Yalnızca SSO onay kutusunu değil, erişim sonucunu da belirtin
Kimlik doğrulama platformunun SAML çoklu oturum açmayı desteklemesi gerekliliği, kimin hangi kiracıya, hangi izinlerle girmesi gerektiğini ve rolü veya istihdamı değiştiğinde ne olacağını açıklamadığı sürece eksik kalır. Başarılı kimlik doğrulama, üzerinde anlaşılan bir federasyon ilişkisi altında bir kimlik iddiası oluşturur. Uygulamadaki her etki alanına, müşteriye, rapora veya yönetimsel eyleme otomatik olarak yetki vermez. Bu nedenle, tedarik ve uygulama incelemeleri, başarılı bir oturum açmayı tüm gereksinim olarak kabul etmek yerine erişim sonucunu test etmelidir.
Bu makale önerilen bir gereksinimler çerçevesidir. EmailAuth SAML'yi, tam zamanında sağlamayı, belirli rolleri veya herhangi bir oturum kontrolü özelliğini uyguladığını iddia etmez. Hiçbir kimlik sağlayıcı yapılandırılmadı, onay gönderilmedi veya erişim verilmedi. Microsoft'un SAML protokolü belgeleri Entra destekli bir borsanın somut bir resmi tanımını sağlarken, önerilen kabul kriterleri hala gerçek platform ve kimlik sağlayıcıya göre onay gerektiriyor.
Federasyonu amaçlanan uygulamaya ve kiracıya bağlayın
Kimlik sağlayıcıyı, hizmet sağlayıcıyı, amaçlanan kiracıyı, onaylı federasyon yöneticisini ve yapılandırma sahibini belgeleyin. Kimlik bilgilerini veya hassas iddiaların tamamını genel bir çalışma sayfasına kopyalamaya gerek kalmadan, onaylanmış yapılandırma kanıtlarından uygulama tanımlayıcısını ve iddia-tüketici uç noktasını kaydedin. Entra belgeleri, yayıncıyı, hedef kitleyi, yanıt korelasyonunu ve konu doğrulama unsurlarını açıklar. Bunlar birbirinin yerine geçebilecek etiketler değildir: bir uygulamaya yönelik bir iddia, yalnızca geçerli bir imzaya sahip olduğu için farklı bir uygulama için yetki haline gelmemelidir.
Gerçek uygulamanın, düzenleyene ve imza materyaline, hedef kitleye ve alıcıya, geçerlilik koşullarına ve uygun olduğu durumlarda istek korelasyonuna duyulan güven de dahil olmak üzere, desteklenen akışa uygun protokol öğelerini doğrulamasını zorunlu kılın. Başlatılan her akışı veya kitaplığı kapsayan tek bir doğrulama tarifi icat etmeyin. Tedarikçiden desteklenen akışları ve güvenlik kontrollerini belgelemesini isteyin ve ardından bunları yetkili, izole bir ortamda doğrulayın. Dokümantasyondaki örnek bir XML yanıtı, hedef platformun bu kontrolleri uyguladığının kanıtı değildir.
Kimlik doğrulama ve yetkilendirmeyi ayrı tutun
Azure'un çok kiracılı kimlik kılavuzu rol tabanlı ve kaynak tabanlı yetkilendirmeyi ayırt eder ve istenmeyen kiracılara erişim sağlayan birleştirme yanlış yapılandırmalarına karşı uyarıda bulunur. Gereksinimleri yazarken bu ayrımı kullanın. Müşterinin kimlik sağlayıcısı tarafından kimliği doğrulanan bir kullanıcının yine de doğru uygulama kiracısı ve kaynaklarıyla yetkili bir ilişkiye ihtiyacı vardır. Belgelenmiş, onaylanmış bir eşleme olmadan, e-posta adresi son eki tek başına tam bir kiracılık veya rol kararı olarak değerlendirilmemelidir.
