LDAP pour le contrôle d'accès aux applications, combien devrait-il contrôler?

Question

Un précurseur: J'ai travaillé maintenant dans deux environnements avec des principes contradictoires à ce sujet. Je suis en train de décrire les idées concurrentes et je voudrais savoir ce qui est «correct» étant donné le scénario décrit. Scénario: Plusieurs applications existent sur notre intranet. Nous implémentons OpenSSO avec LDAP comme contrôle d'authentification et répertoire utilisateur. Le problème vient du fait que, avec l'authentification LDAP, nous savons qu'un utilisateur est autorisé sur l'intranet mais à quelles applications est discutable.

Nous avons l'intention d'utiliser LDAP pour contrôler les applications que chaque utilisateur peut accéder à savoir helpdesk, examen consultant, générateur de rapports, créateur d'enquête, etc.

La question se pose en ce que dans chaque application sont une quantité importante de rôles, et le fait que les gens peuvent avoir plusieurs rôles.

Quelle est la meilleure façon d'aborder ce deuxième domaine? Shoudl TOUS les rôles doivent être dans le ldap ou juste les allocations d'application avec chaque base de données d'application contenant les rôles plus granulaires?

Answer 1

Une approche consiste à utiliser LDAP pour conserver des informations de rôle de niveau relativement élevé, tout en gardant les informations spécifiques à l'application très détaillées internes à chaque application. Par exemple, un individu peut être membre de groupes LDAP (rôles) tels que "employé", "assistant service d'assistance", "superviseur du centre d'assistance", etc., puis les applications individuelles mappent les rôles de haut niveau. dans les fonctions spécifiques à l'application. Un rôle de haut niveau pourrait impliquer l'accès à plusieurs applications et différents rôles auraient différents niveaux d'accès. Par exemple, un "help desk associate" pourrait être en mesure de créer des tickets, mais peut-être seul un superviseur peut les supprimer ou exécuter des rapports.

C'est l'un de ces domaines où il n'y a pas de bonne réponse. La centralisation de tout dans LDAP vous donne une meilleure capacité à signaler/vérifier l'accès des individus, au prix de compliquer votre schéma LDAP central avec beaucoup de données spécifiques aux applications. En outre, en fonction des applications existantes/commerciales que vous essayez d'intégrer, les applications peuvent ne pas prendre en charge toutes leurs informations d'accès fin de LDAP.