Self-hosted parol menejeri parollarni jamoa nazorati ostidagi serverda saqlaydi, SSO (single sign-on) esa foydalanuvchilarga bir marta kirib, koʻplab ilovalarga ruxsat olish imkonini beradi. Bu ikki vosita bir-birining oʻrnini toʻliq bosmaydi: biri maxfiy maʼlumotni saqlaydi, ikkinchisi kirishni boshqaradi. Jamoa uchun toʻgʻri tanlov odatda ikkalasini birga koʻrib chiqishni talab qiladi.

Parol menejeri nima qiladi

Parol menejeri foydalanuvchilar login va parollarini shifrlangan omborda saqlaydi, kuchli parollar yaratadi va brauzer hamda mobil ilovalar orqali ularni toʻldiradi. Self-hosted variantda ombor sizning serveringizda turadi.

Vaultwarden — Bitwarden bilan mos keladigan, Rust tilida yozilgan norasmiy server. U Security Tools toifasida, AGPL-3.0 litsenziyasi ostida tarqatiladi va resurslarni kamroq sarflashi bilan ajralib turadi. Kichik va oʻrta jamoalar uchun bu odatiy tanlovdir.

SSO identity provider nima qiladi

Identity provider (IdP) foydalanuvchini bir joyda autentifikatsiya qiladi va uni boshqa ilovalarga SAML, OAuth2 yoki OIDC protokollari orqali ulaydi. Natijada xodim bitta login bilan koʻplab tizimlarga kiradi, hisobni oʻchirish esa markazdan amalga oshadi.

Keycloak — SSO, OIDC, SAML va avtorizatsiyani ilovalarga qoʻshish uchun ochiq kodli identity va access management server hamda kutubxona. Apache-2.0 litsenziyasi ostida tarqatiladi.

authentik — SAML, OAuth2/OIDC, LDAP va RADIUS’ni qoʻllaydigan ochiq kodli identity provider. U kichik laboratoriyadan katta klasterlargacha boʻlgan self-hosted sozlamalar uchun moʻljallangan.

Asosiy farq

  • Parol menejeri foydalanuvchining har bir parolini saqlaydi va brauzerga toʻldiradi.
  • SSO ilovalarga kirishni markazlashtiradi, lekin oʻzi parollarni foydalanuvchi qoʻlida qoldirishi mumkin.
  • Parol menejeri shaxsiy va jamoaviy maxfiy maʼlumotlar uchun, SSO esa xizmatlarga kirish siyosati uchun xizmat qiladi.
  • Ikkalasi koʻpincha birga ishlaydi: xodim SSO bilan kiradi, parol menejeri esa SSO boʻlmagan ilovalar parollarini saqlaydi.

Qanday tanlash kerak

Agar jamoa asosan SSO’ni qoʻllab-quvvatlaydigan bir nechta ichki xizmatdan foydalansa, avval identity provider’ni joriy qilish foydali boʻladi. Agar asosiy muammo xodimlar parollarni daftarda yoki brauzerda sochib yurishi boʻlsa, parol menejeri birinchi qadam boʻlishi mumkin.

Quyidagi savollar tanlovni soddalashtiradi:

  • Foydalanuvchilar nechta xizmatga kirishadi va ularning qaysilari SAML yoki OIDC’ni qoʻllaydi?
  • Katalog sifatida LDAP kerakmi?
  • Parollarni jamoa oʻrtasida ulashish zarurmi?
  • Serverni kim boshqaradi va qancha resurs bor?

Qanday boshlash mumkin

  1. Ehtiyojlar roʻyxatini tuzing: qaysi ilovalar, qaysi foydalanuvchilar, qaysi xavfsizlik talablari.
  2. Kichik sinov muhitida bitta vositani oʻrnating. Vaultwarden uchun bu bitta jamoa a’zolari bilan sinov boʻlishi mumkin; Keycloak yoki authentik uchun bitta ilova ulanishi bilan boshlang.
  3. Zaxiralash va tiklash tartibini oldindan sinab koʻring.
  4. Foydalanuvchilarga qisqa qoʻllanma bering va bosqichma-bosqich koʻchiring.

Xavfsizlikni tekshirish

Self-hosted tizim oʻzingiz uchun xavfsizlik mas’uliyatini oshiradi. Konteyner image’lari va bogʻliqliklarni muntazam tekshirish uchun Trivy kabi skanerlar foydali. Kod darajasida zaifliklarni topish uchun Semgrep statik tahlil vositasidan foydalanish mumkin. Oʻquv maqsadida xavfsizlik vositalarini sinab koʻrish uchun OWASP Juice Shop intentionally zaif ilova sifatida ishlatiladi.

Xulosa

Agar jamoaga birinchi navbatda parollarni xavfsiz saqlash kerak boʻlsa, Vaultwarden bilan boshlang. Agar koʻplab ilovalar uchun yagona kirish va markaziy foydalanuvchi boshqaruvi kerak boʻlsa, Keycloak yoki authentik dan birini tanlang. Koʻpchilik jamoalar uchun eng toʻgʻri yoʻl ikkalasini bosqichma-bosqich joriy qilishdir. Catalog’dagi Security Tools toifasida boshqa vositalarni koʻrishingiz mumkin.