Поставщик идентификации (IdP)
§§IBT7§§¶@definition¶IdP — поставщик идентификации, который аутентифицирует пользователя и выдаёт сервисам утверждения о его идентичности.¶@plain¶IdP — доверенный сервис, который проверяет пользователя и сообщает приложениям результат в виде утверждения или токена. Благодаря ему приложения не обязаны самостоятельно хранить пароль и могут использовать единые политики входа.¶@use¶IdP подключают к каталогу и жизненному циклу сотрудников, настраивают MFA, контекстные политики и федерационные протоколы OIDC или SAML. Для каждого клиента ограничивают redirect URI, claims, ключи, сроки токенов и административные права.¶@example¶Пользователь входит в учебный портал через корпоративный IdP. Портал проверяет issuer, audience и подпись токена, получает минимальный набор атрибутов и создаёт собственную сессию без доступа к корпоративному паролю.¶@compare¶Active Directory¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/active-directory¦Active Directory может быть источником идентичностей, но IdP добавляет протокол федерации и выдачу токенов.¶@steps¶Зарегистрировать приложение¦Клиент получает идентификатор, разрешённые адреса возврата и правила получения атрибутов.¤Перенаправить пользователя¦Приложение создаёт защищённый запрос аутентификации к доверенному IdP.¤Проверить субъекта¦IdP применяет факторы, состояние учётной записи и контекстную политику.¤Выдать утверждение¦Подписанный ответ предназначается конкретному клиенту, который валидирует его и создаёт локальную сессию.¶@resources¶Класс IAM в каталоге СЗИ¦https://ibcourses.ru/katalog-ib-resheniy?class=IAM¦Решения¶@related¶Active Directory¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/active-directory¶@faq¶IdP и SSO — одно и то же?¦Нет. IdP является компонентом доверия, а SSO — пользовательский эффект повторного использования сеанса между приложениями.¤Что произойдёт при отказе IdP?¦Новые входы могут остановиться, поэтому проектируют отказоустойчивость, аварийный доступ и ограниченные сессии.¤Нужно ли приложению доверять всем claims?¦Только необходимым, полученным от ожидаемого issuer для своей audience и проверенным по политике.