Federation protocol ও provisioning

OIDC, OAuth ও PKCE

নিবন্ধিত OIDC client কনফিগার করা থাকলে browser authorization, account selection, consent ও terms ব্যবহার করে। Device authorization আলাদা interface; এটি client registration-এর বিকল্প নয়। PKCE ও উচ্চতর assurance বিকল্প client ও tenant policy-র ওপর নির্ভর করে। PAR, private-key JWT, mTLS, DPoP ও FAPI profile শর্তসাপেক্ষ; source-এ থাকা মানেই সেগুলো চালু নয়।

1. Client-এর জন্য exact issuer, redirect ও response setting নিবন্ধন করুন।
2. Consent ও account selection সম্পন্ন করে identity ও audience যাচাই করুন।
3. Policy-তে PKCE বা assurance support নিশ্চিত করুন; denial এড়াতে validation দুর্বল করবেন না।

SAML ও remote logout

SAML service-provider ও identity-provider route-এ metadata এবং browser assertion flow রয়েছে। SAML management দিয়ে connection কনফিগার করুন। Partner-এর সঙ্গে issuer, audience, reply destination, signature ও সময়-শর্ত যাচাই করুন। Logout আলাদা: local revocation থেকে প্রতিটি relying-party cookie বা session মুছে গেছে প্রমাণ হয় না।

1. Partner-এর সঙ্গে connection metadata, signing key ও endpoint মিলিয়ে দেখুন।
2. Signed assertion পরীক্ষা করে tenant, subject, membership ও expiry যাচাই করুন।
3. সমর্থিত logout control ব্যবহার করুন; local revocation ও remote sign-out আলাদা করে দেখুন।

SCIM ও directory sync

Provisioning interactive federation থেকে পৃথক। SCIM schema ও reconciliation-এর পাশাপাশি enrolled customer-side agent ব্যবহারকারী directory connector-ও আছে। Import-এ tenant provenance বজায় থাকে এবং conflict quarantine-এ যায়; শুধু email দিয়ে account link হয় না। Server-এ customer agent binary দেওয়া নেই।

1. Tenant target নিবন্ধন করে সমর্থিত attribute ও অপরিবর্তনীয় identity key map করুন।
2. নিয়ন্ত্রিত sync চালিয়ে ফল দেখুন এবং tenant workflow-তে quarantine মেটান।
3. Connector কাজ queue করার আগে compatible agent আলাদাভাবে deploy ও enroll করুন।

CAS, WS-Federation ও RADIUS

CAS স্পষ্টভাবে enable করতে হয়। অনুমোদিত registration বা policy চালু না করলে WS-Federation ও WS-Trust disabled থাকে; realm, audience, reply, membership, signature ও expiry যাচাই বাধ্যতামূলক। RADIUS-এ optional signed agent ব্যবহৃত হয়, site listener নয়। রক্ষণাবেক্ষণ করা reference-এ TLS বা DTLS-সহ RADIUS/1.1 অগ্রাধিকার পায়; legacy UDP শুধু private-network compatibility-র জন্য।

1. CAS বা WS-Federation পরীক্ষা করার আগে protocol enablement ও client registration দেখুন।
2. RADIUS-এর জন্য customer agent, tenant connector ও অনুমোদিত transport নিশ্চিত করুন।
3. Disabled বা unenrolled থাকলে policy পাশ কাটাতে protocol বদলাবেন না; setup সম্পন্ন করুন।

Registration ও credential

Client registration তার owning tenant ও application-এর মধ্যে থাকতে হবে। Dynamic registration, private-key JWT, mTLS ও FAPI reference শর্তসাপেক্ষ contract বোঝায়, সর্বত্র চালু থাকা নয়। Private key মালিকের কাছেই রাখুন এবং সংশ্লিষ্ট management control দিয়ে credential rotate বা revoke করুন। Agent key OAuth client credential নয়।

1. Owner, tenant, redirect বা metadata, scope এবং credential type সংগ্রহ করুন।
2. ফেরত পাওয়া secret নিরাপদে রাখুন; management দিয়ে rotate বা revoke করুন।
3. Agent enrollment-এ customer-side-এ private key তৈরি করে CSR জমা দিন।

Contract ও সমস্যা সমাধান

বর্তমান management operation, field ও security জানতে /api/auth/management/openapi.json ব্যবহার করুন। রক্ষণাবেক্ষণ করা protocol note-এ connector ও assurance-এর নির্দিষ্ট আচরণ আছে। সাধারণ failure-এর মধ্যে ভুল tenant, অনিবন্ধিত redirect, পুরোনো metadata বা certificate, disabled profile, invalid signature, SCIM quarantine বা revoked agent রয়েছে। Verification বন্ধ না করে সংশ্লিষ্ট trust boundary ঠিক করুন।

1. Operation-এর OpenAPI schema ও security requirement দেখুন।
2. নিরাপদ error detail ও নিবন্ধিত value বর্তমান provider metadata-র সঙ্গে তুলনা করুন।
3. নিয়ন্ত্রিত flow আবার পরীক্ষা করে rollout-এর আগে identity বা sync state নিশ্চিত করুন।

সাধারণ জিজ্ঞাসা

সম্পর্কিত পৃষ্ঠা

• Single sign-on ও পরিচয় ব্যবস্থাপনা
• SSO প্রশাসন
• Identity governance ও privileged access
• ব্যক্তিগত অ্যাপ্লিকেশনে প্রবেশাধিকার