கருத்துகள்
சில கருத்துகள் Usher-இல் உள்ள கிட்டத்தட்ட எல்லாவற்றையும் விளக்குகின்றன: பொருட்கள் எங்கே இருக்கின்றன, டோக்கன்களை யார் வழங்குகிறார்கள், மக்கள் எங்கே உள்நுழைகிறார்கள், ஒவ்வொரு டோக்கனும் எவ்வளவு காலம் நீடிக்கும்.
பணியிடங்கள், திட்டப்பணிகள், சூழல்கள்
- பணியிடம் என்பது Usher Console-இல் உங்கள் குழு அல்லது நிறுவனம். அதன் உறுப்பினர்களும் தணிக்கைப் பதிவும் அதற்கே உரியவை.
- திட்டப்பணி என்பது ஒரு தயாரிப்பு: உங்கள் வலை ஆப்ஸ், அல்லது ஒரு கூட்டாளர் போர்ட்டல். ஒரு பணியிடத்தில் பல திட்டப்பணிகள் இருக்கலாம்.
- சூழல் என்பது ஒரு திட்டப்பணியின் இயங்கும் ஒரு நகல், வழக்கமாக டெவலப்மென்ட், புரொடக்ஷன். மக்கள், பயன்பாடுகள், விசைகள், அமைப்புகள் இருப்பது சூழல்களில்தான்.
பணியிடம் · Acme Ltd
திட்டப்பணி · இணையம்
- டெவலப்மென்ட் · wise-otter-42
- புரொடக்ஷன் · acme
திட்டப்பணி · கூட்டாளர் போர்ட்டல்
- டெவலப்மென்ட் · calm-heron-17
- புரொடக்ஷன் · acme-partners
சூழல்கள் முக்கியமான எதையும் பகிர்வதில்லை. ஒவ்வொன்றுக்கும் தனக்கே உரிய Postgres ஸ்கீமா, கையொப்ப விசைகள், தனது சொந்தத் தரவு விசையின் கீழ் முத்திரையிட்ட ரகசியங்கள் உள்ளன. டெவலப்மென்ட்டில் பதிவுசெய்யும் நபர் புரொடக்ஷனில் இருப்பதில்லை, ஒன்றின் டோக்கனை மற்றொன்றின் விசைகளைக் கொண்டு ஒருபோதும் சரிபார்க்க முடியாது.
பணியிட நிர்வாகி ஒரு திட்டப்பணியின் பெயரைத் தட்டச்சு செய்த பிறகு, அதன் மேலோட்டப் பக்கத்தின் இறுதியிலிருந்து அதை நீக்கலாம். அதிலுள்ள ஒவ்வொரு சூழலும் ஒரே நேரத்தில் நீங்கும்: அதன் மக்கள், பயன்பாடுகள், விசைகள், அமைப்புகள், அது வழங்கிய ஒவ்வொரு அமர்வும் டோக்கனும். அதன் முகவரிகள் பதிலளிப்பதை நிறுத்துகின்றன, மீண்டும் ஒருபோதும் வழங்கப்படுவதில்லை, எனவே அவற்றில் ஒன்றை இன்னும் நம்பும் ஆப்ஸை வேறொருவரின் திட்டப்பணி ஏமாற்ற முடியாது.
இஷ்யூவர்கள்
ஒவ்வொரு சூழலும், டெனன்ட் டொமைனில் தனக்கே உரிய ஹோஸ்ட்டில் உள்ள தனி OpenID Connect இஷ்யூவர்:
https://<handle>.usherid.com- புரொடக்ஷன் சூழல்களுக்கு நீங்கள் தேர்ந்தெடுக்கும் ஹேண்டில் உண்டு: 3 முதல் 32 வரையிலான ஆங்கிலச் சிற்றெழுத்துகள், இலக்கங்கள், தனித்த ஹைபன்கள், எடுத்துக்காட்டாக உங்கள் நிறுவனத்தின் பெயர். ஒருமுறை பயன்படுத்தப்பட்ட ஹேண்டில் மீண்டும் ஒருபோதும் வழங்கப்படாது.
- டெவலப்மென்ட் சூழல்களுக்கு
wise-otter-42போன்ற சீரற்ற ஹேண்டில் கிடைக்கும், அதை யாரும் ஒரு பிராண்டாகத் தவறாக நினைக்க மாட்டார்கள்.
சூழல் உருவாக்கப்படும்போதே இஷ்யூவர் நிலையாகிவிடுகிறது, ஏனெனில் அது கையொப்பமிடும் ஒவ்வொரு டோக்கனும் iss இல் அதைப் பெயரிடுகிறது, அதை நம்பும் ஒவ்வொரு ஆப்ஸும் அந்த மதிப்பைச் சரிபார்க்கிறது.
டெனன்ட் டொமைன், Usher-இன் சொந்த டொமைனிலிருந்து (usheridentity.com) வேறுபட்ட பதிவுசெய்யக்கூடிய டொமைன், எனவே ஒரு வாடிக்கையாளரின் உள்நுழைவுப் பக்கங்கள் Usher Console உடன் ஒருபோதும் same-site ஆக இருக்காது, குக்கீகள் ஹோஸ்ட்-மட்டும்: ஒரு சூழலின் குக்கீகளை பிரவுசர் அந்தச் சூழலுக்கு மட்டுமே அனுப்புகிறது.
லாபி
லாபி என்பது ஒவ்வொரு சூழலும் தனது இஷ்யூவரில் வழங்கும் உள்நுழைவுப் பக்கம். உங்கள் ஆப்ஸ் மக்களை அங்கே அனுப்புகிறது; அது அவர்களை உள்நுழையச் செய்து திருப்பி அனுப்புகிறது.
