تنفيذ التوثيق والترخيص في التطبيقات التي لا تُستخدم

لماذا التوثيق والترخيص في المصانع العديمة التحلل

وقد أدى الحساب غير المستقر إلى تحول كيفية قيام الأفرقة ببناء ونشر الطلبات عن طريق إدارة الهياكل الأساسية الخفية، وتخفيض النفقات التشغيلية العامة، والتمكين من التوسع التلقائي، غير أن الطابع النمطي والمدفوع بالأحداث للمهام التي لا تخدم أي خدمة تنطوي على تحديات أمنية فريدة، وبدون وجود خادم ثابت يحافظ على حالة الدورة، يجب أن يتحقق كل شاغل وظيفة بصورة مستقلة من هو المتصل وما إذا كان مسموحا له بأداء العمل المطلوب.

وعلى عكس التطبيقات الاحتكارية التي يمكن أن يعيش فيها منطق التوثيق داخل خادوم مركزي، وتوزع الأجهزة التي لا تخدم أي خدمة التوثيق عبر بوابات نظام المعلومات الإدارية المتكامل، وخدمات الهوية، والوظائف الفردية، وهذا التوزيع يتطلب استراتيجية واضحة توازن بين الأمن والأداء والخبرة المطورة، وفي هذه المادة نستكشف المفاهيم الأساسية والأدوات الشعبية وأنماط التنفيذ العملية لتأمين التطبيقات التي لا تخدم الحاسوب.

التوثيق ضد الترخيص: تمييز واضح

وعلى الرغم من أن التوثيق والإذن كثيرا ما يستخدمان معادلات، فإنهما يخدمان أغراضا متميزة، فالتوثيق يجيب على السؤال " من أنت؟ " - عادة عن طريق التحقق من وثائق التفويض مثل اسم المستخدم وكلمة السر، أو رمز لمرة واحدة، أو عامل قياسي أحيائي.

وفي البيئات التي لا تخدمها الخدمة، كثيرا ما يحدث التوثيق في بوابة نظام المعلومات الإدارية المتكامل أو من خلال مُقدِّم مُكرَّس للهوية قبل بدء العمل بوظيفة ما، ويمكن التعامل مع الإذن على مستوى البوابة عن طريق وثائق السياسات، في إطار الوظيفة عن طريق الرموز التي تفتش المطالبات في موقع يون على شبكة الإنترنت، أو عن طريق مزيج من كليهما، وكثيرا ما يؤدي عدم الفصل بين هذه المسؤوليات إلى أوجه ضعف مثل تصعيد الامتيازات أو تسرب البيانات.

استراتيجيات التوثيق للتطبيقات التي لا توصف

ويقع التوثيق غير المتحقق عادة في ثلاث فئات: خدمات الأطراف الثالثة التي تدار إدارة كاملة، والتوثيق العرفي ضمن المهام، والهوية الموحدة باستخدام موصل OAuth2/OpenID.

الثالث - مقدِّمي الهوية

وتعتمد معظم التطبيقات التي لا تخدم الحاسوب على نظام معلومات مكرس لمعالجة التوثيق، وتدير هذه الخدمات أدلة المستخدمين، وتسريع كلمة السر، وإدارة الدورة، والتكامل مع مقدمي الخدمات الاجتماعية.

• Amazon Cognito] - A fully managed service that integrates natively with AWS API Gateway and Lambda. Cognito provides user pools for sign-up/sign-in, identity pools for temporary AWS accreditation, and supports MFA, adaptive authentication, and custom workflows via LamFda triggers:[2]
• Auth0] - منصة هوية قائمة على الغيوم توفر لوجّات عالمية، وصلات اجتماعية، ولوج لا حدود له، وتكييف واسع النطاق.
• Firebase Authentication - Part of Google’s Firebase suite, it supports email/password, phone, and popular social providers.
• Azure Active Directory B2C] - For enterprise applications requiring Azure AD integration, B2C provides identity management for consumer-facing apps with support for standards like OAuth2 and SAML.

