Предыдущая тема :: Следующая тема |
Автор |
Сообщение |
sib Участник
Вступление в Клуб: 17.06.2009
|
Пт Авг 21, 2009 12:58  Авторизация в ЦФТ. |
|
Полезность: Нет оценки
|
У нас собираются внедрять ЦФТ трехуровневой архитектуры. Хотелось бы узнать как лучше реализовать авторизацию пользователей в ЦФТ? |
|
![](templates/subSilver/images/spacer.gif) |
Darkangelo Участник со стажем
Вступление в Клуб: 04.07.2007
|
Пт Авг 21, 2009 14:08   |
|
Полезность: Нет оценки
|
на моей памяти авторизация в 3L архитектуре подразумевает использование доменных учетных записей пользователя (в админе доступа делается прямая привязка oracle пользователя к учетной записи) |
|
![](templates/subSilver/images/spacer.gif) |
IBSO Профи
Вступление в Клуб: 20.08.2009
|
Пт Авг 21, 2009 14:22   |
|
Полезность: Нет оценки
|
Darkangelo пишет: | на моей памяти авторизация в 3L архитектуре подразумевает использование доменных учетных записей пользователя (в админе доступа делается прямая привязка oracle пользователя к учетной записи) |
В свойствах пользователя в доступе ставится неперсонифицированное соединение и привязывается домен и имя сетевое пользователя. Тогда он входит с тем же паролем и под тем же именем что и в сеть. |
|
![](templates/subSilver/images/spacer.gif) |
sib Участник
Вступление в Клуб: 17.06.2009
|
Пт Авг 21, 2009 14:45   |
|
Полезность: Нет оценки
|
Получается если был скомпрометирован пароль входа в домен, то скомпрометирвоан пароль доступа и в ЦФТ, я правильно понимаю? |
|
![](templates/subSilver/images/spacer.gif) |
r00st Эксперт
Вступление в Клуб: 14.09.2007
|
Пт Авг 21, 2009 15:08   |
|
Полезность: Нет оценки
|
Цитата: | Получается если был скомпрометирован пароль входа в домен, то скомпрометирвоан пароль доступа и в ЦФТ, я правильно понимаю? |
В 3-уровневой архитектуре логон под учетной записью Oracle отсутствует как таковой. Его имитирует сессия сервера приложений, получающая доступ к объектам, идентичный доступу пользователя Oracle.
Поэтому ни однократный ошибочный ввод доменного пароля, ни блокирока доменной учетной записи не влияют на учетную запись пользователя Oracle. |
|
![](templates/subSilver/images/spacer.gif) |
sib Участник
Вступление в Клуб: 17.06.2009
|
Пт Авг 21, 2009 15:20   |
|
Полезность: Нет оценки
|
А причем тут блокировка пользователя в Oracle, если в данной ситуации пользователь логинится аккаунтом с домена и при таком раскладе на сколько я понял пользователи в Oracle не создаются.
Конечный пользователь ЦФТ логинется своим доменным аккаунтом через сервер приложений к базе данных, соответственно если доменный аккаунт был скомпрометирован, то могут получить доступ и в ЦФТ, вопрос стоял в этом. |
|
![](templates/subSilver/images/spacer.gif) |
r00st Эксперт
Вступление в Клуб: 14.09.2007
|
Пт Авг 21, 2009 15:37   |
|
Полезность: Нет оценки
|
Я не верно трактовал "компрометацию".
Цитата: | если в данной ситуации пользователь логинится аккаунтом с домена и при таком раскладе на сколько я понял пользователи в Oracle не создаются |
создаются.
Цитата: | если доменный аккаунт был скомпрометирован, то могут получить доступ и в ЦФТ |
могут. |
|
![](templates/subSilver/images/spacer.gif) |
sib Участник
Вступление в Клуб: 17.06.2009
|
Пт Авг 21, 2009 15:49   |
|
Полезность: Нет оценки
|
Цитата: | если в данной ситуации пользователь логинится аккаунтом с домена и при таком раскладе на сколько я понял пользователи в Oracle не создаются |
создаются.
Всмысле, для каждого пользователя будет создаваться пользователь в Oracle? Или все пользователи, после логина на application сервере будут пользоваться одним Oracle пользователем application сервера? |
|
![](templates/subSilver/images/spacer.gif) |
r00st Эксперт
Вступление в Клуб: 14.09.2007
|
Пт Авг 21, 2009 20:00   |
|
Полезность: Нет оценки
|
1. Доменный логин лишь сопоставляется учетной записи в Oracle.
Без создания последней пользователь не получит доступ в IBSO.
2. В 3-звенке пользователь коннектится к серверу приложений под доменной учеткой. Физически коннект к серверу IBSO происходит под учетной записью сервера приложений (по умолчанию технический пользователь APP_SRV). Созданная сессия наделяется доступом, идентичным доступу пользователя Oracle. |
|
![](templates/subSilver/images/spacer.gif) |
mvg Участник - экстремал
Вступление в Клуб: 04.12.2008
|
Вс Авг 23, 2009 22:53   |
|
Полезность: Нет оценки
|
авторизация по 3L не подразумевает, а всего-лишь позволяет использовать доменные учетные записи - при этом по желанию вы можете использовать и авторизацию на сервере приложений, но для этого на СП необходимо создавать соответсвующего пользователя, а при наличии резервного СП - нужно создать пользователя и там (что не очень удобно по сравнению с доменной авторизацией). |
|
![](templates/subSilver/images/spacer.gif) |
mvg Участник - экстремал
Вступление в Клуб: 04.12.2008
|
Вс Авг 23, 2009 23:08   |
|
Полезность: Нет оценки
|
r00st пишет: | 1. Доменный логин лишь сопоставляется учетной записи в Oracle.
Без создания последней пользователь не получит доступ в IBSO. |
Мало того - если у созданной учетной записи Oracle не снят признак необходимости смены пароля, то по 3L соответсвующего пользователя также не пустит.
Мы для этого заходим по 2L под только что созданным пользователем с дефолтным паролем и вручную ему его меняем.
Все так делают или у кого-то есть более красивое решение? |
|
![](templates/subSilver/images/spacer.gif) |
|