Неправильно ли использовать внешние пользователи в Active Directory?

У нас есть существующее веб-приложение, и мы хотим перенести его из специального решения для проверки подлинности в службы федерации Active Directory, чтобы наши партнерские организации могли управлять авторизацией своих пользователей на своей стороне.

В настоящий момент сайт использует пользовательские таблицы базы данных для управления пользователями и настраиваемой логикой для управления аутентификацией и авторизацией.

В дополнение к организациям-партнерам, которые будут аутентифицировать своих пользователей и получать доступ через ADFS, у нас есть внутренние пользователи, которые находятся в нашем домене Active Directory. Эти пользователи также могут быть аутентифицированы через ADFS.

Наш вопрос вращается вокруг наших внешних пользователей. Этот сайт также позволяет зарегистрировать людей. У этих лиц нет какой-либо организации, для которой они работают, поэтому мы не можем использовать ADFS для обработки их аутентификации.

Поскольку нам необходимо поддерживать этих людей, нам нужно управлять их учетными записями пользователей.

ADFS может подключаться только к хранилищам учетных записей приложений Active Directory или Active Directory.

Поскольку ADFS поддерживает только эти хранилища учетных записей, логическое решение заключается в создании учетных записей для внешних пользователей в нашем домене Active Directory.

Это означает, что мы обновили наши страницы регистрации, чтобы создавать новые учетные записи пользователей в активном Active Directory, а не создавать новые записи в нашей пользовательской базе данных.

Итак, это плохая практика? Должен ли AD использоваться для пользователей, внешних по отношению к одной организации? Как другие справляются с ситуацией такого типа при использовании ADFS?

Ответ 1

Создайте новый лес AD для ваших внешних пользователей, вам может потребоваться установить некоторую лучшую безопасность, но эти два могут быть упрощены для обеспечения полной аутентификации.

Вам нужно будет сказать им использовать другой домен при входе в систему (например, ваши обычные пользователи используют "mycorp", внешние используют "externalcorp" ), но в противном случае это полностью прозрачно.

Ответ 2

Да, неверно использовать внешних пользователей в том же AD, что и ваши внутренние пользователи. Держите внешние учетные записи раздельными и проверьте ADAM для внешней аутентификации пользователя.

Ответ 3

Я думаю, что вопрос, который вам нужно задать, заключается не в том, что хранить внешние учетные записи в активном каталоге плохо, но если хранить учетные записи в том же лесу, что и ваши внутренние учетные записи, это плохо. Это можно сделать, но я бы согласился с Fallen, что я не ставил внешние счета в том же лесу с внутренними.

В прошлом, когда мы использовали хранилище AD для размещения внешней учетной записи, мы создали новый лес и размещали там внешних пользователей, а затем доверяли двум доменам. На мой взгляд, это лучший вариант, потому что пользователи с самым высоким доступом во внутренней сети ограничены доверием, а не учетной записью пользователя. Если домен включен, вы всегда можете его отключить, и вы поймете, что ничто с внешним доступом не может получить доступ к внутренним сетям. Это также позволяет вам иметь разные политики безопасности между внешними и внутренними пользователями.