| Предыдущая тема :: Следующая тема |
| Автор |
Сообщение |
sib
Участник
Вступление в Клуб: 17.06.2009
|
 Пт Авг 21, 2009 12:58 Авторизация в ЦФТ. |
 |
Полезность: Нет оценки
|
| У нас собираются внедрять ЦФТ трехуровневой архитектуры. Хотелось бы узнать как лучше реализовать авторизацию пользователей в ЦФТ? |
|
 |
Darkangelo
Участник со стажем
Вступление в Клуб: 04.07.2007
|
| Пт Авг 21, 2009 14:08 |
|
Полезность: Нет оценки
|
| на моей памяти авторизация в 3L архитектуре подразумевает использование доменных учетных записей пользователя (в админе доступа делается прямая привязка oracle пользователя к учетной записи) |
|
|
IBSO
Профи
Вступление в Клуб: 20.08.2009
|
| Пт Авг 21, 2009 14:22 |
|
Полезность: Нет оценки
|
| Darkangelo пишет: | | на моей памяти авторизация в 3L архитектуре подразумевает использование доменных учетных записей пользователя (в админе доступа делается прямая привязка oracle пользователя к учетной записи) |
В свойствах пользователя в доступе ставится неперсонифицированное соединение и привязывается домен и имя сетевое пользователя. Тогда он входит с тем же паролем и под тем же именем что и в сеть. |
|
|
sib
Участник
Вступление в Клуб: 17.06.2009
|
| Пт Авг 21, 2009 14:45 |
|
Полезность: Нет оценки
|
| Получается если был скомпрометирован пароль входа в домен, то скомпрометирвоан пароль доступа и в ЦФТ, я правильно понимаю? |
|
|
r00st
Эксперт
Вступление в Клуб: 14.09.2007
|
| Пт Авг 21, 2009 15:08 |
|
Полезность: Нет оценки
|
| Цитата: | | Получается если был скомпрометирован пароль входа в домен, то скомпрометирвоан пароль доступа и в ЦФТ, я правильно понимаю? |
В 3-уровневой архитектуре логон под учетной записью Oracle отсутствует как таковой. Его имитирует сессия сервера приложений, получающая доступ к объектам, идентичный доступу пользователя Oracle.
Поэтому ни однократный ошибочный ввод доменного пароля, ни блокирока доменной учетной записи не влияют на учетную запись пользователя Oracle. |
|
|
sib
Участник
Вступление в Клуб: 17.06.2009
|
| Пт Авг 21, 2009 15:20 |
|
Полезность: Нет оценки
|
А причем тут блокировка пользователя в Oracle, если в данной ситуации пользователь логинится аккаунтом с домена и при таком раскладе на сколько я понял пользователи в Oracle не создаются.
Конечный пользователь ЦФТ логинется своим доменным аккаунтом через сервер приложений к базе данных, соответственно если доменный аккаунт был скомпрометирован, то могут получить доступ и в ЦФТ, вопрос стоял в этом. |
|
|
r00st
Эксперт
Вступление в Клуб: 14.09.2007
|
| Пт Авг 21, 2009 15:37 |
|
Полезность: Нет оценки
|
Я не верно трактовал "компрометацию".
| Цитата: | | если в данной ситуации пользователь логинится аккаунтом с домена и при таком раскладе на сколько я понял пользователи в Oracle не создаются |
создаются.
| Цитата: | | если доменный аккаунт был скомпрометирован, то могут получить доступ и в ЦФТ |
могут. |
|
|
sib
Участник
Вступление в Клуб: 17.06.2009
|
| Пт Авг 21, 2009 15:49 |
|
Полезность: Нет оценки
|
| Цитата: | | если в данной ситуации пользователь логинится аккаунтом с домена и при таком раскладе на сколько я понял пользователи в Oracle не создаются |
создаются.
Всмысле, для каждого пользователя будет создаваться пользователь в Oracle? Или все пользователи, после логина на application сервере будут пользоваться одним Oracle пользователем application сервера? |
|
|
r00st
Эксперт
Вступление в Клуб: 14.09.2007
|
| Пт Авг 21, 2009 20:00 |
|
Полезность: Нет оценки
|
1. Доменный логин лишь сопоставляется учетной записи в Oracle.
Без создания последней пользователь не получит доступ в IBSO.
2. В 3-звенке пользователь коннектится к серверу приложений под доменной учеткой. Физически коннект к серверу IBSO происходит под учетной записью сервера приложений (по умолчанию технический пользователь APP_SRV). Созданная сессия наделяется доступом, идентичным доступу пользователя Oracle. |
|
|
mvg
Участник - экстремал
Вступление в Клуб: 04.12.2008
|
| Вс Авг 23, 2009 22:53 |
|
Полезность: Нет оценки
|
| авторизация по 3L не подразумевает, а всего-лишь позволяет использовать доменные учетные записи - при этом по желанию вы можете использовать и авторизацию на сервере приложений, но для этого на СП необходимо создавать соответсвующего пользователя, а при наличии резервного СП - нужно создать пользователя и там (что не очень удобно по сравнению с доменной авторизацией). |
|
|
mvg
Участник - экстремал
Вступление в Клуб: 04.12.2008
|
| Вс Авг 23, 2009 23:08 |
|
Полезность: Нет оценки
|
| r00st пишет: | 1. Доменный логин лишь сопоставляется учетной записи в Oracle.
Без создания последней пользователь не получит доступ в IBSO. |
Мало того - если у созданной учетной записи Oracle не снят признак необходимости смены пароля, то по 3L соответсвующего пользователя также не пустит.
Мы для этого заходим по 2L под только что созданным пользователем с дефолтным паролем и вручную ему его меняем.
Все так делают или у кого-то есть более красивое решение? |
|
|
|
О проекте
Поиск
Отзывы
Регистрация
Вход
