Echtes Single Sign-On mit APEX DOAG Konferenz Niels de Bruijn Nürnberg,

Transkript

1 Echtes Single Sign-On mit APEX DOAG Konferenz Niels de Bruijn Nürnberg,

2 FACTS & FIGURES GESCHÄFTSFORM HAUPTSITZ INHABERGEFÜHRTE AG RATINGEN GRÜNDUNGSJAHR 1994 BESCHÄFTIGTE BETEILIGUNGEN 180 FESTANGESTELLTE MITARBEITER MT-IFS GMBH (RATINGEN), MT-IFS SARL (LUXEMBURG) business by integration 5 "Echtes" Single Sign-On

3 UNSER PORTFOLIO APPLICATION DEVELOPMENT APEX / ADF JAVA.NET INTEGRATION SERVICES STRATEGIE ARCHITEKTUR SAP HANA IT SYSTEM SERVICES MANAGED SERVICES BETRIEB MIGRATION BUSINESS INTELLIGENCE SOLUTIONS DATA INTEGRATION SELF SERVICE BI MOBILE BI SOCIAL BUSINESS SOLUTIONS COLLABORATION SEARCH SOCIAL MOBILE SOLUTIONS APPS ABLÄUFE LOKALISIERUNG 6 "Echtes" Single Sign-On

4 Mehr Infos dazu während Open Mic Night heute zwischen 20:00-21:30 im Raum Istanbul Weiße Folien für den eigentlichen Vortrag 7 "Echtes" Single Sign-On

5 8 "Echtes" Single Sign-On apexmeetups.com

6 Über mich Niels de Bruijn, Fachbereichsleiter APEX Geboren in 1977, verheiratet, drei Töchter, Wohnort Ratingen seit bei der MT AG in Ratingen zuvor 2 Jahre als Berater bei Oracle Nederland B.V. angestellt Beschäftigt sich seit 2004 mit APEX Federführend beim Vertrieb/Marketing/Delivery von APEX Projekten aller Art - & Themenverantwortlicher für APEX bei der DOAG Wo bin ich zu finden? - Online: Skype, Xing, LinkedIn, Twitter, Facebook - Offline: DOAG Konferenz/ APEX CONNECT, ODTUG Kscope, APEX UserGroup, Meetups 9 "Echtes" Single Sign-On

7 Warum Single Sign-On für interne Apps? Die Anzahl (APEX) Anwendungen im Unternehmen steigt Die Anmeldung kostet Zeit und stellt ein Sicherheitsrisiko da Dabei sind wir bereits mit dem Client bei einer Domäne angemeldet Für externe Anwendungen gibt es das OAuth 2.0 Verfahren Für interne Anwendungen diesen Vortrag 10 "Echtes" Single Sign-On

8 APEX Referenz-Architektur Apache > ORDS > APEX-DB 11 "Echtes" Single Sign-On

9 Authentifizierung in APEX Browser Session Cookie + Session ID in URL ist pro Request notwendig Warum gibt es eine Session ID in der URL von einer APEX Anwendung? Wegen der Sicherheit. Ansonsten könnte ich die folgende URL per verteilen und nichts ahnende, bereits authentifizierte Kollegen, klicken darauf und erhöhen damit mein Gehalt: Apply_Chang es:::p42_empno,p42_new_salary:4711,99999 APEX 5.0 bietet optional das Feature Session Rejoin Eine APEX URL in einer führt zu einer erneuten Anmeldung, da keine Session ID vorhanden. Mit Session Rejoin ist keine Session ID mehr notwendig. Die Sicherheit ist dank der Verwendung von Checksums trotzdem gegeben. 12 "Echtes" Single Sign-On

10 Auf dem Weg zum SSO: LDAP Authentifizierung 13 "Echtes" Single Sign-On

11 LDAP Authentifizierung einstellen 14 "Echtes" Single Sign-On

12 Ein wenig SSO: der Shared Cookie Ansatz Nur für APEX Anwendungen im gleichen Workspace 15 "Echtes" Single Sign-On

13 Single Sign-On mit Kerberos 16 "Echtes" Single Sign-On

14 Implementierung SSO mit Kerberos Step by step Siehe aktuelles Dokument SSO für APEX Anwendungen mit Kerberos auf Varianten: Samba statt Windows Server als Domaincontroller verwenden Kerberos Authentifizierung auf Tomcat-Ebene statt Apache vornehmen Apache mit mod_auth_kerb auf Windows installieren: Welche Alternativen für SSO gibt es sonst noch? SSO Server in Oracle DB (Open Source Lösung von Anton Nielsen) 17 "Echtes" Single Sign-On

15 Implementierung SSO mit Kerberos Das Ergebnis 18 "Echtes" Single Sign-On

16 Q&A zum Thema mod_auth_kerb Fallback Authentifizierung? Wenn Client nicht in der Domäne ist, dann erfolgt die Authentifizierung über Basic Authentication, daher unbedingt HTTPS einsetzen. Kann ich in dem Fall eine Anmeldeseite stattdessen anzeigen? Ja. Dies erfordert eine separate (interne) URL. Abhängig von der URL, wird entweder eine Anmeldeseite gezeigt oder die Anwendung prüft im HTTP Header welcher Benutzernamen dort drin steht und nimmt diese Identität an. Was passiert wenn ich die geschützte URL auf einem Smartphone aufrufe? Die Authentifizierung erfolgt über Basic Authentication. Nochmals: HTTPS verwenden! 19 "Echtes" Single Sign-On

17 ALLE VORTRÄGE DER MT AG 20 "Echtes" Single Sign-On

18 :00-15:45 Sydney Datenmodellierung ist langweilig, lassen Sie Datamodeler das machen Oleg Kiriltsev :00-12:45 Sydney Das nächste Duet(t): APEX und SAP. Niels de Bruijn :00-16:45 Singapur Speichersparende XML Verarbeitung mit StAX und JAXB Wolfgang Nast :00-16:45 Istanbul "Echtes" Single Sign On mit APEX realisieren. Niels de Bruijn :00-09:45 Sydney Five Fingers Death Punch Oliver Lemm :00-10:45 Helsinki 12c Oracle Warehousing voll Groovy. Ein Projektbericht. Rosenberger Ketteltasche :00-12:45 Istanbul Dateien per Drag & Drop in APEX Applikationen ablegen Franziska Höcker :00-15:45 Oslo Ist Gradle auch für die APEX-Projekte? Oleg Kiriltsev :00-15:45 Istanbul Tune Up Your APEX Oliver Lemm

19 Vielen Dank Niels de Bruijn Fachbereichsleiter APEX Telefon: Telefax: niels.de.bruijn@mt-ag.com