Avanpost WebSSO

Avanpost WebSSO позволяет реализовать в масштабах крупной территориально распределенной организации или сети взаимодействующих предприятий (деловой сети) полный комплекс функций обычной и многофакторной аутентификации пользователей ИС, а также их безопасного входа во все необходимые приложения после однократной аутентификации (Single Sign-On, или SSO). При этом единая система аутентификации и SSO, созданная с помощью Avanpost WebSSO, охватывает все механизмы взаимодействия пользователей с современными ИС: тонких клиентов, мобильные приложения, SaaS-сервисы, настольные приложения традиционного типа и  сложноорганизованные Web-ресурсы, страницы которых открывают доступ к информационным системам одной или нескольких организаций.

Кроме того, применение Avanpost WebSSO значительно упрощает внедрение импортозамещающих ИТ-решений и управление их жизненным циклом. По универсальности, набору функций, масштабируемости, простоте администрирования и разнообразию поддерживаемых видов ПО и информационных ресурсов новая разработка Аванпост не имеет аналогов на отечественном ИТ-рынке, превосходя как конкурирующие западные проприетарные продукты от ведущих мировых ИТ-компаний, так и разработки международного сообщества Open Source.

Avanpost WebSSO способен эффективно поддерживать ИС с миллионами пользователей. Так, независимое нагрузочное тестирование, проведенное у крупного федерального заказчика на инфраструктуре с пятью миллионами учетных записей, показало, что Avanpost WebSSO обеспечивает обработку потока запросов на уровне 1.5 тыс. аутентификаций в минуту со средним временем отклика менее трех секунд на конфигурации, состоящей из двух виртуальных серверов, в то время как конкурирующее решение от IBM (TFIM — Tivoli Federated Identity Manager) смогло обеспечить сопоставимые результаты на конфигурации, состоящей из 8 аналогичных виртуальных серверов и внешнего аппаратного балансировщика. При сопоставимой стоимости серверных лицензий на оба решения это означает, что заказчик, выбирая российскую разработку, по крайней мере втрое снижает свои расходы на закупку решения (выгода оказывается еще выше, если учесть и снижение расходов на серверное оборудование и операционные системы).

Avanpost WebSSO прямо «из коробки» поддерживает три наиболее важных для современного российского ИТ-рынка сценария аутентификации и реализации SSO в крупных ИС: общий сервис аутентификации для множества приложений крупной централизованной организации; федеративная аутентификация, когда пользователи находятся в нескольких взаимодействующих организациях, а сервис аутентификации предоставляет одна из них; аутентификация в SaaS-приложениях, необходимая организациям, переводящим свои ИС на инфраструктуру частных облаков. При этом в первом сценарии резко упрощается разработка приложений (т. к. в них не нужно реализовывать подсистемы управления информацией о пользователях), а также сохраняется управляемость при осознанной децентрализации ИС, вводимой для повышения гибкости. Во втором случае существенно повышается уровень безопасности взаимодействия больших групп компаний и крупных деловых сетей. Это связано с тем, что сегодня федеративная аутентификация реализуется чрезвычайно сложно, а Avanpost WebSSO является управляемым, надежным и технически эффективным решением. Наконец, при переходе на SaaS-архитектуру организация может не только создавать внутренние приложения в частном облаке, но и безопасно использовать услуги хостинг-провайдеров, не отдавая им свои данные о пользователях. При этом взаимодействие внешних и внутренних SaaS-приложений с сервисом Avanpost WebSSO основано на открытых стандартах (SAML, OAuth и др.).

Все это делает Avanpost WebSSO чрезвычайно актуальным для широкого спектра российских заказчиков: госструктур федерального и регионального масштаба, крупных муниципальных образований, госкорпораций, ведущих российских банков и финансовых организаций, интернет-компаний, а также коммерческих предприятий, корпораций и холдингов.

Востребованность функций Avanpost WebSSO различными категориями заказчиков

Для крупных государственных и муниципальных структур исключительно важна возможность иметь единую точку аутентификации и управления аутентификационными данными для внутренних пользователей, подведомственных учреждений и подрядчиков. Кроме того, при использовании Avanpost WebSSO (как самостоятельного решения или в связке с Avanpost IDM) резко упрощается администрирование каталога пользователей и снижаются затраты на этот процесс. При этом можно одинаково эффективно реализовать любой вариант управления — от полностью централизованной службы каталогов до федеративной аутентификации через множество каталогов, принадлежащих разным учреждениям. Особо отметим, что для этой категории заказчиков принципиальный характер имеет также значительное упрощение управления жизненным циклом информационных систем, претерпевающих длительный и сложный процесс перехода к импортонезависимым решениям. И новая разработка Avanpost WebSSO (как и Avanpost IDM) может в этом существенно помочь (см. ниже).

