Поставщик идентификации (IdP)
Простыми словами
IdP — доверенный сервис, который проверяет пользователя и сообщает приложениям результат в виде утверждения или токена. Благодаря ему приложения не обязаны самостоятельно хранить пароль и могут использовать единые политики входа.
Как применяется
IdP подключают к каталогу и жизненному циклу сотрудников, настраивают MFA, контекстные политики и федерационные протоколы OIDC или SAML. Для каждого клиента ограничивают redirect URI, claims, ключи, сроки токенов и административные права.
Пример применения
Пользователь входит в учебный портал через корпоративный IdP. Портал проверяет issuer, audience и подпись токена, получает минимальный набор атрибутов и создаёт собственную сессию без доступа к корпоративному паролю.
Не путать с
- Active DirectoryActive Directory может быть источником идентичностей, но IdP добавляет протокол федерации и выдачу токенов.
Как это работает
- Зарегистрировать приложениеКлиент получает идентификатор, разрешённые адреса возврата и правила получения атрибутов.
- Перенаправить пользователяПриложение создаёт защищённый запрос аутентификации к доверенному IdP.
- Проверить субъектаIdP применяет факторы, состояние учётной записи и контекстную политику.
- Выдать утверждениеПодписанный ответ предназначается конкретному клиенту, который валидирует его и создаёт локальную сессию.
Продолжить изучение
- Класс IAM в каталоге СЗИРешения
Частые вопросы
Нет. IdP является компонентом доверия, а SSO — пользовательский эффект повторного использования сеанса между приложениями.
Что произойдёт при отказе IdP?Новые входы могут остановиться, поэтому проектируют отказоустойчивость, аварийный доступ и ограниченные сессии.
Нужно ли приложению доверять всем claims?Только необходимым, полученным от ожидаемого issuer для своей audience и проверенным по политике.