www.tjgcgs88.cn-狠狠久久亚洲欧美专区不卡,久久精品国产99久久无毒不卡,噼里啪啦国语版在线观看,zσzσzσ女人极品另类

對應(yīng)上面，大抵意思就是：

IAM全稱IdentityandAccessManagement，

是一種Web服務(wù)，可以幫助用戶安全地控制對資源的訪問。通俗來說，就是可以使用IAM來控制誰通過了身份驗(yàn)證（準(zhǔn)許登錄）并獲得授權(quán)（擁有權(quán)限）來使用資源。詳細(xì)可以查看AWSIAM文檔[3]。

與聘請一個保安在大廈門口相似，企業(yè)的應(yīng)用程序接入IAM服務(wù)后，就可以“高枕無憂”，IAM會幫你控制誰有訪問應(yīng)用的權(quán)限。

來到本文的主角，身份即服務(wù)：IdentityasaService。

Identity就是IAM中的身份概念，asaService就是開篇介紹的SaaS。

IDaaS實(shí)際上就是一個基于SaaS模式的IAM解決方案，也就是云上的身份和訪問管理服務(wù)，完全由受信任的第三方云服務(wù)廠商托管和管理。它允許企業(yè)使用單點(diǎn)登錄、身份驗(yàn)證和訪問控制來提供對任意接入的已實(shí)現(xiàn)標(biāo)準(zhǔn)協(xié)議應(yīng)用的安全訪問。

根據(jù)IDaaS廠商提供的功能，某種程度下，你甚至可以認(rèn)為IDaaS就是IAM。

國內(nèi)目前了解到的IDaaS廠商有，騰訊云IDaaS[4]，阿里云應(yīng)用身份服務(wù)IDaaS[5]，Authing[6]。在云計算、云原生領(lǐng)域，很多時候想要了解一個產(chǎn)品，其實(shí)可以去上述三家企業(yè)官網(wǎng)看看，多參考參考他們的現(xiàn)成方案。點(diǎn)擊查看Authing開發(fā)者文檔

IDaaS的功能可以合稱為5A能力[7]：Account、Authentication、Authorization、Application、Audit。

但我愿稱其為五統(tǒng)能力：

Account模塊的管理，這塊容易理解。你想最基本的一塊，應(yīng)用程序要想實(shí)現(xiàn)單點(diǎn)登陸的話，

單點(diǎn)登錄（SingleSignOn），簡稱為SSO，是比較流行的企業(yè)業(yè)務(wù)整合的解決方案之一。SSO的定義是在多個應(yīng)用系統(tǒng)中，用戶只需要登錄一次就可以訪問所有相互信任的應(yīng)用系統(tǒng)。

A系統(tǒng)使用了user1登錄成功后，B系統(tǒng)隨之也以user1的身份登錄成功了。例如淘寶taobao.com和天貓tmall.com兩個站點(diǎn)。

那其賬號是不是必須得統(tǒng)一放在一處（IDaaS）進(jìn)行會話管理。

不過通常由于業(yè)務(wù)需要，應(yīng)用系統(tǒng)和IDaaS還得做一次賬號同步（SCIM/LDAP方式）。

身份認(rèn)證叫做Authentication。更形象化就是指你在應(yīng)用上通過輸入賬號密碼、驗(yàn)證碼或掃碼等方式進(jìn)行登錄的這個過程。

而這個過程IDaaS所使用的認(rèn)證協(xié)議會幫你做了，而且把登錄頁面都給做了，直接喂到你嘴里，你應(yīng)用只需要重定向過來即可。

身份認(rèn)證協(xié)議有很多種：OIDC/SAML等。下文我會再著重講述OIDC協(xié)議。

Authorization是授權(quán)，切忌別和認(rèn)證Authentication混淆。

授權(quán)是指客戶端經(jīng)過身份認(rèn)證成功后，能夠以有限的權(quán)限去訪問服務(wù)端資源的一種機(jī)制。

IDaaS的授權(quán)架構(gòu)一般會選用基于角色的權(quán)限訪問控制（RBAC）。

常用的授權(quán)模式的話有基于OAuth2.0框架的授權(quán)碼模式，這部分我也會在下文的OIDC章節(jié)重點(diǎn)講訴。

Application應(yīng)用包括企業(yè)接入進(jìn)來的自身應(yīng)用以及IDaaS所提供的一些可選模板應(yīng)用（如GitLab、Grafana等）。

IDaaS自身提供統(tǒng)一標(biāo)準(zhǔn)規(guī)范，對應(yīng)用統(tǒng)一管理，例如可以控制應(yīng)用是否支持單點(diǎn)登錄，控制應(yīng)用的可訪問成員等。