Для банков на первое место выходят единая точка аутентификации для расширяющегося множества каналов коммуникации с клиентами (через Web-сайты, мобильные приложения, веб-сервисы и др.), происходящего на фоне усложнения портфеля банковских услуг и растущей роли обслуживания частных и корпоративных клиентов через Интернет, повышения требований к системам мобильного банкинга. Большое значение в настоящее время и в перспективе имеют многофакторая аутентификация с применением механизмов SMS, одноразовых паролей с ограниченным временем жизни (Time-based One Time Password Algorithm, или TOTP) и электронной подписи (ЭП), а также простота реализации сценариев авторизации с использованием дополнительных факторов. Сложность таких ИТ-решений и высокие требования к их безопасности повышают роль упрощения и автоматизации администрирования учетных записей клиентов, также обеспечиваемого Avanpost WebSSO.

Для интернет-площадок (крупные интернет-магазины, провайдеры и агрегаторы информационных услуг и SaaS-приложений, платформы marketplace) сегодня важны такие возможности Avanpost SSO, как аутентификация с использованием внешних провайдеров (Google, Яндекс, Facebook и т. п.), а также организация единой точки аутентификации и управление каталогом учетных записей для портальных решений, состоящих из множества приложений, предоставляемых одним или несколькими провайдерами. Не меньшее значение для этой категории заказчиков имеет способность Avanpost SSO обслуживать большое число пользователей, справляясь как с пиковыми нагрузками, так и с длительной работой в высоконагруженном режиме.

Наконец, любым крупным компаниям Avanpost WebSSO дает аналог корпоративного SSO (со всеми его преимуществами) для их сотрудников (в интранет), партнеров (в экстранет) и клиентов (в Интернет). Кроме того, при использовании облачных решений не требуется ни дублирование каталога пользователей в облаке, ни предоставление аутентификационной информации третьей стороне. Весьма актуальна также технология многофакторной аутентификации. А для корпораций и холдингов, наряду с перечисленными функциями, чрезвычайно важна федеративная аутентификация, причем для этого нет необходимости поддерживать общий каталог пользователей.

Avanpost WebSSO в связке с IDM-системой

Avanpost WebSSO — это самодостаточный программный продукт, обеспечивающий весь комплекс сервисов аутентификации. Однако использование этого ПО в связке с программным продуктом Avanpost IDM позволяет полностью автоматизировать управление каталогом учетных данных системы WebSSO, являющимся для IDM одной из управляемых систем, связанной с ней через стандартный LDAP-коннектор. При аутентификации Avanpost WebSSO может получать аторизационные атрибуты непосредственно из IDM-системы. Кроме того, из IDM может передаваться и информация о ролях (для этой информации в SAML есть стандартный протокол). Всё это позволяет вообще не хранить в системе WebSSO информацию о пользователях (включая аутентификационные атрибуты). В результате не только упрощается администрирование функций аутентификации, но и исчезает сама возможность ошибок и злоупотреблений в этой области. А это критически важно для уровня информационной безопасности всей информационной системы.

Импортозамещение и жизненный цикл ИС

Avanpost WebSSO одинаково эффективно обеспечивает весь комплекс функций аутентификации и SSO как для информационных систем, построенных на основе технологий и продуктов западных вендоров, так и для импортонезависимых ИТ-решений. Это позволяет существенно упростить управление функциями аутентификации и SSO, а также миграцию аутентификационных данных в течение всего переходного периода, когда замещаемые и замещающие решения (ОС, СУБД, другое инфраструктурное и прикладное ПО) должны гладко сосуществовать, а соотношение между ними постепенно меняется.

Наиболее сложна замена операционных систем уровня предприятия и службы каталогов, в Windows-инфраструктуре это Microsoft Active Directory (MS AD), аналогом которой в мире OpenSource является Samba DC. Avanpost WebSSO и Avanpost IDM нетрудно интегрировать как с этими службами каталогов (Samba DC и поддержка MS AD интегрированы в ОС АЛЬТ компании «Базальт СПО» — первую российскую ОС уровня предприятия), так и с решениями, применяемыми в других отечественных и зарубежных ОС на базе Linux. В итоге, при всех сценариях и при любом сочетании операционных систем Avanpost WebSSO остается единой точкой управления аутентификацией и SSO в продолжение всей миграции.

Технологический стек, на котором построено решение Avanpost WebSSO, включая язык программирования, дополнительные библиотеки и фреймворки имеет эффективные реализации для Linux и Windows. Исходный код Avanpost WebSSO, созданный разработчиками Аванпост, также полностью переносим между обеими платформами. В то же время, предпочтительная среда исполнения для Avanpost WebSSO — это Linux. В настоящее время для этого нового продукта в компании Аванпост разрабатывается методика интеграционного и нагрузочного тестирования для ОС АЛЬТ Сервер компании «Базальт СПО». В дальнейшем, аналогичные испытания могут быть проведены для других российских ОС.