هل هناك سبب لماذا مطورو البرمجيات ليسوا إذن خارجي؟
https://stackoverflow.com/questions/955399
italiano
english
français
española
中国
日本の
العربية
Deutsch
한국어
Português
Russianسؤال
يبدأ اقتراح القيمة الخارجية للهوية الخارجية في زيادة حيث تقبل العديد من المواقع الآن Open أو CardSpace أو الهوية الموحدة. ومع ذلك، فإن العديد من المطورين لم يأخذوا بعد الخطوة التالية إلى إذن خارجي واستخدام النهج بناء على XACML.
هو سبب عدم الوعي أو أي شيء آخر؟ كيف تتوقع أن تتعلم XACML.الأساليب المعدية إلى تطوير البرمجيات؟
يرجى ملاحظة أنني أسأل عن إذن، وليس المصادقة.
المحلول
أعتقد أن احتمال إذن الترخيص الخارجي هو أكثر صعوبة بكثير من المصادقة الخارجية (OpenID و CardSpace وما إلى ذلك). يرجع ذلك أساسا إلى حقيقة أن التصريح هو تطبيق أكثر تحديدا. ما هو الشخص الذي أذن به في طلبي قد لا يكون قادرا على القيام به في طلبك، وهذا حتى يفترض أن هناك بعض البورلل المشترك بين طلبي وعن طريقك، والذي لن يكون هناك.
لا أريد أن أقول إن إذن خارجي سوف أبدا يتم ذلك، لكنني بصدق وقتا صعبا مع أسباب لماذا تريد حقا القيام بذلك. ربما للحصول على مجموعة من التطبيقات التي تعمل جنبا إلى جنب، ولكن مرة أخرى، من المرجح أن يتم دعم ذلك داخليا، وليس خارجيا.
نصائح أخرى
أيضا، تذكر أن التفويض! == المصادقة. فقط لأن المستخدم مصادقة لا يعني أنك قد حل جزء التفويض من موقعك. لا تزال بحاجة إلى تحديد من يحصل على فعل ما ومتى.
السبب الرئيسي الذي نستمر في لفة شركائنا هو أن الخيارات مثل OpenID وآخرون تدعمها فقط من قبل المواقع التقنية. نحن لاعب أصغر، لذلك لن نبدأ في استخدام مزود خارجي حتى هذا الوقت الذي يوجد فيه قبول مستخدم أكبر بكثير.
نحن لا نريد أول شيء يجب على المستخدم القيام به على موقعنا لإشراك الذهاب إلى موقع آخر.
يبدو أنني سقطت في سوء الفهم أن الآخرين لديهم - كان السؤال حول إذن خارجي. شخصيا، أود فقط أن أثق فقط بترخيص موزعة على شبكة محلية حيث تتحكم في خوادم المصادقة والترخيص. لن أستخدم إذن خارجي على موقع ويب.
فيما يلي تعليقاتي على OpenID كخدمة مصادقة.
1) كما أشار، إذن! = المصادقة. تعالج المصادقة OpenID، ولكن لا يزال صاحب تطبيق الويب لديه سيطرة كاملة على الحقوق المعينة لهذا تسجيل الدخول. هذا إيجابي، ولكن الارتباك حول هذا هو سلبي.
2) لا أستطيع العثور على الرابط، لكن OpenID مفتوح للهندسة الاجتماعية / الرئيسية في هجمات الأوسط / الخداءة. يحاول المزودي منع هذا (صور المعرف وشهادات المتصفح، والتحقق مرة أخرى، وما إلى ذلك) لكنه لا يساعد عندما ينبثق موقع القبعة السوداء مربع حوار / صفحة تقول "أدخل اسم مستخدم OpenID الخاص بك وكلمة المرور" والعبقرية يتوافق المستخدم.
3) كل مزود للمعرف الفيدرالي لديه القدرة (ويقول البعض المسؤولية) لتتبع جميع أنشطة مستخدميها، بغض النظر عن الموقع الذي يستخدمونه هو المعرف الخاص به. هذا هو السبب في أن Google و Yahoo Gung-Ho ل تزود المعرفات الفيدرالية، ولكن ليس متحمس جدا تستهلك هم.
4) على عكس تعليق أعلاه، من الشائع أن يقلل الحالة التي تستخدم OpenID الجدار للتسجيل، خاصة عندما يشير واجهة مستخدم مفيدة إلى أن مستخدم جديد ربما يحتوي بالفعل على OpenID. هذا صحيح عندما تستخدم حل OpenID / OAUTH مجتمعة مثل RPX.