- அந்த நபர் செல்லும் ஆப்ஸின் பெயரை அது “தொடர்வது” சிப்பில் எப்போதும் காட்டும்.
- சூழல் அனுமதிக்கும் முறைகளை மட்டுமே அது வழங்கும்: கடவுச்சாவிகள், மின்னஞ்சலில் வரும் குறியீடுகள், மேஜிக் இணைப்புகள், சமூகக் கணக்குகள் (Google, GitHub, Microsoft, Apple), கடவுச்சொற்கள்.
- அது இரண்டாம் காரணியைக் கட்டாயமாக்கலாம்: அங்கீகரிப்பு ஆப்ஸ் (காப்புக் குறியீடுகளுடன்) அல்லது கடவுச்சாவி.
- அது யாருக்கும் திறந்திருக்கலாம், அல்லது முகவரிகளும் டொமைன்களும் கொண்ட விருந்தினர் பட்டியலுக்கு மட்டும் வரம்பிடப்படலாம்.
எந்தத் தயாரிப்பு அனுப்பினாலும் அது ஒரே மாதிரித் தோன்றும். இது வேண்டுமென்றே: உண்மையான லாபி எப்படித் தோன்றும் என்பதை மக்கள் கற்றுக்கொள்கிறார்கள், ஒரு பக்கம் அப்படி இல்லாதபோது கவனிக்கிறார்கள்.
Usher கணக்குகள்
பெரும்பாலான சூழல்களுக்குத் தங்களுக்கே உரிய பயனர்கள் உள்ளனர். Usher கணக்குகள் வேறுபட்டவை: Usher மூலம் தொடர் வசதியை வழங்கும் ஒவ்வொரு ஆப்ஸிலும் ஒருவரை உள்நுழையச் செய்யும் ஒரே கணக்கு. மக்கள் தங்கள் கணக்கை account.usheridentity.com இல் நிர்வகிக்கிறார்கள்.
டோக்கன்களும் ஆயுளும்
| டோக்கன் | இயல்புநிலை | அமைக்கக்கூடியது | எதற்காக |
|---|---|---|---|
| அங்கீகாரக் குறியீடு | 5 நிமிடங்கள் | நிலையானது | ஒருமுறை டோக்கன்களாக மாற்றப்படுகிறது. ஒருமுறை மட்டும் பயன்படும். |
| ID டோக்கன் | 10 நிமிடங்கள் | 1 முதல் 60 நிமிடங்கள் | யார் உள்நுழைந்தார் என்று உங்கள் ஆப்ஸுக்குச் சொல்கிறது. API-களை அழைப்பதற்கு அல்ல. |
| அணுகல் டோக்கன் | 10 நிமிடங்கள் | 1 முதல் 60 நிமிடங்கள் | உங்கள் API-க்கு அனுப்பப்படுகிறது, அது இதைச் சரிபார்க்கிறது. |
| ரிஃப்ரெஷ் டோக்கன் | 30 நாட்கள் | 1 முதல் 90 நாட்கள் | புதிய அணுகல் டோக்கன்களைப் பெறுகிறது. ஒவ்வொரு பயன்பாட்டிலும் சுழல்கிறது. offline_access தேவை. |
| இயந்திர அணுகல் டோக்கன் | 15 நிமிடங்கள் | 1 முதல் 60 நிமிடங்கள் | client_credentials க்கு: பின்னால் எந்த நபரும் இல்லாத சர்வர்கள். |
| மின்னஞ்சல் குறியீடு, மேஜிக் இணைப்பு | 10 நிமிடங்கள் | நிலையானது | ஒரு உள்நுழைவுக்கு மட்டும். குறியீட்டுக்கு மூன்று முயற்சிகள். |
லாபியில் உள்ள அமர்வுகளுக்கும் ஆயுள் உண்டு: பயன்படுத்தப்படாமல் 7 நாட்கள் (1 முதல் 30) கழிந்தால் அமர்வு முடியும், மொத்தமாக 30 நாட்களுக்குப் பிறகும் (1 முதல் 90) முடியும். மின்னஞ்சல் முகவரி போன்ற உணர்திறன் மிக்க ஒன்றை மாற்ற, கடந்த 10 நிமிடங்களுக்குள் உள்நுழைந்திருக்க வேண்டும்.
கையொப்ப விசைகள்
டோக்கன்கள் இயல்பாக RS256 மூலம் கையொப்பமிடப்படுகின்றன; ஒரு சூழல் அதற்குப் பதிலாக ES256 அல்லது EdDSA பயன்படுத்தலாம். பொது விசைகள் சூழலின் jwks_uri இல் வெளியிடப்படுகின்றன, எனவே உங்கள் லைப்ரரிகள் அவற்றைப் பெறுகின்றன, விசைகள் சுழற்றப்படும்போது புதியவற்றை எடுத்துக்கொள்கின்றன.
ஸ்கோப்கள்
| ஸ்கோப் | உங்கள் ஆப்ஸ் பெறுவது |
|---|---|
openid | கட்டாயம். அந்த நபரின் sub கொண்ட ID டோக்கன். |
profile | அவரின் பெயரும் படமும். |
email | அவரின் மின்னஞ்சல் முகவரி, அது சரிபார்க்கப்பட்டதா என்பது. |
offline_access | ரிஃப்ரெஷ் டோக்கன், அவர் உள்நுழைந்தே இருப்பதற்காக. |