ويزيل استخدام طرف ثالث من شركاء التنفيذ عبء تأمين التخزين الخلاقة، والتشفير، والامتثال، كما أنه يبسط تنفيذ الملامح المتقدمة مثل نظام إدارة الديون والتحليل المالي، واسترداد الحسابات، وحماية القوة الشرائية.

التوثيق العرفي في الوظائف التي لا توصف

وعندما تحتاجون إلى السيطرة الكاملة على تدفق التوثيق - مثلاً عند الاندماج في قاعدة بيانات المستخدمين القديمة أو إنفاذ بروتوكولات التوثيق الملكية - يمكنكم تنفيذ منطق التوثيق مباشرة داخل لامبدا أو وظيفة أخرى غير خادمة، وكثيراً ما يستخدم هذا النمط في نقاط نهاية نظام المعلومات الإدارية المتكامل التي ينبغي أن تكون متاحة للجمهور، ولكنهم يحتاجون إلى مادة مصنّفة حسب الطلب، مثل مفاتيح نظام المعلومات المسبقة عن البضائع للشركاء الخارجيين.

غير أن التوثيق العرفي للبناء من الخدش أمر خطير، فالمهام التي لا توصف هي عديمة الجنسية، لذا يجب أن تتعاملوا بأمان مع تهتز كلمة السر (استخدام البكتريبت أو آرجون2)، والجيل المكسور، وإدارة الدورة، ويمكن أن تسبب البدايات الباردة ارتفاعاً في درجة حرارة إذا كان منطق التوثيق ثقيلاً، وهذه الأسباب، فإن التوثيق العرفي هو الأفضل محجوز للخدمات الداخلية أو قواعد المستخدمين غير الحرجة.

OAuth2 and OpenID Connect in Serverless

(أ) المعيار الصناعي للإذن المفوَّض، الذي يمكِّن من الحصول على الموارد نيابة عن مستخدم دون تقاسم وثائق التفويض.() ويستند الوصل المفتوح إلى " أوث-2 " لإضافة التحقق من الهوية، حيث تستخدم العديد من التطبيقات التي لا تستخدم الخواديم تدفقات OAuth2/OIDC للسماح للمستعملين بالتوقيع في غوغل أو غيت هوب أو فيسبوك، ثم إصدار بطاقات هوية تحمل مطالبات من نوع JWTs

القروض الاجتماعية وبدل المعيشة

وكثيرا ما يكون قطع الأشجار الاجتماعي هو أسهل طريقة لخفض الاحتكاك أثناء عملية الاشتراك، ويمكن إدماج كل من غوغل وغيت هوب عن طريق مركب SDKs أو عن طريق تنفيذ نظام الترخيص OAuth2 يدويا، ويضيف قطع الأشجار الاجتماعي مع وزارة الخارجية طبقة إضافية من الأمن: حتى إذا تعرض حساب اجتماعي للخطر، فلا يمكن للمهاجم أن يحصل على تطبيق غير ذي قيمة دون دعم من جانب عامل ثان.

التوثيق المكسور: العمود الفقري لغير المكفوفين

ونظراً لأن الوظائف التي لا تخدمها الخدمة هي عديمة الجنسية، فإن المزمار - ولا سيما موقع يوبون على الشبكة العالمية - هي الآلية المفضلة لنقل المعلومات المتعلقة بالتوثيق والإذن بين الخدمات، وهي عبارة عن ميثاق، ومصدر آمن، يتألف من رئيس، وحمولة (المطالبات)، وتوقيع، ويضمن التوقيع أن لا تكون هناك آثار على المكسورين، ويُشار إلى أن الخواديم العامة لا تحمل توقيعاً خاصاً.

الهيكل والتقييم

ويشبه هذا النوع من المطالبات العادية () ويحتوي الحمولة على مطالبات موحدة (المصدر، والموضوع، والانتهاء) ومطالبات عرفية (القضايا، والأذون، والهوية المستعملة) وفي سياق لا يُستخدم فيه الحاسوب، تُثبت المهام توقيع المركب وانتهاء خدمته ومصدره قبل المضي قدماً، ويعرض العديد من مقدمي طلبات الحصول المسبقة عن شركة لامبويبدا أو مرخصة بموجب سياسة " إيواي جيوت " التي تعيد تلقائياً " .