Audit審計，沒什么好講的，業(yè)務(wù)角度，代碼埋點(diǎn)，Webhook等方式記錄下應(yīng)用和用戶相關(guān)的操作日志，便于管理員分析系統(tǒng)的日常操作與安全事件數(shù)據(jù)。

接下來將進(jìn)入本文核心內(nèi)容，講述IDaaS背后支撐著認(rèn)證和授權(quán)能力的基石：OAuth2.0和OIDC協(xié)議。

OAuth即OpenAuthorization，開放授權(quán)。

OAuth2.0（RFC6749[8]）是一個授權(quán)標(biāo)準(zhǔn)協(xié)議，可以使第三方應(yīng)用獲得對資源服務(wù)的有限訪問。

根據(jù)OAuth2.0協(xié)議規(guī)范，定義了四個角色：

資源所有者（ResourceOwner）：能夠授予對受保護(hù)資源訪問權(quán)限的實(shí)體。例如應(yīng)用的用戶是資源的所有者，可以授權(quán)其他人訪問他的資源。當(dāng)資源所有者是一個人時，它被稱為最終用戶。

資源服務(wù)器（ResourceServer）：存儲受保護(hù)資源的服務(wù)器，能夠接受并使用訪問令牌來響應(yīng)受保護(hù)的資源請求。就是資源服務(wù)器接受AccessToken，然后驗(yàn)證它擁有的權(quán)限，最后返回對應(yīng)的資源。這個資源服務(wù)器一般是應(yīng)用本身。

授權(quán)服務(wù)器（AuthorisationServer）：服務(wù)器向客戶端（即應(yīng)用）頒發(fā)訪問令牌來驗(yàn)證資源所有者并獲得授權(quán)。即負(fù)責(zé)頒發(fā)AccessToken的服務(wù)器，例如IDaaS就是一個授權(quán)服務(wù)器。

客戶端（Client）：需要獲取訪問令牌以訪問資源服務(wù)器的應(yīng)用。經(jīng)過授權(quán)后，授權(quán)服務(wù)器為客戶端頒發(fā)AccessToken。后續(xù)客戶端可以攜帶這個AccessToken到資源服務(wù)器那訪問用戶的資源。

在OAuth2.0中一個應(yīng)用可能既是ResourceServer，也是Client，具體是什么角色，取決于應(yīng)用工作的場景。

概念可能有點(diǎn)難嚼，還請慢咽。

這四個角色一直在圍繞著一個叫AccessToken的東西在轉(zhuǎn)圈圈。

AccessToken也就是訪問令牌，它用于允許應(yīng)用訪問一個資源API。用戶認(rèn)證授權(quán)成功后，授權(quán)服務(wù)器會簽發(fā)AccessToken給應(yīng)用。應(yīng)用后續(xù)需要攜帶AccessToken訪問資源API，資源服務(wù)API會檢驗(yàn)AccessToken是否有權(quán)限訪問，從而決定是否返回對應(yīng)資源。

而AccessToken本質(zhì)上只是一串隨機(jī)字符串，并不能從中獲取到任何信息，檢驗(yàn)AccessToken的步驟還需要資源服務(wù)器將它轉(zhuǎn)發(fā)到授權(quán)服務(wù)器上進(jìn)行解析驗(yàn)證。

了解完AccessToken之后，我們來關(guān)注一下客戶端調(diào)用方是如何獲取到它的，也就是授權(quán)模式的選擇。

授權(quán)碼模式（AuthorizationCode）：適用于具有完整前后端的傳統(tǒng)Web應(yīng)用以及移動或桌面端應(yīng)用。

隱式模式（Implicit）：適用于沒有后端的基于瀏覽器（JavaScript）的純前端應(yīng)用。

密碼模式（ResourceOwnerPasswordCredentials）：適用于資源服務(wù)器和客戶端之間高度信任的情況下，例如自家應(yīng)用使用自家的資源。

客戶端憑證模式（ClientCredentials）：適用于沒有前端參與，純后端交互的情況，期間沒有用戶的參與，客戶端自己就是資源所有者。......

我們重點(diǎn)關(guān)注授權(quán)碼模式和客戶端憑證模式，這兩個是最常用的。

先看授權(quán)碼模式，也叫code換token模式，我們以StackOverflow使用GitHub登錄為例（在這個過程中StackOverflow是客戶端，GitHub是資源服務(wù)器，提供郵箱頭像等資源信息，同時GitHub也是授權(quán)服務(wù)器，會頒發(fā)token給客戶端）。