Федеративное управление идентификацией в IT-системах

Введение

Обеспечение идентичности в ИТ-системах

Федеративная идентичность в информационных технологиях – это способ связывания электронной идентичности и атрибутов пользователя, хранящихся в нескольких различных системах управления идентификацией. Федеративная идентичность тесно связана с единым входом (SSO), при котором единый аутентификационный билет или токен пользователя принимается в нескольких ИТ-системах или даже организациях. SSO является частью федеративного управления идентификацией, поскольку относится только к аутентификации и понимается как техническая интероперабельность, и невозможен без какой-либо формы федерации.

Управление

В информационных технологиях (ИТ) федеративное управление идентификацией (FIdM) представляет собой наличие общего набора политик, практик и протоколов для управления идентификацией и доверием к ИТ-пользователям и устройствам в различных организациях. Системы единого входа (SSO) обеспечивают единый процесс аутентификации пользователя для доступа к нескольким ИТ-системам или даже организациям. SSO является частью федеративного управления идентификацией, поскольку охватывает только аутентификацию и техническую совместимость. Централизованные решения для управления идентификацией были разработаны для обеспечения безопасности пользователей и данных в ситуациях, когда пользователи и системы, к которым они обращаются, находились в пределах одной сети или, по крайней мере, в одном "домене управления". Однако все чаще пользователи получают доступ к внешним системам, которые по своей сути находятся вне их зоны контроля, и внешние пользователи – к внутренним системам. Растущее разделение между пользователем и системами, к которым требуется доступ, является неизбежным следствием децентрализации, вызванной интеграцией Интернета во все аспекты личной и деловой жизни. Развивающиеся проблемы управления идентификацией, особенно проблемы, связанные с межорганизационным и междоменным доступом, привели к появлению нового подхода к управлению идентификацией, известного как "федеративное управление идентификацией". FIdM, или "федерация" идентификации, описывает технологии, стандарты и сценарии использования, которые обеспечивают переносимость информации об идентификаторах между автономными доменами безопасности. Основная цель федерации идентификаторов – предоставить пользователям одного домена безопасный и беспрепятственный доступ к данным или системам другого домена без необходимости избыточного администрирования учетных записей пользователей. Федерация идентификаторов имеет множество форм, включая сценарии "под контролем пользователя" или "ориентированные на пользователя", а также сценарии, контролируемые предприятиями или бизнес-бизнес-сценарии. Федерация обеспечивается за счет использования открытых отраслевых стандартов и/или общедоступных спецификаций, позволяющих нескольким сторонам достичь совместимости для общих сценариев использования. Типичные сценарии использования включают единый вход на основе веб-технологий между доменами, предоставление учетных записей пользователей между доменами, управление правами доступа между доменами и обмен атрибутами пользователей между доменами. Использование стандартов федерации идентификаторов может снизить затраты за счет устранения необходимости масштабирования уникальных или проприетарных решений. Это может повысить безопасность и снизить риски, позволяя организации идентифицировать и аутентифицировать пользователя один раз, а затем использовать эту информацию об идентификаторе в нескольких системах, включая веб-сайты внешних партнеров. Это может улучшить соблюдение требований конфиденциальности, позволяя пользователю контролировать, какая информация передается, или ограничивая объем передаваемой информации. И, наконец, это может значительно улучшить взаимодействие с пользователем за счет устранения необходимости регистрации новых учетных записей посредством автоматического "федеративного обеспечения" или необходимости повторного входа в систему через единый вход между доменами. Концепция федерации идентификаторов чрезвычайно широка и постоянно развивается. Она может включать сценарии использования "пользователь-пользователь" и "пользователь-приложение", а также "приложение-приложение" как на уровне браузера, так и на уровне веб-сервисов или сервисно-ориентированной архитектуры (SOA). Она может включать сценарии с высоким уровнем доверия и безопасности, а также сценарии с низким уровнем доверия и безопасности. Уровни гарантии идентификации, которые могут потребоваться для конкретного сценария, также стандартизируются посредством общей и открытой структуры гарантии идентификации. Она может включать сценарии использования, ориентированные на пользователя, а также на предприятие. Термин "федерация идентификаторов" по своей конструкции является общим и не привязан к какому-либо конкретному протоколу, технологии, реализации или компании. Федерации идентификаторов могут быть двусторонними или многосторонними. В последнем случае многосторонняя федерация часто встречается в вертикальных рынках, таких как правоохранительные органы (например, Национальная федерация обмена идентификационными данными – NIEF) и образование и научные исследования (например, InCommon). Если федерация идентификаторов двусторонняя, обе стороны могут обмениваться необходимыми метаданными (ключами подписи утверждений и т. д.) для реализации взаимоотношений. В многосторонней федерации обмен метаданными между участниками является более сложной задачей. Это может быть реализовано посредством обмена по схеме "хаб и спицы" или путем распространения агрегированных метаданных федеративным оператором. Однако неизменным остается тот факт, что "федерация" описывает методы переносимости идентификаторов, которые достигаются открытым способом, часто на основе стандартов, – то есть любой, кто соответствует открытой спецификации или стандарту, может достичь полного спектра сценариев использования и совместимости. Федерация идентификаторов может быть реализована различными способами, некоторые из которых включают использование формальных интернет-стандартов, таких как спецификация OASIS Security Assertion Markup Language (SAML), а другие могут включать технологии с открытым исходным кодом и/или другие общедоступные спецификации (например, Information Cards, OpenID, структура доверия Higgins или проект Bandit от Novell).

