使用WS网关和LDAP为Web服务提供AAA的最优雅和最有效的方式是什么？

Question

我正在寻找向Web服务提供授权，身份验证和审核的最佳方式。我将使用部署到DMZ的Web服务网关设备，并且在防火墙后面将有一个LDAP实例作为用户存储。它应该如何构建？

干杯

KA

更新 正如下面的答案中指出，LDAP是不理想的审计。我们现在正在查看针对此功能的CRM系统调用，因为我们可以审核客户的使用情况。

Answer 1

认证是相当标准的。在尝试验证用户名和密码时，首先以具有查看所有用户的权限的用户身份进行绑定，然后在相应的字段（可能是“uid”）中使用提供的用户名搜索条目。找到条目后，获取其DN并尝试使用提供的密码绑定为该条目。

授权通常使用“动态组”来处理，其中每个用户对象具有多值属性，说明用户拥有什么特权;或者使用“静态组”，如果您有类的对象，类似于“ groupOfNames“并将所有成员的DN粘贴到”member“属性中。

不管你喜欢做审计。 LDAP可能不是保存审计数据的最佳方式。如果你喜欢，你可以将它粘贴在数据库中，或者只是使用syslog。