Ist LDAP für externe Benutzer geeignet?

Question

LDAP wird oft zur Bereitstellung von Unternehmensbenutzern verwendet. Es fungiert als zentralisierter Benutzerspeicher. Einfach mit SaaS mit SCIM API zu integrieren.

Es ist jedoch eine gute Idee, LDAP für externe Benutzer zu verwenden, wenn wir einen einzelnen Datenspeicher für die Authentifizierung für Single Sign On und einfache Benutzerbereitstellung auf mehreren Websites implementieren möchten, die jedoch von derselben Organisation angeboten werden.

Alle Beschreibungen über LDAP und SCIM vorschlagen Anwendungsfälle für SaaS Integration der internen Benutzerdatenbank oder mehrere Intranet-Anwendungen.

Wenn nicht, was wäre der standardbasierte Weg, dies zu tun? Was werden die Herausforderungen sein?

Answer 1

LDAP ist ein guter Kandidat zum Speichern von Identitätsinformationen für jede Art von Benutzer oder Gerät. Schneller als die meisten relationalen Datenbanken und modernen LDAP-Server-Implementierungen können sehr große Kapazitäten skaliert werden.

Für Single-Sign-On-Zwecke bietet LDAP keine Hilfe. SAML oder OpenID Connect wären die "aktuellen Best Practices" für SSO.

SCIM 2.0 wäre hervorragend geeignet, um CRUD-Operationen gegen LDAP als Identitätsinformationsspeicher durchzuführen.

Herausforderungen von einer generischen Anfrage, ist über den Rahmen von Stackoverflow.

Einer der großen Vorteile von OpenID Connect ist es die Authentifizierung abstrahiert und dann SCIM dann abstrahiert auch die CRUD-Operationen, so dass das Back-End keine Rolle spielt.

Bei spezifischen Fragen werden die besten Ergebnisse erzielt.

Answer 2

Als Berater habe ich mehr und mehr große Unternehmen sehen beginnen Initiativen eine Industrie Modewort bekannt als Kunden Identity und Access Management (CIAM) verwenden. Eines der Elemente für diese großen Organisationen ist die Verwaltung von externen Benutzern (oder Identitäten, wenn Sie bevorzugen). Diese Organisationen verwenden LDAP-basierte Benutzerverzeichnisse zum Speichern von Identitätsinformationen. Diese Architekturen verwenden SCIM-, SAML- und OIDC-Standards für die Benutzerbereitstellung bzw. -vereinigung. In unserer Beratung haben wir zu diesem Zweck viele verschiedene LDAP-Server gesehen, einschließlich Active Directory, AD-LDS, OpenLDAP, CA-LDAP, PingDirectory, etc. Der Schlüssel zur Wahl des LDAP ist die Skalierung und die Leistungsparameter, also bei der Auswahl Fragen Sie nach der Größe und Komprimierung von Repositories, der Indexierungsgeschwindigkeit und der technischen Implementierung, der zugrunde liegenden Datenverwaltung und der Datensynchronisierung.

Wie für den schamlosen Stecker oben, kenne ich PingDirectory (früher bekannt als UnboundID), die ein großartiges Produkt für Maßstab und Leistung, da es Funktionen eingebaut sind, die es ermöglichen, gut skalieren. In der Tat hat es Wurzeln in der Telco-Industrie, wo es Implementierungen in den Dutzenden von Millionen von Kunden gibt. Als Teil Ihrer Analyse, um festzustellen, welche Technologie für Ihre Anwendungsfälle am besten geeignet ist, würde ich mir dieses Produkt ansehen.