فعلى سبيل المثال، عندما تستخدمين " أوث " مع " إيهوس لامبدا " ، تصادرين مرخصاً عادة يتحقق من نقطة نهاية " أوث " JWKS " ، ثم يعلق الوكيل على سياق الحدث المطالب المهزومة، مما يسمح لللامبدة باتخاذ قرارات أذونية محكم عليها دون أن تقوم مرة أخرى بالتصديق عليها.

الجلسة ضد التوثيق المكسور

وتعتمد الأجهزة التقليدية القائمة على الخواديم على كعكات الجلسات المخزنة على الخادم، وفي خواديم، تصبح الجلسات صعبة لأن المهام هي نصف الكرة الأرضية، وتمتد إلى الصفر ستكسر مخازن الجلسات المغلقة، وتتحول التوثيق القائم على التذاكر إلى الدولة إلى العميل: فالتركيز يحمل جميع المعلومات اللازمة، ولا يحتاج الخادم إلا إلى التحقق من توقيعه، وهذا النهج اللامع يمتد دون جدوى، ولكن يتطلب توخي الحذر في الإلغاء.

نماذج الإذن لغير المكفوفين

وبعد التوثيق يحدد الهوية، يحدد الإذن ما يمكن أن تفعله هذه الهوية، وثلاثة نماذج مشتركة هي مراقبة الدخول على أساس الأدوار، ومراقبة الوصول على أساس المقومات، ومراقبة الوصول على أساس السياسة العامة.

مراقبة الدخول على أساس الأدوار

وفي اتفاقية روتردام، تُجمع التصاريح إلى أدوار (مثلاً، الإسمان، المحررة، المشاهد) ويُسند إلى المستخدمين دور أو أكثر، ويتحقق النظام مما إذا كان دور المستخدم يسمح بالعمل المطلوب، ويُستقيم المكتب الإقليمي لأمريكا اللاتينية ومنطقة البحر الكاريبي تنفيذ ما يلي: بعد تزيين النظام المشترك، التحقق من أن المطالبة بالدور فيها تتضمن الدور المطلوب للنقطة النهائية، وهذا يعمل جيداً على تطبيقات ذات هرم مُحدد جيداً للمستعملين.

مراقبة الدخول على أساس المساهمين

وتقيم اللجنة الاستشارية المعنية ببروميد الميثيل إمكانية الوصول استناداً إلى مجموعة من خصائص المستخدمين (مثلاً، مستوى الإدارة، التطهير)، وخصائص الموارد (مثل تصنيف الوثائق)، والظروف البيئية (مثلاً، وقت اليوم، عنوان برنامج التخطيط الدولي)، فعلى سبيل المثال، لا يمكن للمستعمل أن ينظر إلا إلى الوثائق في إدارته خلال ساعات العمل، وكثيراً ما تكون هذه القواعد أكثر مرونة من القواعد المتعلقة باتفاقية بازل، ولكنها تُحدث تعقيداً.

مراقبة الوصول المستند إلى السياسات

وتضع هذه السياسة مركزياً في سياسات الترخيص خارج نطاق مدونة التطبيقات، إذ تسمح لك دوائر السحب مثل إدارة الهوية والوصول التابعة للرابطة بتحديد سياسات " يو إن " التي تحدد الإجراءات المسموح بها بشأن أي موارد، ويمكن ربط هذه السياسات بالأدوار التي تُضطلع بها في الوظيفة أو في دورة المستعملين، وعندما تقترن بقاعدة بيانات تحديد الهوية، يمكن أن تُنفّذ الإذن دون رمز مكتوب - تقوم البوابة بتقييم السياسة العامة قبل أن تُحفّز على نمط التناسق الجوهري.

منح إذن تنفيذي في التطبيقات التي لا توصف

وتوجد ثلاث طبقات أولية يمكن فيها إنفاذ الترخيص: في بوابة نظام المعلومات الإدارية المتكامل (قبل تشغيل الوظيفة)، أو داخل مرخص لامبدا، أو في إطار الوظيفة نفسها.

