複数のOSユーザー認証手法のアプローチと推奨事項

Question

ユーザーとパスワードの組み合わせを認証し、いくつかの異なるオペレーティングシステム間でグループの関連付けを検証する方法の推奨事項を探しています。基本的に私はMS Visual Studio C＃とMono C＃の両方で動作しているC＃アプリケーションを持っており、Windows、Linux、MacOSXをサポートするために認証メカニズムを追加する必要があります。

Windowsの場合、WindowsのみのLogonUser APIを使用するためのクイックC＃interopを作成しました。これは正常に動作していますが、Windows以外のシステムでは機能しません。私の最終的な目標は、すべてのプラットフォーム（Windows、Linux、MacOSX）で同じコードセットを実行し、可能な限りOSに依存しない#ifdefを設定することです。

注 - 私は必然的に、固有のOSユーザーアカウントを使用しようとしています。自分のユーザーアカウントストアを維持しない方がいいです。

アプローチやユーザー認証技術などについてのご意見やご提案は歓迎します。

Answer 1

私はLinuxとMacで認証がどのように機能するのか分かりませんが、私の頭に浮かぶのは、IAuthenticatorインターフェイスを実装し、OS固有の認証クラスを持つことです。 Dependecy Injectionを介して、あるいは実行時に動的に適切なクラスに手動で切り替えることができますが、どういうわけか、あなたのアプリケーションは現在実行中のOSを特定できるはずです。

Answer 2

各システムはローカル認証を別々に処理します。 @Darnellが述べたように、あなたの認証のためのインタフェースを作成し、システム特有のバックエンドを隠す必要があるでしょう。

複数のシステムで同じユーザーアカウントを使用する必要がある場合は、ユーザー情報用のldapと認証用のkerberosのみをサポートします。

あなたのアプリケーションを "kerberizing"するのに足りず、同等の環境でのみ動作すると主張しているため、普遍的な認証方法はありません。また、LDAPは実際にグループ情報を照会する唯一の移植可能な方法です。

よりシンプルな（移植性の高い）オプションは、ある種の事前共有キーを使用することがあります。このようにして、ユーザーはメッセージに署名するためのキーを与えることで、プログラムだけを認証します。ユーザーの対応するキーとメッセージを照合すると、a）ユーザーはローカルに存在し、b）ユーザーが許可したソースからメッセージが来ていることがわかります。ユニバーサル・グループ・ルックアップの問題はまだありますが、ldapに頼ることができない場合は、おそらくあなた自身でそれを行う必要があります。

注：私はまだ、私は強く、これは、独自のユーザー/パスワードデータベースを維持するためにあなたを必要とする場合であっても、これまで、メッセージングの誰かのパスワードを使用してないをお勧めします次

を強調しなければなりません。ローカルのセキュリティパラダイムを迂回し、システムをよりセキュリティ上のリスクにさらすことになります。これは、システムがkerberos/ActiveDirectoryを使用している場合にはさらに重要です。ユーザーのパスワードがでないことを確実にするために長い時間がかかっている場合は、がワイヤを介して送信されます。例としてDBMSを使用します - それらのほとんどは、ローカルユーザデータベースに（少なくともデフォルトでは）結びついておらず、独自のユーザ認証メカニズムを実装しています。 MySQLやPostgreSQLのセキュリティのしくみを見てください。