslänkar och sidofältsinnehåll visas bara för användare som har behörighet att se dem. Detta förhindrar situationen där en begränsad sida är tekniskt otillgänglig men fortfarande synlig i menyn för användare som inte kan öppna den.

5. Ställa in redigerings- och redigeringsbehörigheter: Om din webbplats har användare som bidrar med eller hanterar innehåll, låter Joomlas ACL dig kontrollera vem som kan skapa, redigera, publicera eller ta bort innehåll inom specifika kategorier. Grupper som mappats från bidragsgivares eller redigeringsroller i identitetsleverantören kan beviljas rätt behörigheter inom sina angivna områden. Eftersom gruppmedlemskap hålls aktuellt genom SSO-rollmappning justeras dessa redigeringsrättigheter automatiskt nästa gång en användare loggar in efter att deras roll ändras.

6. Testa åtkomst över roller: Innan du går live, logga in med testkonton som representerar varje rollnivå och verifiera att rätt grupper är tilldelade i Joomlas användarhanterare. Kontrollera att begränsade artiklar och kategorier är oåtkomliga från konton med lägre privilegier, och att menyalternativ och moduler visas korrekt baserat på den inloggade användarens grupp. Testa även edge-fall: användare med flera roller, användare utan mappade roller och användare vars roller har ändrats sedan deras senaste inloggning.

Slutsats

Joomlas åtkomstkontrollsystem gör grovjobbet när det gäller innehållsbegränsningar, men det kräver korrekt gruppmedlemskap för att göra det jobbet ordentligt. Genom att koppla SSO-inloggning till grupptilldelning via miniOrange OAuth Client-tillägget blir din identitetsleverantör en pålitlig källa till sanning för vem som hör hemma var. Administratörer konfigurerar åtkomstregler en gång, och rätt användare får rätt åtkomst automatiskt varje gång de loggar in.

Ytterligare resurser

1. Åtkomstsäkerhet via fackdelning - OAuth-protokoll i Joomla!
2. SAML vs OAuth i Joomla: Vilken ska du välja?
3. Kolla in vår dokumentation