İzin verilen rolleri ve kaynak kapsamını oturum açma yönteminden bağımsız olarak belirtin. Bir rapor görüntüleyici seçilen etki alanlarını okuyabilir ancak tüm müşterileri dışa aktaramaz; kiracı yöneticisi başka bir kiracının ayarlarını değiştirmeden üyeleri yönetebilir. Bu eşlemeleri kimin oluşturabileceğini veya değiştirebileceğini ve değişikliklerin nasıl inceleneceğini tanımlayın. Grup veya rol nitelikleri kullanılıyorsa bunların kaynağını, kabul edilen değerleri ve niteliklerin olmadığı veya beklenmediği durumlardaki davranışları belgeleyin. Bunlar, belirli bir ürünün rol modeliyle ilgili iddialar değil, önerilen kontrollerdir.
Birleştirme ve rol değiştirme davranışını tanımlama
Yeni bir kullanıcı için, hesabın önceden temel hazırlığının yapılmasının gerekip gerekmediğini veya desteklenen tam zamanında davranışa izin verilip verilmediğini belirtin. Amaçlanan kiracının nasıl seçildiğini ve ilk oturumun verilere erişebilmesi için onayın gerekip gerekmediğini belgeleyin. SAML kimlik doğrulamasının kullanılabilirliğinden otomatik temel hazırlık sonucunu çıkarmayın. Tedarikçi, desteklenen gerçek yaşam döngüsü davranışını ve yönetimsel, etkileşimli ve API erişimi arasındaki farkları tanımlamalıdır.
Rol değişiklikleri için yeni izinlerin ne zaman etkili olacağını ve mevcut oturumların nasıl ele alınacağını belirtin. Bir gerekliliğin, bir rolün kaldırılmasını bir hesabın devre dışı bırakılmasından ayırması gerekir. Ayrıca önbelleğe alınan yetkilendirme kararlarının yenilenip yenilenmediğini ve gözlemlenen sonucun nasıl kontrol edileceğini de belirtmelidir. Bir sonraki oturum açma işleminde yeni bir onayın halihazırda etkin olan her oturumu güncelleyeceğini varsaymaktan kaçının. Yetkili test eninde sonunda gerçekleştirildiğinde, bir değişiklikten sonra hem izin verilen hem de reddedilen eylemlere ilişkin gerçek kanıtları saklayın.
Devre dışı bırakma ve oturum yönetimini açıkça belirtin
Uygulamanın kendi davranışına göre bir çalışanın kimlik sağlayıcı hesabı devre dışı bırakılırken, hizmet sağlayıcı oturumu aktif kalabilir. Gereksinimler, mevcut oturumların, hatırlanan cihazların, yerel yedek hesapların ve etkileşimli olmayan kimlik bilgilerinin nasıl ele alınacağını sormalıdır. SSO kullanılabilirliği tek başına evrensel bir oturum kapatma veya iptal garantisi oluşturmaz. Tedarikçinin desteklenen iptal mekanizmalarını, beklenen sınırlamaları ve bunları doğrulamak için gereken kanıtları açıklamasını isteyin.
Rutin tahliyeyi acil durum muhafazasından ayırın. Rutin değişiklikler, planlanmış yaşam döngüsü senkronizasyonunu takip edebilir; bir olay, yetkili bir yöneticinin desteklenen farklı bir yoldan erişimi derhal iptal etmesini gerektirebilir. Bu makale bu güvenlik değişikliklerini gerçekleştirmez veya onaylamaz. Ekibin kimlik sağlayıcı hesabını devre dışı bırakmanın yeterli olduğunu varsaydığı bir olay sırasında keşfedilmek yerine, sahiplik ve doğrulama kriterlerinin benimsenmeden önce belgelenmesini önerir.
