В нашей организации есть безопасное приложение, в котором мы хотели бы предоставить пользователям возможность один раз щелкнуть и войти в свою учетную запись Google Apps без необходимости каждый раз вводить комбинацию имени пользователя и пароля.
Я читал об OpenID, федеративном входе и единой регистрации, и я не уверен, что что-то из этого будет работать для нас. Это возможно? Если да, то как проще всего это осуществить?
Вы понимаете, что, предоставляя эту возможность, очень трудно назвать ее безопасным приложением.
Внедрение единого входа является обычным способом сделать это в организации, но требует общеорганизационной структуры аутентификации, на которую можно положиться. Если вы запускаете Active Directory, вы можете использовать его для предоставления токенов аутентификации через его версию Kerberos, или под * nixes вы можете использовать настоящий Kerberos.
Попытка использовать единый вход для аутентификации ваших пользователей перед сторонними пользователями требует способа предоставления токена аутентификации для третьих лиц. Здесь OpenID может работать для ваших целей, но для этого потребуется либо сохранить токен в браузерах пользователей, который оставит их открытыми для атак, если они оставят свой компьютер незаблокированным, либо разрешить вашей внутренней системе аутентификации предоставлять OpenID для Google, когда Пользователь пытается войти в систему.
Не просто, и с точки зрения безопасности я бы сказал, что это плохая идея.
Рекомендуется, чтобы пользователи вводили свою комбинацию имени пользователя и пароля, чтобы хотя бы предоставить вам некоторую гарантию того, что пользователь входит в систему, а не злоумышленник или кто-либо другой, кто злоупотребляет своей учетной записью.
Для получения дополнительной информации об аспектах безопасности ознакомьтесь с некоторыми вопросами, помеченными аутентификацией в Security SE.