إذن بوابة نظام المعلومات الإدارية المتكامل (الوحدة في)

وتساند مجموعة بيانات نظام المعلومات الإدارية المتكامل، ومؤسسة Azure API، وشركة Google Cloud Endpoints، التحقق من صحة النظام الوطني المشترك المعني بالأسلحة الصغيرة والإذن على أساس السياسة العامة، فعلى سبيل المثال، لا يمكن للمبادرة المذكورة أن تصادق على نظام " بوابة " (JWT) من جهة إصدار محددة، ثم ترسم خرائط للمطالبات بإذن بالطرق، وهذا النهج سريع لأن التحقق من موقع الشبكة، مما يقلل من شروط الضبط والتكلفة.

كاتبي أعمال لامبدا

ويستخدم المرخِّص للشركة (المعروف سابقا باسم مرخِّص للعرف) وظيفة تُستَلَدُ من المركب (كرئيس أو مظلة للاستفسار) ويعيد سياسة " إيم إيه إيه إيه إيه " التي يُنفِّذها نظام إيه إيه تي ويُمكن للمرخِّص له أن يُفكِّر المجلس الوطني للأخرى، ويُرُ في ذلك.

الوظائف الداخلية

وفي بعض البنايات، لا سيما تلك التي لا تواجه بوابة نظام المعلومات الإدارية المتكامل (مثلاً، المهام التي تحركها الأحداث، والمصممون على نظام غرامي كيل)، يجب أن يحصل الترخيص داخل الوظيفة، ويشمل هذا النمط تزيين النظام المشترك والتحقق من الأذونات ضد قاعدة بيانات أو مخابئ، وفي حين أن هذا النظام مرن، فإنه يمكن أن يؤدي إلى ازدواجية المنطق عبر المهام، والحفاظ على الاتساق، واستخدام مكتبة مشتركة تعمل على الموجات المتوسطة التي تلف مشغل وظائفك.

فعلى سبيل المثال، يمكن استخدام وسط برنامج لامبدا، أن تخلق نظاماً وسطياً للإذن يصلح أدواراً، ويعيد 403 استجابة أو يتحكم في المعالج، ويبقي هذا الرمز الوظيفي نظيفاً وينفذ نقطة ترخيص واحدة.

أفضل الممارسات المتعلقة بالتوثيق والترخيص

وبالإضافة إلى اختيار الأدوات والأنماط الصحيحة، تتطلب طبقة من الشطرنج المأمون التي لا تخدم الحاسوب التقيد بأفضل الممارسات التشغيلية، وتستمد التوصيات التالية من وثائق مقدمي الخدمات السحابية والمبادئ التوجيهية لمكتب شؤون المرأة.

استخدام جهاز التعقب في كل مكان

ويجب أن يُشفَّر كل اتصال بين العملاء، وبوابة نظام المعلومات الإدارية المتكامل، ووظائف الدعم، مع نظام TLS. ويمكن إضافة شهادة إلى العملاء المتنقلين، ولكن ضمان تناوب الشهادات بانتظام.

إنفاذ مبدأ " بريفل "

وينبغي منح كل وظيفة فقط التصاريح التي تحتاجها، واستخدام أدوار معززة جيداً في إدارة الهجرة الدولية لمهام لامبدا، وتفادي منح إذنات واسعة النطاق مثل . وبالمثل، ينبغي أن يعيد مأذون بوابة نظام المعلومات الإدارية المتكامل سياسات تحد من إمكانية الحصول على موارد محددة.

تنفيذ التوقيف المتعدد الأطراف

تمكين وزارة الخارجية من القيام بأي عملية حساسة، ولا سيما نقاط النهاية المحددة، تدعم شركاء التنفيذ مثل كونينيتو وأوثا إم بي مع شركة توب أو شركة SMS. In serverless, you can force MFA verification for specific API routes by check a claim in the JWT (e.g., ).

"مُخلّفات مُقيّمة في كلّ باوند"

ولا يفترض أن خدمة من أعلى المجرى قد تأكدت من وجود مركب ينتقل إلى وظيفة واحدة، وينبغي لكل مهمة أن تتحقق بصورة مستقلة من توقيع وانتهاء مدة الخدمة ومصدرها، وهذا الدفاع المتعمق يحول دون وجود نقطة فشل واحدة.

