Чат · Обсуждения · Новостная рассылка · Документация · Попробуйте Ory Network · Вакансии

Ory Oathkeeper — это прокси для идентификации и доступа (Identity & Access Proxy, IAP) и API для принятия решений по контролю доступа, который авторизует HTTP-запросы на основе наборов правил доступа. Он следует модели BeyondCorp, разработанной Google, и защищает приложения в сетях с нулевым доверием (Zero-Trust).

---

• Что такое Ory Oathkeeper?
  • Почему Ory Oathkeeper
• Варианты развёртывания
  • Установка
• Быстрый старт
• Кто использует Ory Oathkeeper
• Экосистема
  • Ory Kratos: инфраструктура и управление идентификацией и пользователями
  • Ory Hydra: сервер OAuth2 и OpenID Connect
  • Ory Oathkeeper: прокси для идентификации и доступа
  • Ory Keto: политики контроля доступа как сервер
• Документация
• Разработка Ory Oathkeeper
• Безопасность
  • Раскрытие уязвимостей
• Телеметрия

Что такое Ory Oathkeeper?

Ory Oathkeeper — это прокси для идентификации и доступа (Identity & Access Proxy, IAP) и API для принятия решений по контролю доступа. Он следует лучшим практикам облачной архитектуры и ориентирован на:

• Аутентификацию и авторизацию HTTP-запросов
• Работу в качестве обратного прокси или API для принятия решений
• Изменение запросов с помощью информации об идентичности
• Интеграцию с существующими API-шлюзами и прокси
• Поддержку множества стратегий аутентификации и авторизации
• Работу в сетевых архитектурах с нулевым доверием (Zero-Trust)

Мы рекомендуем начать с документации по введению в Ory Oathkeeper, чтобы узнать больше о его архитектуре, наборе функций и о том, как он соотносится с другими системами.

Почему Ory Oathkeeper

Ory Oathkeeper разработан для того, чтобы:

• Отделять аутентификацию и авторизацию от кода приложения
• Работать как плагин API-шлюза или автономный прокси
• Поддерживать гибкие правила доступа для различных конечных точек
• Интегрироваться с Ambassador, Envoy, AWS API Gateway, Nginx и другими
• Предоставлять как прокси, так и режимы развёртывания в виде сайдкара
• Масштабироваться без усилий в облачных нативных средах

Oathkeeper работает с:

• Ambassador через сервис аутентификации
• Envoy через внешний HTTP-фильтр авторизации
• AWS API Gateway через пользовательские авторизаторы
• Nginx через аутентификацию на основе результата подзапроса

Варианты развёртывания

Вы можете запускать Ory Oathkeeper двумя основными способами:

• Как управляемый сервис в Ory Network
• Как самостоятельно размещённый сервис под вашим контролем, с лицензией Ory Enterprise License или без неё

Установка

Вы можете запустить Ory Oathkeeper самостоятельно для полного контроля над инфраструктурой, развёртыванием и настройкой.

Руководство по установке объясняет, как:

• Установить Oathkeeper на Linux, macOS, Windows и Docker
• Настроить правила доступа и стратегии аутентификации
• Развернуть в Kubernetes и других системах оркестрации

Это руководство использует дистрибутив с открытым исходным кодом, чтобы вы могли начать работу без лицензионных требований. Он отлично подходит для частных лиц, исследователей, хакеров и компаний, которые хотят экспериментировать, создавать прототипы или запускать некритичные рабочие нагрузки без SLA. Вы получаете полный базовый движок и можете свободно изучать, расширять и собирать его из исходного кода.

Если вы используете Oathkeeper как часть бизнес-критичной системы, вам следует использовать коммерческое соглашение для снижения операционных рисков и рисков безопасности. Ory Enterprise License (OEL) наслаивается на самостоятельно размещённый Oathkeeper и предоставляет:

• Дополнительные корпоративные функции, недоступные в версии с открытым исходным кодом
• Регулярные релизы безопасности, включая исправления CVE, с соглашениями об уровне обслуживания
• Поддержку расширенного масштабирования, мультитенантности и сложных развёртываний
• Премиальные варианты поддержки с SLA, прямым доступом к инженерам и помощью при онбординге
• Доступ к частному Docker-реестру с частыми и проверенными актуальными корпоративными сборками

Для гарантированных исправлений CVE, актуальных корпоративных сборок, расширенных функций и поддержки в производстве вам необходима действующая Ory Enterprise License и доступ к корпоративному Docker-реестру Ory. Чтобы узнать больше, свяжитесь с командой Ory.

