AuthNZ需求
在购买或创建新服务时，必须考虑用户将如何向它证明自己是谁(身份验证- AuthN)以及服务如何决定给定用户的访问级别(授权- AuthZ)。
在肯特开云体育app客服，为了用户的利益和我们自己的安全利益，我们尽量保持认证过程的一致性(训练用户只向受信任的网页提供凭据，大大降低了被钓鱼的可能性!)，并通过使用现有的机构数据来推动系统决策，使授权过程尽可能透明。
为此，我们提出了一些评估新服务在这一领域的可行性的要求，这些要求被分为不同的可接受程度。
这些要求中使用的语言应符合RFC2119．
黄金
- 该大学为开云体育主頁(欢迎您)新服务提供身份验证和授权的首选方法是使用SAML2(身份验证)的联邦单点登录，访问控制(授权)由登录期间断言的属性控制。
- 最大会话长度必须在服务上是可控的。
- 基于SAML2的单注销必须允许另一个服务触发注销事件，并允许该服务触发IDP注销。
- 在适当的情况下，授权五月在带外由另一个(计划的)进程控制，该进程基于最新的机构数据而不是SAML2断言。
- 服务不得要求使用不请自来的或国内流离失所者发起单点登录
银
- 一些服务通过SAML2支持联邦单点登录，但需要在应用程序中管理基于授权或角色的访问。安全措施在哪里应该用于限制一般访问(通过前门检查，例如基于帐户类型属性的过滤)。
- 考虑必须当一个人改变角色(例如批量导入过程)时，给予及时删除特定的访问权限。
- 基于SAML2的单注销必须允许另一个服务触发注销事件，并允许该服务触发IDP注销。
- 服务不应该要求使用不请自来的或国内流离失所者发起单点登录
青铜
- 如果该服务不支持通过SAML2的联邦单点登录，那么我们可以通过Active Directory或基于LDAP的身份验证和授权为Kent网络中托管的服务或通过点对点VPN提供单源登录服务。开云体育app客服这必须通过加密协议(如LDAPS或Kerberos)支持。
- 授权应该基于最新的机构数据，如活动目录组或LDAP属性过滤器。如果这是不可能的，并且授权数据存储在本地服务中，考虑必须用于这些数据的自动化管理。
断开连接
- 有些服务在技术上受到限制，它们不承认任何外部的身份验证或授权数据来源，并要求用户在系统内注册并拥有本地服务密码。
- 这些系统应该：
- 允许密码策略至少与标准的大学策略一样强;开云体育主頁(欢迎您)
- 支持批量导入用户数据，减少维护系统的管理开销。
在需要多种访问方法的情况下，如同时处理交互式用户和服务API调用时，以上级别的组合可能是合适的。
这些需求也包含在信息服务的标准集非功能性需求(开云体育app客服Kent IT Account required)，正式采购新服务时使用。