In information technology (IT), federated identity management (FIdM) amounts to having a common set of policies, practices and protocols in place to manage the identity and trust into IT users and devices across organizations. Single sign on (SSO) systems allow a single user authentication process across multiple IT systems or even organizations. SSO is a subset of federated identity management, as it relates only to authentication and technical interoperability. Centralized identity management solutions were created to help deal with user and data security where the user and the systems they accessed were within the same network – or at least the same "domain of control". Increasingly, however, users are accessing external systems which are fundamentally outside their domain of control, and external users are accessing internal systems. The increasingly common separation of the user from the systems requiring access is an inevitable by product of the decentralization brought about by the integration of the Internet into every aspect of both personal and business life. Evolving identity management challenges, and especially the challenges associated with cross company, cross domain access, have given rise to a new approach to identity management, known now as "federated identity management". FIdM, or the "federation" of identity, describes the technologies, standards and use cases which serve to enable the portability of identity information across otherwise autonomous security domains. The ultimate goal of identity federation is to enable users of one domain to securely access data or systems of another domain seamlessly, and without the need for completely redundant user administration. Identity federation comes in many flavors, including "user controlled" or "user centric" scenarios, as well as enterprise controlled or business to business scenarios. Federation is enabled through the use of open industry standards and/or openly published specifications, such that multiple parties can achieve interoperability for common use cases. Typical use cases involve things such as cross domain, web based single sign on, cross domain user account provisioning, cross domain entitlement management and cross domain user attribute exchange. Use of identity federation standards can reduce cost by eliminating the need to scale one off or proprietary solutions. It can increase security and lower risk by enabling an organization to identify and authenticate a user once, and then use that identity information across multiple systems, including external partner websites. It can improve privacy compliance by allowing the user to control what information is shared, or by limiting the amount of information shared. And lastly, it can drastically improve the end user experience by eliminating the need for new account registration through automatic "federated provisioning" or the need to redundantly login through cross domain single sign on. The notion of identity federation is extremely broad, and also evolving. It could involve user to user and user to application as well as application to application use case scenarios at both the browser tier and the web services or service oriented architecture (SOA) tier. It can involve high trust, high security scenarios as well as low trust, low security scenarios. The levels of identity assurance that may be required for a given scenario are also being standardized through a common and open Identity Assurance Framework. It can involve user centric use cases, as well as enterprise centric use cases. The term "identity federation" is by design a generic term, and is not bound to any one specific protocol, technology, implementation or company. Identity federations may be bi lateral relationships or multilateral relationships. In the latter case, the multilateral federation frequently occurs in a vertical market, such as in law enforcement (such as the National Identity Exchange Federation NIEF), and research and education (such as InCommon). If the identity federation is bilateral, the two parties can exchange the necessary metadata (assertion signing keys, etc.) to implement the relationship. In a multilateral federation, the metadata exchange among participants is a more complex issue. It can be handled in a hub and spoke exchange or by the distribution of a metadata aggregate by a federated operator. One thing that is consistent, however, is the fact that "federation" describes methods of identity portability which are achieved in an open, often standards based manner – meaning anyone adhering to the open specification or standard can achieve the full spectrum of use cases and interoperability. Identity federation can be accomplished any number of ways, some of which involve the use of formal Internet standards, such as the OASIS Security Assertion Markup Language (SAML) specification, and some of which may involve open source technologies and/or other openly published specifications (e. g. Information Cards, OpenID, the Higgins trust framework or Novell's Bandit project).

Технологии

Технологии, используемые для федеративной идентификации, включают SAML (язык разметки утверждений безопасности), OAuth, OpenID, токены безопасности (включая простые веб-токены, JSON веб-токены и утверждения SAML), спецификации веб-сервисов и Windows Identity Foundation.