SSO kabul çalışma sayfası
Kimlik sağlayıcı yapılandırma referansı, hizmet sağlayıcı kiracısı, kullanıcı test kimliği, amaçlanan rol, kaynak kapsamı, desteklenen akış ve beklenen sonucu içeren bir çalışma sayfası oluşturun. Katılma, rol artırma, rol azaltma, devre dışı bırakma, aktif oturum davranışı ve onaylanmış herhangi bir yerel kurtarma yolu için satırlar ekleyin. Her teste kimin yetki verdiğini ve donanımların hangi ortamda bulunduğunu kaydedin. Çalışma sayfasına gerçek şifreleri, oturum çerezlerini, özel imzalama anahtarlarını veya tam üretim iddialarını dahil etmeyin.
Sınırları gösteren olumsuz durumları dahil edin: Başka bir kiracıya yönelik bir kimlik erişim elde etmemelidir, bir görüntüleyici yönetim ayrıcalıkları almamalıdır ve kaldırılan bir rol, belgelenen davranışın ötesinde sessizce etkili kalmamalıdır. Gerçek sonuçlar elde edilene kadar bunları kabul kriterleri olarak ifade edin. Başarısız bir test, yalnızca arayüzün bir düğmeyi gizlemesi nedeniyle hatanın güvenli bir şekilde uygulandığını varsaymadan, eylemi ve gözlemlenen yanıtı kaydetmelidir. Sunucu tarafı yetkilendirmesinin kendi kanıtlarına ihtiyacı vardır.
Kurgusal teşhis: oturum açma başarılı ancak kapsam yanlış
Kurgusal bir organizasyon, iki müşteri ekibi için bir platformu değerlendiriyor. Her ikisi de aynı kurumsal kimlik sağlayıcısını kullanıyor ancak uygulama kiracılarının ayrı kalması gerekiyor. İlk gösterimde başarılı SSO ve rapor kontrol paneli gösterilmektedir. Gözden geçiren kişi, gösterimin, test kullanıcısının hangi kiracıya bağlı olduğunu veya mevcut bir oturumun kaldırıldıktan sonra rolünü sürdürüp sürdürmeyeceğini hiçbir zaman belirlemediğini fark eder.
Önerilen takip, kiracı bağlamayı, rol azaltmayı ve devre dışı bırakmayı ayrı ayrı kontrol eden yetkili donanım tabanlı bir testtir. Başarılı bir oturum açma işlemi yalnızca gereksinimin kimlik doğrulama kısmı için dikkate alınır. Burada böyle bir test yapılmamıştır ve kurgusal platform, EmailAuth veya başka bir adlandırılmış hizmetle ilgili bir iddia değildir. Bu örnek, görünüşte eksiksiz bir SSO gösteriminin neden malzeme erişim sorularını yanıtsız bırakabileceğini açıklamaktadır.
Yeteneği kabul etmeden önce kanıt isteyin
Yararlı bir tedarikçi yanıtı, desteklenen protokol akışlarını, yaşam döngüsü entegrasyonlarını, rol eşlemeyi, oturum davranışını, geri dönüş erişimini ve denetim kanıtlarını tanımlar. Sınırlamaları da açıkça belirtiyor. Bir yol haritası bildirimini veya ekran görüntüsünü uygulama kanıtına dönüştürmeyin. Kabul sonucunun sağlayıcı değişikliğinden sonra yorumlanabilir kalması için ürün sürümünü ve yapılandırma içeriğini koruyun.
Katalog, mevcut platform desteğiyle birleştirme, rol değiştirme, devre dışı bırakma ve aktif oturum yönetiminin test edilmesini gerektirir. Bu orijinal kanıt açık kalıyor. Bu taslak, test sonuçlarını değil, önerilen gereksinimleri ve kurgusal bir alıştırmayı sağlar. İnsan uzman incelemesi, kaynak uygulanabilirliği, üretim yolları, erişilebilirlik ve sahibin serbest bırakılması da açıktır. Yayınlama ve herhangi bir yetenek iddiası, yalnızca SAML belgelerinden çıkarım yapmak yerine, gerçek platformun yetkili gözlemlerini gerektirir.