لذلك، من وجهة نظري، فإن مخاطر استخدام OpenID موجودة على المستخدم، وليس موقع الويب. لا يمكنني منع المستخدم من التصحيح من خلال جعلهم يحاولون تذكر معرف مستخدم آخر آخر وكلمة مرور. علاوة على ذلك، لا يحتاج القبعات السوداء إلى القيام بأي شيء أكثر شيئين من تخزين كلمات مرور المستخدم الخاصة بموقعهم في نص عادي للوصول إلى حسابات المستخدم الأخرى. كم من الناس يستخدمون كلمة مرور مختلفة لكل موقع على شبكة الإنترنت تسجيل الدخول؟
معظم المشاريع التي قمت بها كانت طلبات خاصة لاستخدامها داخل الشركات الكبيرة، وفي تلك الحالات، نادرا ما تتعامل مع خدمات المصادقة الخارجية، ولكن تتم معالجة المصادقة بدلا من ذلك من خلال بعض الخدمات الداخلية (مثل Active Directory).
هل يجب أن أكون جزءا من مشروع من شأنه أن يبني موقع ويب عام وأود أن أحاول بالتأكيد الاستفادة من شيء مثل OpenID بدلا من استضافة المصادقة الخاصة بي.
إحدى المشكلات هي مزيج من عدم اختراعه هنا ولا أثاقطه للسلطات الخارجية من أجل الهوية (حتى واقعية). كتابة جيدة هنا:
أيضا، أعتقد أنه قد يكون الجمود. بدون تطبيق القاتل لتشغيله، الناس بطيئة في الهجرة. بالنظر إلى الارتفاع في عدد عمليات تكامل Facebook التي رأيتها مؤخرا، أعتقد أننا على رأس ميل حاد، على وشك الدخول إلى هذا العالم.
كما أشار ملصق آخر، فإن التفويض هو محدد التطبيق بشكل عام. ما يمكنك القيام به في تطبيق واحد يختلف بشكل كبير من ما يمكنك القيام به في آخر. لا سيما في تطبيقات العملاء خارج الرف، يتم التعويض عن التصريح بشكل طبيعي بشكل عام.
الأداء هو مصدر قلق آخر. يمكن ملاحظة ذلك عن طريق الحصول على تطبيق Sun's Xacml، واستخدامه لإخراج بعض التفويض. يمكنك تكبد تكاليف الشبكة على جانبي الطلب (اعتمادا على الطريقة التي يمكنك بها طلب / استجابة المهندس المعماري، وما إلى ذلك) تتجاوز التكلفة الفعلية لقرار التفويض. بناء ذلك في تطبيق مؤخرا، حيث لديك حرية أقل لتحسين الأداء والأشياء تزداد سوءا.
ومع ذلك، أعتقد أن بعض المناطق الواعدة حول الامتثال التنظيمي. هناك بعض التراخيص التي لا تختلف عن طريق التطبيق. نقل المعلومات أو المواد الخاصة أو المواد المصنفة، على سبيل المثال. في هذه الحالات، يمكن إجراء قضية قوية لنفس عنصر التحكم الموجود في كل تطبيق، لأن التحدث سيء للغاية. وجود أي عدد من التطبيقات والقواعد لنفس عنصر تحكم الوصول هو كابوس إدارة. قد يكون هناك مكان سهل للبدء في إطار عنصر تحكم مثل XACML هو البدء في ما يمكن أن يراه شخص ما، ثم يعمل على ما يمكن لشخص ما القيام به.
أعتقد أنه يعتمد ذلك على نوع المشروع الذي تعمل عليه. إذا كان العميل يريد تخزين التفويض، فلا توجد طريقة لاستخدام OpenID ... أقوم بتطوير مشروع صغير باستخدام محرك تطبيقات Google وهناك استخدم Google للقيام بالترخيص. لذلك يعتمد بقوة على نوع المشروع.
عدة اسباب:
- كما أظهرت بعض التعليقات، هناك تصور عام بأنه "إذن محلي" الذي يعني أنه لا توجد ضئيل من إمكانات إعادة استخدام "السمات الموضوعية" التي تعمل باهظة الثمن على الجودة "اللازمة لمقرارات الوصول الهامة وبعد (أعتقد أن هناك إمكانات عالية لإعادة الاستخدام نظرا لأن بعض القوانين / الآثار سارية على نطاق واسع، ولكن مناقشة كاملة لهذا الوقت طويلا لهذا التنسيق.)
