Предприятие SSO и управление идентификацией / рекомендации

Question

Мы обсуждали SSO раньше. Я хотел бы улучшить разговор с определенными требованиями, принимая во внимание недавние новые события.

На прошлой неделе я занимался исследованием рынка в поисках ответов на следующие ключевые вопросы:

Проект должен быть:

Требования

• Решение единого входа для веб-приложений.
• Интегрируется в существующие разработанные продукты.
• имеет политику безопасности паролей (длина, сложность, продолжительность и совместно)
• Политикой безопасности можно управлять с помощью веб-интерфейса.
• Настраиваемый пользовательский интерфейс (экраны запроса пароля и сотрудничества).
• Высокая доступность (99,9%)
• Масштабируемость.
• Работает в Red Hat Linux.

Приятно иметь

• Содержит пользовательские группы и роли.
• Написано на Java.
• Решение для свободного программного обеспечения (с открытым исходным кодом).

Ни одно из решений, предложенных до сих пор, не является "убийственным выбором", что заставляет меня думать, что я буду использовать несколько проектов (OWASP, AcegiSecurity + X ??), отсюда и это обсуждение.

Мы являемся независимым поставщиком программного обеспечения и приложений. Интерфейс разбит на несколько модулей, которые должны действовать как автономные единицы, с точки зрения клиента он использует «приложение» - что приводит к этому обсуждению, обновляющему SSO.

Буду признателен людям, которые поделятся своим опытом и идеями относительно подходящих решений.

Некоторые решения интересны

• Sun OpenSSO Enterprise
• JBoss Identity IDM
• JOSSO
• Tivoli Access Manager для корпоративного единого входа

Или, если говорить более широко этот список

Спасибо, Максим.

Answer 1

А как насчет FreeIPA?

«FreeIPA - это интегрированное решение для управления информацией о безопасности, объединяющее Linux (Fedora), 389 (ранее известное как Fedora Directory Server), MIT Kerberos, NTP, DNS. Оно состоит из веб-интерфейса и инструментов администрирования командной строки».

Если вы сосредоточены на веб-приложениях, проверьте http://oauth.net/.

Answer 2

CAS имеет сильное признание, базу пользователей и сильного лидера (который недавно поменялся местами, но все еще участвует в проекте).Интеграция проста (если вам удобно писать код Java / настраивать компоненты Spring), и может выполнить все ваши требования, в частности:

SSO решение для веб-приложений.

ДА

Интегрируется в существующие разработанные продукты.

ДА (хотя некоторые чище, чем другие - но для основных продуктов доступно много модулей)и поддерживает общие стандарты (SAML, OpenID).

имеет безопасность паролей на основе политик (длина, сложность, длительность и согласование)

* ДА - может быть легкореализовано, и некоторые расширения для интеграции с LDAP (вероятно, наиболее распространенным хранилищем пользователей) поддерживаются

Политикой безопасности можно управлять с помощью веб-интерфейса.

НЕТ - хотяодин может быть построен довольно просто - если вы довольны разработкой, и, учитывая, что это скорее всего нетривиальный проект, я бы рекомендовал считать его неблокирующим, учитывая, что продуктpen-source

Настраиваемый пользовательский интерфейс (запрос пароля и co.экраны).

ДА - легко настраивается с помощью базового редактирования HTML / CSS

Высокая доступность (99,9%)

ДА - обанадежный и может легко поддерживать несколько сценариев узлов / отказов

Масштабируемый.

ДА - используется во многих средах с высоким трафиком как в интрасети, так и в Интернете

Работает в Red Hat Linux.

ДА

Answer 3

Основными коммерческими игроками на рынке управления идентификацией и доступом (IAM) являются CA, Oracle, IBM, Sun и Novell. Ни одно из этих решений не является бесплатным, но у них есть много функций, которые вы ищете.

Для свободного программного обеспечения я рекомендую DACS: Система управления распределенным доступом . Я знаю, что один отдел, в котором я работаю, реализовал это с большим успехом. У него не так много функций, как у коммерческих продуктов IAM, но в остальном это хорошее решение.

Answer 4

Я использовал резервное копирование Tivoli Access Manager на блоки Websphere и IIS - способ, которым он записывает информацию о доступе в заголовки страниц, очень полезен. С другой стороны, я не нашел, что бэкэнд DB2 Ldap был очень масштабируемым или надежным, и вы знаете, что с IBM это не будет дешевым.

Также асинхронные пути (соединения), используемые для идентификации различных серверов, на самом деле немного хак, например, http://mysite/myserver/myapp - очень плохая идея и не очень хорошо продуманная.

Answer 5

Oracle Enterprise Single Sign-On - это не то, что вам нужно, - для развертывания требуется исполняемый файл Windows. Oracle Access Manager ближе к тому, что вам нужно (хотя это не бесплатно или на основе Java).