• BradleyManning
    BradleyManning
    shiny_metal_ass это, наверное, заклинание чтобы вызвать дух @Arkanoid

    вот у нас так — есть несколько систем аутентификации, каждая из них двухфакторная, на каждый аккаунт небольшой пул устройств (у вас же не один телефон?)

    поскольку это конгломерат из большого неповоротливого заказчика и пачки компаний-разработчиков успеть выдать всем кому надо нужные аккауты/права до тепловой смерти вселенной никак не выйдет, все дружно шарят аккаунты. я кому-то аппрувлю доступ не глядя, мне кто-то аппрувит доступ не глядя — так и живём.

    а как у вас?

Replies (21)

  • lurker
    lurker
    @BradleyManning, чтобы зайти в копанийский впн нужно вбить код из смс. зато потом доступ к приватным пакетам через нпм без авторизации
    /1 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, ну тут две проблемы
    a) что оно пиздец неудобное
    b) и что учетки можно шарить

    надо решать обе, если решить только вторую (key attestation), пользователи проклянут, если решить только первую, все будут продолжать делать как привыкли
    /2 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, для начала я бы пошел по пути попытки сокращения количества систем
    /3 ·
  • cypa
    cypa
    @BradleyManning, habr.com
    сертификаты, для управления хороший вариант предлагает SmallStep
    /4 ·
  • ArkanoiD
    ArkanoiD
    @cypa, сертификаты это все переводить на вменяемый ZT, а судя по вводным до этого далековато
    /5 in reply to /4 ·
  • Ilya-S-Zharskiy
    Ilya-S-Zharskiy
    @BradleyManning, я рулю сервисом IdP (SSO) на полмиллиона юзеров
    /6 ·
  • ArkanoiD
    ArkanoiD
    @Ilya-S-Zharskiy, расскажи прохладных былин
    /7 in reply to /6 ·
  • BradleyManning
    BradleyManning
    @ArkanoiD, кол-во систем пропорционально кол-ву юридических лиц (настоящих, не просто формальных) участвующих во всём этом, так что слабо реально, увы
    там попроще-то вопросы согласовываются через боль, бесконечные задержки и дружелюбие
    /8 in reply to /3 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, federated sso через oidc?
    /9 in reply to /8 ·
  • BradleyManning
    BradleyManning
    @ArkanoiD, в большей части системы — да
    /10 in reply to /9 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, а что мешает перевести всех на это? решит много проблем
    /11 in reply to /10 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, по крайней мере у тебя будет общая аутентификация, а системы авторизации можно прикручивать перпендикулярно
    /12 in reply to /10 ·
  • BradleyManning
    BradleyManning
    @ArkanoiD, ну вот часть рабочего процесса — это удаленный доступ на комп с vpn откуда я захожу удаленным доступом на сервак
    логины там (сейчас) отношения ко всему остальному не имеют
    а с другой стороны — federated sso на кучке вебсайтов
    /13 in reply to /11 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, и какие еще системы аутентификации есть? возможно, идея пересадить всех на сертификаты не так и плоха, но надо смотреть на частности
    /14 in reply to /13 ·
  • BradleyManning
    BradleyManning
    @ArkanoiD, да анрил это всё, я думаю, т.к. оно органическое, результат договоренностей между конторами
    ну это как твоя контора нанимается работать на заказчика, кто-то еще нанимается, фигак — у вас у всех сквозная аутентификация. да ну.
    это же не разные команды внутри одной конторы, это реально разные конторы
    /15 in reply to /14 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, насколько все проще с хипсторами у которых все на условном гугле :)
    /16 in reply to /15 ·
  • BradleyManning
    BradleyManning
    @ArkanoiD, ха, так на гугле тоже есть, просто это одно из
    /17 in reply to /16 ·
  • ArkanoiD
    ArkanoiD
    @BradleyManning, в общем, нет у меня для тебя универсального рецепта, были бы подробности — попытался бы сесть и нарисовать как упростить.
    /18 in reply to /17 ·
  • Ilya-S-Zharskiy
    Ilya-S-Zharskiy
    @ArkanoiD, есть самописная noSQL Document-Oriented СУБД

    работает по HTTP, настраивается из браузера
    никогда не выключается (9+ лет аптайма), реплицируется (во все стороны, но используется только pull), поддерживается мультимастер

    нода стартует 9..13 часов

    из неё невозможно удалить/изменить инфу бесследно, только дописать, все действия аудируются
    /19 in reply to /7 ·
  • Ilya-S-Zharskiy
    Ilya-S-Zharskiy
    @BradleyManning, сертификаты/каталог?
    /20 in reply to /13 ·
  • Ilya-S-Zharskiy
    Ilya-S-Zharskiy
    @BradleyManning, а что мешает сквозную аутентификацию сделать?

    flow, binding-и, мнемоники, токены, ACL
    /21 in reply to /15 ·