Быстрый старт

Перейдите к документации разработчика Ory, чтобы узнать, как установить Ory Oathkeeper на Linux, macOS, Windows и Docker, а также как собрать Ory Oathkeeper из исходного кода.

Кто использует Ory Oathkeeper

Сообщество Ory стоит на плечах отдельных людей, компаний и мейнтейнеров. Команда Ory благодарит всех участников — от отправки отчётов об ошибках и запросов функций до внесения патчей и документации. Сообщество Ory насчитывает более 50 000 участников и продолжает расти. Стек Ory защищает более 7 000 000 000 API-запросов каждый день в тысячах компаний. Ничего из этого не было бы возможным без каждого из вас!

Следующий список представляет компании, которые сопровождали нас на этом пути и внесли выдающийся вклад в нашу экосистему. Если вы считаете, что ваша компания заслуживает здесь место, свяжитесь с нами по адресу [email protected] прямо сейчас!

Большое спасибо всем индивидуальным участникам

Экосистема

В основе архитектуры Ory лежат несколько руководящих принципов:

• Минимальное количество зависимостей
• Работает везде
• Масштабируется без усилий
• Минимизация возможности человеческих и сетевых ошибок

Архитектура Ory спроектирована так, чтобы наилучшим образом работать в системе оркестрации контейнеров, такой как Kubernetes, CloudFoundry, OpenShift и аналогичные проекты. Бинарные файлы имеют небольшой размер (5-15MB) и доступны для всех популярных типов процессоров (ARM, AMD64, i386) и операционных систем (FreeBSD, Linux, macOS, Windows) без системных зависимостей (Java, Node, Ruby, libxml, ...).

Ory Kratos: инфраструктура и управление идентификацией и пользователями

Ory Kratos — это система управления идентификацией и пользователями, построенная по принципу API-first, которая создана в соответствии с лучшими практиками облачной архитектуры. Она реализует основные сценарии использования, с которыми приходится сталкиваться почти любому программному приложению: самостоятельный вход и регистрация, многофакторная аутентификация (MFA/2FA), восстановление и подтверждение учётной записи, профиль и управление аккаунтом.

Ory Hydra: сервер OAuth2 и OpenID Connect

Ory Hydra — это сертифицированный OpenID Certified™ провайдер OAuth2 и OpenID Connect, который легко подключается к любой существующей системе идентификации путём написания крошечного приложения-«моста». Он даёт полный контроль над пользовательским интерфейсом и сценариями взаимодействия с пользователем.

Ory Oathkeeper: прокси идентификации и доступа

Ory Oathkeeper — это прокси идентификации и доступа (IAP) BeyondCorp/Zero Trust с настраиваемыми правилами аутентификации, авторизации и изменения запросов для ваших веб-сервисов: Аутентифицируйте JWT, токены доступа, API-ключи, mTLS; проверяйте, разрешено ли субъекту, содержащемуся в запросе, выполнять этот запрос; кодируйте результирующее содержимое в пользовательские заголовки (X-User-ID), JSON Web Tokens и многое другое!

Ory Keto: сервер политик контроля доступа

Ory Keto — это точка принятия решения о политиках. Он использует набор политик контроля доступа, аналогичный AWS IAM Policies, чтобы определить, авторизован ли субъект (пользователь, приложение, сервис, автомобиль, ...) на выполнение определённого действия над ресурсом.

Документация

Полная документация Oathkeeper доступна на www.ory.com/docs/oathkeeper, включая:

• Инструкции по установке
• Справочник по конфигурации
• Документация HTTP API
• Конфигурация правил доступа

Информацию об обновлении и списках изменений см. в UPGRADE.md и CHANGELOG.md.

Разработка Ory Oathkeeper

См. DEVELOP.md для получения информации о:

• Рекомендации по внесению вклада
• Предварительные требования
• Установка из исходного кода
• Запуск тестов
• Сборка Docker-образа

Безопасность

Раскрытие уязвимостей

Если вы считаете, что нашли уязвимость в системе безопасности, пожалуйста, не публикуйте её в открытом доступе на форумах, в чате или на GitHub. Всю информацию об ответственном раскрытии можно найти в нашем security.txt.

Телеметрия

Наши сервисы собирают обобщённые анонимизированные данные, которые при желании можно отключить. Нажмите здесь, чтобы узнать больше.