身份验证和授权基本信息

身份验证和授权在大多数应用程序套件中发挥着重要作用。本页总体概述了概念与术语。如果您没有接触过此主题或者想要回顾一下相关内容，本部分将有一定助益。如果您对自己的整体理解能力有信心，可以继续学习 CXone 中身份验证和授权的工作原理。

当用户登录到任何应用程序套件（包括 CXone）时，这两个步骤通常按如下顺序进行：

  • 身份验证 — 用户是否为他们声称的那个人？
  • 授权 — 经过身份验证的用户是否应拥有他们请求的访问权限？

所有用户必须通过身份验证和授权才能访问 CXone。

用户可以是人，也可以是应用程序。例如，聊天机器人和虚拟助手通常由用户帐户运行。大多数应用程序套件对真人和虚拟用户使用相同的流程。在这些关于身份验证和授权的在线帮助页面中，我们将术语用户同时应用于真人和应用程序。如果存在差异，我们会给出清晰的解释。

对于用户而言，他们只需要登录即可。身份验证和授权在幕后进行，以确保登录成功。登录开始时，用户身份尚未经验证。这意味着系统并不知道他们的身份。登录结束时，他们即通过了身份验证和授权。这意味着系统知道了他们的身份以及他们应有的访问权限。

系统会按照以下方式验证用户身份并对其授权：

  1. 如果支持多种身份验证流程，决定要采用的流程。许多系统支持多种方式。例如，很多系统可借助用户名和密码，通过单点登录或者采用多因素身份验证 (MFA) 的方式识别用户。一般情况下，用户会从登录页面的身份验证选项列表中进行选择，但必要时系统可要求进行特定流程。

  2. 收集身份验证凭据（例如，可要求用户提供用户名和密码）。

  3. 使用身份提供程序验证凭据。身份提供程序是一个独立的系统，用于维护用户及其身份（包括其凭据）的信息。

  4. 授权经过身份验证的个人或程序。用户通过身份验证后，系统将使用授权服务器向用户授予访问权限。系统会根据用户的角色和权限授予用户访问权限。系统只授予用户访问他们有权查看或使用的功能。

与身份验证相关的术语

身份提供程序

身份提供程序 (IdP) 指建立用户身份的系统。它们可以是：

  • 内部 — 用户登录的系统的一部分。例如，登录 Facebook 的用户使用 Facebook IdP 进行身份验证，以进入 Facebook 应用程序。
  • 外部 — 独立于用户登录的系统。例如，登录智能手机应用程序的用户使用 Facebook IdP 进行身份验证。

IdP 可以托管，也可以基于云。Microsoft ADFS 和 Shibboleth 是常见的托管 IdP。Microsoft Azure AD、Okta 和 Ping 是众多云 IdP 中的一种。

身份验证协议

身份验证协议用于在应用程序和 IdP 之间或不同 IdP 之间建立通信。身份验证协议的示例有 OpenID 连接 和 SAML 2.0。有些身份验证协议提供额外的功能（例如加密），但应用程序可能使用或不使用这些功能。当系统使用内置 IdP 时，不考虑身份验证协议。

身份验证流程

大部分外部 IdP 支持以下两种身份验证流程或其中一种：

  • SP 发起：身份验证由服务提供商或应用程序发起。用户输入凭证，然后应用程序联系外部 IdP 进行身份验证。这是最常见的流程。
  • IdP 发起：用户先登录到 IdP，然后 IdP 在验证用户后启动应用程序。

联合身份管理

联合身份管理有时称为 FIM 或联合。它是使用单个外部 IdP 为一个或多个应用程序提供身份验证的过程的总称。联合在某种程度上通常是有时间限制的。例如，用户可以在开始工作时登录一次。此身份验证可让他们访问每天使用的所有应用程序。但是，即使前一天没有注销，他们也必须在第二天再次登录时重新进行身份验证。

单点登录

单点登录 (SSO) 可用于通过一次登录访问多个应用程序或系统。例如，用户登录 Microsoft 365 并获得对公司授权给他们的所有 Microsoft 应用程序的访问权。人们有时使用术语 SSO 表示联合，尽管这两个概念并不完全相同。

多因素身份验证

多因素身份验证 (MFA) 为基本的用户名/密码身份验证增加了另一个安全级别。MFA 要求用户输入一个代码，回答一个问题，或使用一个令牌，然后 IdP 才会认为他们的身份已经过验证。

信任

在身份验证中，信任是指应用程序或系统与外部 IdP 共享的信息或知识。信任会在两者之间建立一种关系，让双方都知道可以依赖对方准确而真实的通信。如何建立信任取决于身份验证协议。以下示例基于 OpenID 连接 和 SAML 2.0。

OpenID 连接

OpenID 连接 中的信任取决于签发方。签发方是一个看起来像 URL 的值。它可建立身份提供程序。例如，Google 支持 OpenID 连接，签发方是 https://accounts.google.com。

根据签发方的不同，还有几个额外的配置项。例如，OpenID 连接 中通过公共/私有证书签名来建立信任。它使用一种名为 JWKS 的行业标准。因此，部分配置决定了获得这些公共证书的方式。

大多数身份提供程序通过将 /.well-known/openid-configuration 附加至签发方来支持发现此信息。Google 发现文档位于 https://accounts.google.com/.well-known/openid-configuration 上。

SAML 2.0

在 SAML 2.0 中，信任取决于实体标识符。不同于 OpenID 连接，实体标识符和其他配置值之间没有紧密的关系。以下几个配置参数可用于建立与 SAML 2.0 之间的信任：

  • 实体标识符 — 应用程序或系统为验证其身份而建立的值

  • 端点 URL — 外部 IdP 确定的值，其在此点接收身份验证请求

  • 断言 URL — 由外部 IdP 向其发送身份验证响应的应用程序或系统确定的值

  • 证书 — 外部 IdP 用于对响应进行签名