Служба аутентификации PASSPORT SERVER

Passport Server - служба аутентификации пользователей веб-приложений, поддерживающая различные способы аутентификации:

Аутентификация по логину/паролю;
Аутентификация по X.509 сертификатам (например, на ключах Alladin eToken через USB-порт);
Аутентификация через Active Directory.
Возможна прозрачная аутентификация на одном веб приложении как по логину, так и по X.509 сертификату

Назначение Passport Server - обеспечить централизованное хранение информации о пользователях для потребителей - различных веб-приложений.

Архитектура службы аутентификации

Passport Server состоит из следующих компонентов:

База данных, хранящая информацию о пользователях:
- Личные сведения (ФИО, контактная информация)
- Логин/пароль, сертификат, идентификатор в домене и т.д.
Веб-сайт администрирования, предоставляющий возможность управления пользователями.
Веб-сервис, обслуживающий запросы от систем на аутентификацию пользователей.

Основные преимущества Passport Server по сравнению с отдельной аутентификацией на каждом сайте

Пользователь будет иметь один логин и пароль для доступа ко всем сайтам компании.
Пользователь может иметь один сертификат для доступа к нескольким сайтам компании.
Централизованное администрирование пользователей сокращает расходы.

Службу аутентификации можно расширять, добавляя новые способы аутентификации пользователей, и внедрять их на веб-сайты с минимальными доработками.

Принцип работы системы аутентификации

Аутентификация по X.509 сертификату (ЭЦП)

Пользователь вставляет ключ Alladin eToken в USB-порт.
Пользователь обращается к веб-сайту по протоколу HTTPS.
Веб-сайт запрашивает сертификат пользователя, у пользователя появляется окно выбора сертификата для идентификации себя.
Пользователь выбирает из списка доступных сертификатов нужный и вводит PIN-код (PIN-код запрашивает драйвер eToken для доступа к сертификату).
Браузер пользователя отправляет запрос на веб-сайт с прикреплённым сертификатом.
Веб-сайт запрашивает идентификатор пользователя через веб-сервис Passport Server, передавая серийный номер сертификата и публичный ключ.
Веб-сервис Passport Server находит в своей базе данных пользователя с заданным серийным номером сертификата, и сверяет публичные ключи переданного и хранящегося сертификатов. Веб-сервис проверяет по своей базе данных, имеет ли пользователь доступ к запрашиваемому веб-сайту. Если все проверки прошли успешно, веб-сервис возвращает идентификатор пользователя.
Веб-сайт находит в своей БД пользователя с заданным идентификатором и инициализирует сессию.
Если в БД веб-сайта нет пользователя с заданным идентификатором, веб-сайт запрашивает информацию о пользователе через веб-сервис и создаёт запись о новом пользователе (ФИО, e-mail и другие поля). При необходимости пользователь заполняет дополнительные сведения о себе.

Аутентификация по логину/паролю

Пользователь обращается к веб-сайту по протоколу HTTP.
Веб-сайт перенаправляет пользователя на страницу логина.
Пользователь вводит логин и пароль.
Веб-сайт запрашивает идентификатор пользователя через веб-сервис Passport Server, передавая логин и хэш пароля.
Веб-сервис Passport Server находит в своей базе данных пользователя с заданным логином, и сверяет переданный и хранящийся пароли. Веб-сервис проверяет по своей базе данных, имеет ли пользователь доступ к запрашиваемому веб-сайту. Если все проверки прошли успешно, веб-сервис возвращает идентификатор пользователя.
Веб-сайт находит в своей БД пользователя с заданным идентификатором и инициализирует сессию.
Если в БД веб-сайта нет пользователя с заданным идентификатором, веб-сайт запрашивает информацию о пользователе через веб-сервис и создаёт запись о новом пользователе (ФИО, e-mail и другие поля). При необходимости пользователь заполняет дополнительные сведения о себе.