- عدم وجود بنية تحتية للبيانات: لتطبيق عنصر تحكم الوصول المستندة إلى السياسات بين المنظمات (لي باستخدام / موثوقة بعض إذن Outg Org ("Authz" ("Authz" ("Authz" ("Authz") يتطلب الوصول إلى بياناتي)، على الأقل، أن أفهم دلالة السمة (ما هو "ضابط إنفاذ القانون"؟ ما هو "مواطن أمريكي". بعد ذلك، سيكون من الجيد أن يكون من السهل فهم معايير جودة السمة وشهادة الطرف الثالث بنفسها. (قد يلاحظ البعض أن هذه المتطلبات هي مماثلة لمتطلبات قابلية التشغيل البيني PKI: كيف يأتي ذلك؟ وهذا فقط لقطعة واحدة من البيانات، بالإضافة إلى دعم الاشياء.)
- التأثير على الأدوار / المسؤوليات: إذن خارجي، سواء "أدوار" أو "سمات" أو "سمات" أو "سمات مع السياسة الرقمية"، تعني أن "مالك البيانات" المحلي يفقد التحكم في المورد. كما تفريغ أعمالا كبيرة ومسؤولية للحفاظ على قوائم المستخدمين. هذا النوع من التغيير يرفع تنفيذ Authz الخارجي من مشكلة تقنية إلى مسألة تنظيمية مع جانب من السياسة.
- معظم المنظمات لا تعرف ولم تكتب ما هي سياساتها. قد يكون الوصول "كل من يسأل" أو "كل من يسأل وأحب" أو "من يستطيع أن يعطيني شيئا، مثل الوصول إلى بياناتهم". يمكن أن تكون القواعد الحقيقية المطبقة قبيحة جميلة عندما يتم إجبارها على المفتوحة من خلال التعبير عنها بلغة سياسية. والمهارة المحددة لاستلام السياسات المكتوبة الجيدة في السياسات الرقمية لا تنمو على الأشجار، إما. في الواقع، فإن مجموعة المهارات هي محلل تجاري أو محام، وليس الرجل، وأدوات هؤلاء الأشخاص نادرة على عدم وجودها.
- عندما يكون لديك قاعدة سياسية قوية، فمن المرجح أن تكتشف أن السمات اللازمة لمعالجةها غير موجودة - فهي ليست عادة نوع الشيء الذي تجده بالفعل في م. رقم الهاتف غير مفيد كسب سمة Authz، وحتى "التنظيم" ربما غير مناسب لمعظم القانون أو REGS، يمكنك بالفعل توثيقه. لا يذكر ذلك حتى عن العمل والتقريب الذي يجب عليك تطبيقه (واحصل عليه) للتعبير عن متطلبات السياسات مثل "السبب المحتمل".
- غير قابلة للتخصص، ولكن لا يزال حقيقيا، هو أن العديد من تطبيقات الأسرة واسعة النطاق لا تدعم الترخيص الخارجي، ولم يستخدم العديد من مطوري التطبيقات للقيام خارج الخارج، وكذلك ستحاول التحدث إليك؛ أو (ب) تعلمها على عشرة سنتاتك، وتفعل ذلك بشدة.
يبدو سيئا جدا، أليس كذلك؟ لذلك، اسمحوا لي أن أنتهي بالقول أعتقد أن اللعبة تستحق الشمعة على الرغم من كل هذا. قائمة الفوائد المحتملة هي منشور آخر في وقت آخر.
حظ سعيد!
أتفق مع نقطة جوزيف حول ترخيص كونه تطبيق خاص للغاية.
ولكن بالإضافة إلى ذلك، يجلب إذن الاستعانة بمصادر خارجية أيضا قلقا كبيرا للمخاطر: نظرا لأن الترخيص محددا للغاية ومحددة للحبيبية، بمجرد إخراج الترخيص الخارجي لمزود الخدمة أو الترحيل أو استبدال هذا المزود بمهمة شبه مستحيلة. أنت على هوك لا رجعة فيه.
لذلك في تقييم المخاطر والفوائد الخاصة بك، فإن المنطق التجاري يدفعك إلى تجنب الذهاب مع هذه الاعتماد الثابت.
بالنسبة لي شخصيا، هذا هو أول شيء سمعته عن إذن خارجي .. لذلك قد يكون مجرد نقص في الوعي.
googling الآن ..