إدارة الأسرار بشكل آمن

لا تستخدم أبداً مفاتيح أجهزة التدقيق الآلي أو المفاتيح السرية أو وثائق التفويض في رمز العمل، وتستخدم مديراً لأسرار مثل مديرة أسرار وكالة الأمن الوطني، أو مستودع باراميتر أو خزف هاشيكورب، لأغراض التنمية المحلية، تستخدم متغيرات البيئة بحذر ولا تلزمها أبداً بمراقبة النسخ.

مفاتيح التناوب بانتظام

(ج) مفاتيح التوقيع على قوائم المرشحين، ومفاتيح تسجيل الدخول، وأسرار العملاء في جدول زمني منتظم (مثلاً كل 90 يوماً) والتناوب الآلي باستخدام أدوات لتزويد السحابات، وضمان تحديث نظام " يو تي " العام (نقطة نهاية نظام المعلومات الجغرافية) قبل انتهاء صلاحية المفاتيح القديمة لتجنب حدوث إخفاقات في التصديق.

اللغم والمراقبة

(ج) إتاحة تسجيل مفصل لسجلات الدخول إلى بوابة نظام المعلومات الإدارية المتكامل وسجلات لامبدا كلودواتش، ورصد أنماط غير عادية مثل تكرار 401 خطأ، أو مواقع جغرافية غير عادية، أو محاولات الحصول على موارد غير مأذون بها، ووضع تنبيهات باستخدام خدمات مثل أسلحة التلويد واتش أو أدوات الحزب الثالث.

تنفيذ الحد من المعدل والتأثير

استخدام خطط استخدام بوابة نظام المعلومات الإدارية المتكامل، أو خنق أو قوة حماية عالمية (خط النار في تطبيق نظام ويب) لحماية نقاط نهاية التوثيق (مثلاً، اللوتين) من الهجمات التي تشنها القوات المكشوفة، كما أن حدود تطابق وظيفة لامبدا يمكن أن تمنع أيضاً من الارتفاع المفاجئ للطلبات المقدمة من شركاء التنفيذ المتعاقبين في المراحل النهائية.

اختبار لوث لوجيك ثورو

:: كتابة اختبارات الوحدة واختبارات التكامل من أجل رمز التوثيق والترخيص الخاص بك، بما في ذلك اختبارات التذاكر التي انتهت صلاحيتها، والعلامات المفقودة، والمطالبات المفقودة، ومحاولة تجاوز الترخيص، واستخدام أدوات مثل لمسح أحداث بوابة نظام المعلومات الإدارية المتكامل.

ابقوا مستكملين في الشرطة الأمنية

ويتطور النظام الإيكولوجي غير المتوفر بسرعة، ويخضع للاستشارات الأمنية من برنامجك الدولي ومزود السحابات، ويطبق على النسخ التي لامبدا في فترات الدوام والعالي (مثل مكتبات JWT وزبائن برنامج HTTP) بانتظام.

خاتمة

فالتوثيق والإذن ليسا من الإضافات الاختيارية في التطبيقات التي لا تخدم الحاسوب - وهما أساسيان لبناء الثقة مع المستعملين وحماية البيانات الحساسة - عن طريق رفع مستوى مقدمي الهوية المدارين، والتوثيق المكسور، ونماذج الترخيص المطبق، يمكن أن تخلق أساسا آمنا ينمو مع نمو قاعدة المستعملين، والأنماط المبينة في هذه المادة - شركاء الدين الثلاثة، ومصادقة الفريق العامل المعني بالهوت، ومأذونات المنفذات، ومكيفات المثبتة.

(ب) أن تُراجع بانتظام سياساتكم في مجال مراجعة الحسابات، وتُحدِّث المعالين، مع النهج الصحيح، يصبح التوثيق والترخيص غير المُحددين مُمكِّنين، لا عقبات، لبناء تطبيقات سريعة وآمنة وقابلة للتكرار، وأن تتشاور فيما يتعلق بأفضل الممارسات [([FT:0]) [FT:1].