6

Tenho um cliente que vai desenvolver duas aplicações de sua empresa, ou seja, dois serviços oferecidos por sua empresa, e planos para outros projetos, e versões mobile dos mesmos.

Pois bem, por questões de modularização do projeto e facilidade de desenvolvimento de futuras aplicações, abstraimos todo o processo de autenticação das aplicações para um serviço único de autenticação/login.

Como fazer que toda a interação do usuário com sua conta, login, logout, atualização de dados, se dê em um único local, em um servidor e banco de dados à parte, deixando o servidor de cada aplicação livre e ocupado apenas com o que realmente lhe interessa?

A arquitetura que iremos utilizar é compartilhar um servidor de memcached como session handler das aplicações e do servidor de autenticação, os servidores estarão na mesma VPC na AWS

6
  • Oi, Thiago, bem vindo ao Stack Overflow em Português. Editei sua pergunta para tirar coisas não relacionadas com o problema em foco. A pergunta já tem 1 voto para fechamento, vale a pena conferir a central de ajuda e o guia Como perguntar para esclarecer o problema um pouco mais.
    – brasofilo
    Commented 13/09/2014 às 5:00
  • O ambiente é Windows? Se for, utilizem AD e pronto, não precisam mais se preocupar com isso. Commented 13/09/2014 às 5:26
  • Você pode dar uma olha no OpenId. Mas qual tecnologia você vai utilizar? Qual framework? Talvez eu possa ajudar mais. Commented 13/09/2014 às 12:55
  • Eu acho que, hoje em dia, esse tipo de autenticação nem se faz mais. Todo mundo loga com Google OAuth, Facebutts, OpenID... Commented 13/09/2014 às 14:22
  • Ambiente Linux, PHP e Zend Framework 2. Mesmo com Login Social você precisa processar em algum momento. O Login social é apenas uma facilidade ao usuário, mas terás de programar igual. Commented 15/09/2014 às 1:25

2 Respostas 2

8

Uma das maneiras de simplificar é o seu servidor de aplicação usar algo parecido com o seguinte fluxo:

  • A aplicação gera um hash e direciona o usuário para o servidor de login com esse parâmetro e mais um token se identificando;

  • o servidor de login solicita e verifica as credenciais do usuário;

  • caso o usuário cancele ou as credenciais não se confirmem após N vezes, o servidor de login devolve o usuário para a aplicação, sem confirmar o login, OU

  • ao confirmar as credenciais, o servidor de login redireciona o usuário de volta para a aplicação, com o ID do usuário e um hash assinado por um valor comum armazenado pelas partes envolvidas.

Dá pra se fazer isto de uma maneira relativamente simples, sem se preocupar com OAuth e outros protocolos mal documentados e complexos demais para a necessidade específica.

Vantagens desta solução:

  • Portátil - cada parte da aplicação pode ser dividida em diversas máquinas diferentes;

  • pouco código necessário;

  • funciona pra uma, duas ou duzentas aplicações, quantas forem necessárias;

  • escalável, pois não depende de onde cada parte do sistema está rodando;

  • simples de gerenciar, pois a única informação compartilhada entre as partes é o usuário autenticado, pelo retorno de um ID e assinatura válidos.

Considerações importantes

Este é um esboço geral, que faz sentido num ambiente não sujeito a ataques externos, ou a informações extremamente visadas (não que a solução não seja boa, mas ela só é tão boa quanto o seu cuidado de planejar os detalhes). Você é que tem que avaliar o grau de segurança necessário para a sua aplicação e decidir se vai simplificar ou utilizar alguma solução robusta. O difícil é separar as soluções robustas com motivo das apenas complicadas.

A explicação foi bem simplificada, apenas para dar uma visão geral. Cada etapa tem que ser devidamente cuidada, e você deve usar uma conexão segura e ter um token separado para cada aplicação cliente. Se a conexão não for segura, é necessário um passo a mais para obter um "contra token" do servidor.

8
  • Certo. E sempre que eu precisar confirmar as credenciais, sempre o mesmo processo né? E a sessão fica á cargo de cada aplicação? Commented 15/09/2014 às 3:11
  • A idéia é essa, isolar completamente os processos. Assim, você tem a vantagem da centralização do login, mas evita efeitos colaterais. Depois é claro que você pode incrementar o sistema, mas a vantagem é que fica tudo isolado. Mais interessante ainda é que se a pessoa salvar as credenciais na aplicação de login, ou se já tiver logado uma vez, quem vai cuidar disso é a a sessão do sistema de login apenas. Na hora que a segunda aplicação chamar, o redirecionamento já vai e volta de maneira transparente para o usuário.
    – Largato
    Commented 15/09/2014 às 3:33
  • Certo. E fica mais fácil de escalar, principalmente o memcached. Commented 15/09/2014 às 3:51
  • Como é feito esse redirecionamento de volta pra aplicação? Em outras palavras, ao fazer o redirect do servidor de login pro servidor da aplicação, onde armazenar o hash? Na própria URL? Minha preocupação é como manter esse hash seguro contra replay attacks ou similares (embora pensando aqui, imagino que isso pode ser mitigado usando um hash de curta validade...).
    – mgibsonbr
    Commented 24/09/2014 às 21:30
  • 1
    @mgibsonbr boa parte é complexa com motivo, mas outras partes são mal-feitas e mal documentadas. OAuth 2.0 por exemplo é complexo para uso em qq coisa. Inclusive eu uso para fazer Single Sign On com contas do google onde minha aplicação é o controlador das credenciais. Eu que tive que fazer malabarismos, isso sim, para contornar lacunas do protocolo (e não é falta de conhecimento, são problemas conhecidos por "academicismo excessivo", diferente de coisa que tem razão técnica de ser). Para não ficar o chat aqui, depois deleto este comment, e detalho melhor quando surgir ocasião mais oportuna.
    – Largato
    Commented 26/09/2014 às 2:39
2

Considere utilizar o CAS Central Authentication Service

Basicamente, o CAS é uma aplicação em Java para a qual você delega o serviço de autenticação. Ela se integra, por exemplo, com o Active Directory, permitindo, assim, que o usuário utilize a mesma senha do AD para as aplicações WEB (algo interessante no caso de aplicações corporativas).

Utilizo o CAS com sucesso em uma aplicação desenvolvida em Grails (framework Java web, baseado em Spring, Hibernate, etc).

O CAS roda em um servidor distinto das aplicações. Assim, qualquer aplicação que necessite de autenticação, nós delegamos a mesma para essa instância do CAS.

Você pode configurar para a autenticação acontecer com um banco de dados, via JDBC.

O CAS é nome do protocolo cujo a aplicação tem o mesmo nome. Ele é single sign-on, o que significa que após ter feito o logon em uma aplicação, as outras que forem abertas dentro da mesma sessão do browser compartilharão suas credenciais, não solicitando novamente usuário e senha.

Veja na página do CAS que existem clientes em Java, PHP, .NET, etc.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .