OpenAM para OpenLDAP para autenticação SysAID (LDAP)

Question

Acabamos de começar a usar um novo software chamado SysAid, que usa LDAP para autenticar usuários.

Temos um cliente, que usa o OpenAM para autenticar seus usuários para um aplicativo da Web proprietário.

Nosso objetivo é usar o OpenLDAP como uma espécie de intermediário entre o servidor OpenAM e o servidor LDAP. O objetivo final é permitir que os usuários façam login no SysAID com suas credenciais OpenAM sem precisar criar contas adicionais.

Eu consegui um servidor OpenAM e um servidor OpenLDAP sendo executado com sucesso em máquinas virtuais, mas estou bastante confuso sobre qual deve ser o próximo passo.

Poderia haver maneiras melhores de realizar o que eu quero fazer, caso contrário, alguns estímulos úteis na direção certa fariam o meu dia maravilhas!

    

Answer 1

The end goal is to allow users to login to SysAID with their OpenAM credentials without having to create any additional accounts.

Não consegui fazer com que o OpenAM fizesse esse tipo de coisa há alguns anos, mas talvez eles tenham limpado tudo um pouco. Eu tive muito mais sorte com o Shibboleth .

A maneira mais fácil de fazer esse tipo de coisa seria usar o SAML v2.0 ou o OAuth 2.0. O SysAID redirecionaria um acesso sem cookie ao servidor OpenAM, que solicitaria identificações de usuário e senhas e as autenticaria em relação ao LDAP. Após a autenticação bem-sucedida, o OpenAM redirecionava de volta para o SysAID. Você pode ver esse tipo de coisa em ação usando SimpleSAMLphp , com o Feide OpenIdP .

Acho que você verá que o OpenAM é intermediário / intermediário e que usar o OpenLDAP como intermediário simplesmente complicará as coisas.

    

Answer 2

Olhando para isso do ponto de vista da SysAid, você poderia ir com outra solução; Em vez de colocar um intermediário na forma de servidor OpenLDAP que irá coletar os dados do OpenAM e então o SysAid o obtém de lá, você pode escrever uma classe de login externa para o SysAid que permitirá a autenticação diretamente no OpenAM.

Você ainda precisará de alguma forma importar os detalhes do usuário do OpenAM para o SysAid, mas se puder exportar os usuários do OpenAM para um arquivo CSV, você poderá importá-lo para o SysAid (e até mesmo agendar as importações diárias).

Lembre-se de que escrever uma classe de login externa para o SysAid requer habilidades de programação (Java) e requer que o OpenAM realmente ofereça suporte a isso (o que eu acredito que seja).

Você pode entrar em contato com a equipe de Serviços Profissionais da SysAid e obter estimativas de preços para que eles façam a implementação para você, se você não tiver recursos para desenvolver isso sozinho ...

    

Answer 3

Isso dependerá muito de como seu OpenAM está configurado, mas em todos os casos, com exceção de uma pequena minoria, ele já estará usando um backend LDAP (você pode ver isso indo para o Access Control - > [Realm ] - > Armazéns de dados).

Se o SysAid oferecer suporte à autenticação LDAP, ele deverá ser capaz de autenticar no mesmo armazenamento de dados LDAP que o OpenAM está usando no momento, sem precisar criar / gerenciar novas contas. Não será single sign-on, mas estará usando os mesmos usuários / grupos / senhas, etc.