使用WS網關和LDAP爲Web服務提供AAA的最優雅和最有效的方式是什麼？

Question

我正在尋找向Web服務提供授權，身份驗證和審覈的最佳方式。我將使用部署到DMZ的Web服務網關設備，並且在防火牆後面將有一個LDAP實例作爲用戶存儲。它應該如何構建？

乾杯

KA

更新 正如下面的答案中指出，LDAP是不理想的審計。我們現在正在查看針對此功能的CRM系統調用，因爲我們可以審覈客戶的使用情況。

Answer 1

認證是相當標準的。在嘗試驗證用戶名和密碼時，首先以具有查看所有用戶的權限的用戶身份進行綁定，然後在相應的字段（可能是「uid」）中使用提供的用戶名搜索條目。找到條目後，獲取其DN並嘗試使用提供的密碼綁定爲該條目。

授權通常使用「動態組」來處理，其中每個用戶對象具有多值屬性，說明用戶擁有什麼特權;或者使用「靜態組」，如果您有類的對象，類似於「 groupOfNames「並將所有成員的DN粘貼到」member「屬性中。

不管你喜歡做審計。 LDAP可能不是保存審計數據的最佳方式。如果你喜歡，你可以將它粘貼在數據庫中，或者只是使用syslog。