Динамический обмен идентификационными данными с Didit и OPA для контроля доступа (RU)

Отделение применения политик от логики приложенийИспользуйте Open Policy Agent (OPA) для вынесения решений об авторизации за пределы приложения, что позволяет централизованно управлять и динамически обновлять политики доступа без изменения основного кода приложения.

Использование динамических атрибутов идентификацииИнтегрируйте комплексные возможности Didit по проверке личности для предоставления в реальном времени проверенных атрибутов (например, возраст, национальность, статус верификации) для использования в политиках OPA, что обеспечивает высокогранулированный контроль доступа.

Достижение детализированного контроля доступаСочетайте декларативный язык политик OPA с богатыми данными о личности от Didit для реализации сложных правил авторизации, которые адаптируются к контексту пользователя и проверенным атрибутам личности.

Didit упрощает предоставление атрибутовМодульная, основанная на ИИ платформа Didit предоставляет простой способ сбора и проверки различных атрибутов личности, делая их легко доступными для политик OPA, при этом предлагая Free Core KYC и отсутствие платы за настройку.

Проблема современного контроля доступа

В современном сложном цифровом ландшафте простого знания того, кто является пользователем (аутентификация), уже недостаточно. Организациям все чаще необходимо знать, что пользователю разрешено делать, исходя из множества факторов, включая его проверенные атрибуты личности, контекстную информацию и бизнес-правила. Именно здесь вступает в игру детализированный контроль доступа. Традиционный контроль доступа на основе ролей (RBAC) часто не справляется, испытывая трудности с адаптацией к динамическим условиям или требуя частых, громоздких обновлений. Необходимость контроля доступа на основе атрибутов (ABAC) является первостепенной, но его эффективная реализация требует надежной системы для сбора, проверки и обмена атрибутами идентификации.

Основная проблема заключается в отделении логики авторизации от кода приложения, обеспечении согласованности политик между службами и использовании проверенных данных о личности в реальном времени для принятия обоснованных решений о доступе. Без масштабируемого решения управление авторизацией становится узким местом, препятствуя гибкости и увеличивая риски безопасности.

Представляем Open Policy Agent (OPA) для применения политик

Open Policy Agent (OPA) — это открытый, универсальный механизм политик, который обеспечивает единое, контекстно-зависимое применение политик по всему стеку. OPA позволяет переложить решения о политиках с вашей службы на выделенный механизм политик. Вместо того чтобы жестко кодировать правила авторизации в вашем приложении, вы запрашиваете OPA для принятия решений. OPA оценивает политики, написанные на Rego, своем высокоуровневом декларативном языке, на основе данных, предоставленных вашим приложением, и возвращает ответ.

Эта архитектура предлагает несколько ключевых преимуществ:

• Разделение: Отделяет логику политик от кода приложения, упрощая разработку и обслуживание.
• Централизация: Политики могут управляться и обновляться централизованно, обеспечивая согласованность между микросервисами и приложениями.
• Гибкость: Выразительная мощь Rego позволяет создавать очень сложные и динамические политики на основе любых входных данных.
• Производительность: OPA может быть развернут как сайдкар или демон, обеспечивая низкую задержку при принятии решений о политиках.

Например, политика OPA может гласить, что пользователь может получить доступ к определенному ресурсу только в том случае, если его проверенный возраст превышает 18 лет и он находится в определенном регионе. Однако эффективность такой политики сильно зависит от качества и достоверности атрибутов идентификации, поступающих в OPA.

Роль динамических атрибутов идентификации

Чтобы выйти за рамки статического RBAC и реализовать истинный детализированный ABAC, приложениям необходим доступ к динамическим, надежным атрибутам идентификации. Эти атрибуты могут варьироваться от базовой демографической информации до расширенных статусов верификации. Представьте приложение, которому необходимо:

• Предоставлять доступ к функциям азартных игр только пользователям, чей возраст был подтвержден как 21 год или старше (требуется Оценка возраста или Проверка личности от Didit).
• Разрешать финансовые операции только в том случае, если пользователь прошел Проверку AML и его документ, удостоверяющий личность (проверенный Проверкой личности, включая OCR, MRZ и штрих-коды), действителен.
• Ограничивать доступ к определенному контенту на основе страны проживания пользователя, проверенной с помощью Подтверждения адреса.
• Подтверждать активность пользователя (Пассивная и активная проверка активности) перед разрешением дорогостоящих действий для предотвращения мошенничества с дипфейками.

