एंटरप्राइज एसएसओ
AiHummer आपके पहचान प्रदाता के खिलाफ व्यवस्थापकों और उपयोगकर्ताओं का प्रमाणीकरण करता है। प्राथमिक, उत्पादन-पथ नियंत्रण है ओआईडीसी, जो एडमिन एपीआई की सुरक्षा करता है; सैमल, LDAP/AD और एससीआईएम प्रावधान भी लागू किए जाते हैं, साथ ही स्थानीय प्रमाणीकरण बाहर के IdP के बिना सेटअप के लिए।
स्तर: एंटरप्राइज SSO (OIDC/SAML/LDAP/AD/SCIM) भुगतान द्वारा नियंत्रित है उद्यम स्तर — यह मुफ्त/कम्युनिटी प्लेटफ़ॉर्म का हिस्सा नहीं है। स्थानीय प्रमाणीकरण हर स्तर पर उपलब्ध है।
OIDC एडमिन API की सुरक्षा करता है
OIDC है डिफ़ॉल्ट द्वारा अस्वीकार करें और यह नियंत्रण है जो सुरक्षा करता है /v1/admin/*. इसके साथ कॉन्फ़िगर करें AIHUMMER_OIDC_ISSUER (और संबंधित क्लाइंट सेटिंग्स)।
# /home/.aihummer/etc/gateway.env
AIHUMMER_OIDC_ISSUER=https://idp.example.com/एक है ओआईडीसी-सेटअप रनबुक (docs/runbooks/oidc-setup.md) जो क्लाइंट को रजिस्टर्ड करने और इश्यूअर को वायर करने के बारे में बताता है।
[!DANGER] OIDC कॉन्फ़िगर किए बिना, एडमिन API विश्वास करता है डेव हेडर्स पहचान के लिए। वह मोड केवल स्थानीय विकास के लिए है — कभी भी किसी एडमिन एंडपॉइंट को उजागर न करें इंटरनेट OIDC (या किसी अन्य लागू प्रमाणीकरण) के बिना उसके सामने। कॉन्फ़िगर करें
AIHUMMER_OIDC_ISSUERकिसी भी गैर-स्थानीय तैनाती से पहले।
[!TIP] के साथ OIDC परत आईपी अनुमति सूची और स्कोप्ड एपीआई कुंजियाँ ताकि एडमिन एक्सेस को सीमित किया जा सके पहचान, नेटवर्क और विशेषाधिकार को साथ में।
सैमल
SAML सिंगल साइन-ऑन को लागू किया गया है, जो मानक सेवा-प्रदाता एंडपॉइंट्स को उजागर करता है:
| अंत बिंदु | उद्देश्य |
|---|---|
GET /saml/metadata |
आपके IdP के लिए सेवा-प्रदाता मेटाडेटा। |
POST /saml/acs |
असर्शन कंज़्यूमर सेवा — SAML प्रतिक्रिया प्राप्त करता है। |
GET /saml/login |
SAML लॉगिन प्रवाह आरंभ करता है। |
[!NOTE] SAML लागू किया गया है लेकिन पूरी तरह से लाइव-सिद्ध नहीं हर IdP के खिलाफ। इलाज इसे उपलब्ध के रूप में लें और इसे आपके विशिष्ट पहचान प्रदाता के खिलाफ सत्यापित करें इससे पहले उत्पादन में उस पर भरोसा करना।
LDAP / सक्रिय निर्देशिका
LDAP/AD प्रमाणीकरण उन वातावरणों के लिए लागू किया गया है जो उपयोगकर्ताओं को डायरेक्टरी सर्वर के खिलाफ प्रमाणित करते हैं।
[!NOTE] समान रूप से SAML के साथ, LDAP/AD को लागू किया गया है लेकिन पूरी तरह से लाइव-सिद्ध नहीं सभी में डायरेक्टरी कॉन्फ़िगरेशन। डिस्ट्रीब्यूशन से पहले इसे अपनी खुद की डायरेक्टरी पर टेस्ट करें।
SCIM प्रावधान
SCIM आपके IdP को उपयोगकर्ताओं को स्वचालित रूप से प्रावधान और डी-प्रावधान करने देता है, मानक SCIM v2 उपयोगकर्ता एंडपॉइंट्स के माध्यम से:
| अंत बिंदु | उद्देश्य |
|---|---|
GET /scim/v2/Users |
सूची / प्रश्न प्रदान किए गए उपयोगकर्ताओं की। |
POST /scim/v2/Users |
एक उपयोगकर्ता बनाएँ। |
GET /scim/v2/Users/{id} |
एक उपयोगकर्ता पढ़ें। |
PUT /scim/v2/Users/{id} |
एक उपयोगकर्ता को अपडेट करें। |
DELETE /scim/v2/Users/{id} |
एक उपयोगकर्ता का प्रावधान रद्द करें। |
SCIM के माध्यम से प्रोविज़निंग उपयोगकर्ता निर्देशिका को आपके IdP के साथ सिंक में रखता है ताकि शामिल होने और छोड़ने वाले व्यक्ति मैनुअल व्यवस्थापक कार्य के बिना प्रतिबिंबित हों।
स्थानीय प्रमाणीकरण
जब कोई बाहरी IdP नहीं होता है, AiHummer समर्थन करता है स्थानीय प्रमाणीकरण. एक ताजा डेटाबेस पर गेटवे एक बार प्रिंट करता है admin पहली बार शुरू करने पर लॉग ऑन करने के लिए पासवर्ड; लॉग इन करें और इसे तुरंत बदल दें। स्थानीय प्रमाणीकरण छोटे या अलग-थलग डिप्लॉयमेंट के लिए उपयुक्त है, लेकिन IdP वाले संगठनों के लिए, OIDC अभी भी उत्पादन के लिए अनुशंसित मार्ग है।
एक दृष्टिकोण चुनना
| यंत्रणा | के लिए सबसे अच्छा | स्थिति |
|---|---|---|
| ओआईडीसी | किसी भी गैर-स्थानीय परिनियोजन में एडमिन API की सुरक्षा करना | सिफारिश की गई उत्पादन पथ |
| सैमल | उद्यमों ने SAML SSO पर मानकीकरण किया | लागू किया गया; अपने IdP के खिलाफ मान्य करें |
| LDAP / AD | डायरेक्टरी-आधारित प्रमाणीकरण | कार्यान्वित किया गया; अपने डायलॉग से सत्यापित करें |
| एससीआईएम | IdP से स्वचालित उपयोगकर्ता प्रोविजनिंग | लागू किया गया (SCIM v2 उपयोगकर्ता) |
| स्थानीय प्रमाणीकरण | आईडीपी के बिना छोटे या अलगाव वाले परिनियोजन | निर्मित |
अगला कहाँ
- RBAC और स्कोप्ड API कुंजियाँ — पहचानों को अधिकृत करें आपका IdP प्रमाणीकरण करता है।
- नेटवर्क, ऑडिट और एयर-गैप्ड — गेट नेटवर्क के माध्यम से व्यवस्थापक पहुँच और एक ऑडिट ट्रेल बनाए रखें।
- सिक्रेट्स वॉल्ट — जहां प्रमाणपत्र और टोकन रहते हैं।