Tengo un caso de uso interesante en el que los usuarios necesitan autenticarse en aplicaciones que se ejecutan en entornos que pueden no tener acceso a Internet o incluso acceso a un servidor de autenticación. Los administradores deben poder otorgar y revocar el acceso a usuarios individuales sin acceso directo a la aplicación. Sin embargo, los administradores prefieren no mantener y operar la solución. ¿Existe algún proveedor o servicio de autenticación que pueda hacer el truco?
Ya he explorado los servicios de OCRA como Protectimus y Gemalto, y también RSA SecurID, pero para verificar las respuestas de desafío, todos parecen requerir que la aplicación llame a sus servidores.
Otra posibilidad es usar un proveedor de ID de OpenConnect tal que un usuario inicie sesión a través de su dispositivo móvil, obtenga un token de identificación y cópielo en la aplicación. Sin embargo, la aplicación aún necesita tener claves de firma actualizadas o el secreto del cliente. Sin embargo, de manera más crítica, es posible que el usuario no tenga una forma práctica de copiar el token en la aplicación en la práctica, ya que el token puede ser largo.
Más información
Si ayuda a aclarar el motivo de estos requisitos:
- Los usuarios son personal de soporte de mi empresa.
- La aplicación se ejecuta en su propia máquina virtual en la red interna de otra compañía.
- En este momento, la aplicación y la máquina virtual están "cerradas". Solo el equipo de asistencia de mi empresa puede iniciar sesión en su cuenta de asistencia, no el cliente.