Это не статические роли; это динамические атрибуты, которые необходимо собирать, проверять и обновлять в реальном времени. Именно здесь мощная платформа для проверки личности становится незаменимой. Возможность программно получать эти проверенные атрибуты и передавать их в процесс принятия решений OPA является краеугольным камнем динамического обмена атрибутами идентификации.

Создание системы обмена атрибутами идентификации с Didit и OPA

Интеграция Didit и OPA создает мощную синергию для динамического, детализированного контроля доступа. Вот как это работает:

1. Проверка личности с Didit: Когда пользователь регистрируется или пытается выполнить действие, требующее верификации, платформа Didit собирает и проверяет необходимые атрибуты идентификации. Это может включать Проверку личности для подлинности документа, Пассивную и активную проверку активности для предотвращения мошенничества, Оценку возраста для контента с возрастными ограничениями или Проверку AML для соблюдения требований.
2. Хранение и извлечение атрибутов: После проверки эти атрибуты безопасно хранятся в Didit и могут быть получены через его чистые API. Модульная архитектура Didit позволяет легко выбирать именно те атрибуты, которые необходимы для конкретной политики.
3. Передача атрибутов в OPA: Ваше приложение, получив запрос на доступ, собирает соответствующие контекстные данные (например, ID пользователя, запрошенный ресурс, IP-адрес). Затем оно запрашивает API Didit для получения необходимых проверенных атрибутов идентификации для пользователя.
4. Оценка политики OPA: Эти объединенные данные (контекст + проверенные Didit атрибуты) затем отправляются в OPA в качестве входных данных. OPA оценивает свои политики Rego на основе этих входных данных, определяя, следует ли разрешить или отклонить запрос на доступ.
5. Применение: Ваше приложение получает решение от OPA и применяет его, предоставляя или отказывая в доступе соответственно.

Это создает устойчивую и легко адаптируемую систему авторизации. Политики могут быть обновлены в OPA без развертывания нового кода приложения, а решения о доступе всегда основаны на самых последних и точных проверенных атрибутах идентификации, предоставленных Didit.

Как Didit помогает

Didit является ведущей платформой для создания этого динамического обмена атрибутами идентификации. Будучи основанной на ИИ, ориентированной на разработчиков платформой идентификации, Didit предоставляет основные строительные блоки для сбора и проверки широкого спектра атрибутов идентификации, легко интегрируясь с OPA для детализированного контроля доступа.

• Комплексная проверка личности: Didit предлагает полный набор продуктов, включая Проверку личности (OCR, MRZ, штрих-коды), Пассивную и активную проверку активности, Сопоставление лиц 1:1, Проверку и мониторинг AML, Подтверждение адреса и Оценку возраста. Они предоставляют богатые, проверенные данные, необходимые для сложных политик OPA.
• Модульность и ориентированность на разработчиков: Открытая, модульная архитектура Didit означает, что вы можете выбирать именно те компоненты верификации, которые вам нужны. Его чистые API и мгновенная песочница упрощают интеграцию, позволяя быстро предоставлять атрибуты идентификации OPA.
• Точность на основе ИИ: Используя передовой ИИ, Didit обеспечивает высокую точность извлечения атрибутов и обнаружения мошенничества, предоставляя надежные данные для ваших решений об авторизации.
• Оркестрованные рабочие процессы: С помощью Didit Business Console без кода вы можете оркестровать сложные рабочие процессы KYC, которые собирают и проверяют все необходимые атрибуты, которые затем могут быть предоставлены для использования OPA.
• Экономичность: Didit предлагает Free Core KYC и модель оплаты за успешную проверку без платы за настройку, что делает его доступным решением для предприятий любого размера.

Используя Didit, вы гарантируете, что атрибуты идентификации, поступающие в ваши политики OPA, не просто присутствуют, но также проверены, точны и актуальны, формируя основу по-настоящему безопасной и динамичной системы контроля доступа.

Готовы начать?

Готовы увидеть Didit в действии? Получите бесплатную демонстрацию сегодня.

Начните бесплатно проверять личность с бесплатным тарифом Didit.