SSO и многофакторная аутентификация

Question

Меня интересует, как следующий сценарий будет управляться с использованием SiteMinder и OpenSSO

Для двух веб-приложений и мандата на использование SSO через них.Приложение A - это простое приложение, для которого требуется только сочетание имени пользователя и пароля.Приложение B требует многофакторной аутентификации.

Как нам управлять различными уровнями аутентификации в двух приложениях?Есть ли способ выразить это в таких инструментах, как SiteMinder, чтобы пользователю можно было назначить «базовый уровень аутентификации», если он войдет в приложение A, но если он попадет в приложение B, ему будет предложен второй фактор?

Мой инстинкт заключается в том, что вторыми факторами необходимо управлять на уровне SiteMinder, потому что за ним стоит приложение B, а с его точки зрения аутентификация - это двоичное решение, которое предписывается сервером приложений / менеджером единого входа:приложению «говорят», что пользователи аутентифицированы или нет .... Приложение B не будет иметь указателя уровня аутентификации, который есть у пользователя.

Управляет ли SiteMinder этой идеей разных уровней аутентификации?что-то, что, возможно, может быть выражено в SAML?

Я бы подумал, что это обычная модель, которая возникает, но я не могу найти какие-либо документы по конфигурации, передовым методам и т. д.

Спасибо взаранее,

Финтан

Answer 1

Это то, что SiteMinder может определенно сделать. Иногда это называется «повышающей аутентификацией» - что в основном означает аутентификацию пользователя с более строгой формой аутентификации, когда возникает необходимость.

Он должен контролироваться централизованно механизмом политик SiteMinder. Другие продукты управления доступом к Интернету имеют аналогичный подход.

SAML может вступить в игру, когда вы говорите о федерации к приложениям за пределами вашего домена. В SAML вы можете указать AuthnContext, который указывает другой стороне, какой уровень аутентификации требуется / был выполнен.

Answer 2

Похоже, что функция в SiteMinder для выполнения этого требования - это уровень защиты, назначенный каждой области. Это может быть использовано для имитации этого дополнительного уровня авторизации, который зависит от того, как / где вы изначально проходили аутентификацию. По крайней мере, так я разрабатываю наше решение.