Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
LDAP, RADIUS, SAML 2.0, OAuth2 ve OpenID Connect provider'ları arasında nasıl seçim yapılır?
Kısa cevap
Seçimi, kullanıcı kimliklerinin bugün nerede tutulduğu belirler. Kullanıcılar Active Directory ya da OpenLDAP'taysa LDAP, bir RADIUS sunucusunda (NPS, FreeRADIUS, RADIUS konuşan OTP sunucuları) doğrulanıyorsa RADIUS seçilir; bu iki türde parola TR7'nin giriş formuna yazılır ve TR7 tarafından sunucuda doğrulanır. Kurumda SAML ya da OpenID Connect konuşan bir kimlik sağlayıcısı (Entra ID, ADFS, Keycloak, Okta…) varsa kullanıcı o sağlayıcıya yönlendirilir ve parola TR7'ye gelmez: SAML tabanlı altyapıda SAML 2.0, OpenID Connect destekleyen sağlayıcıda OpenID Connect kullanılır. OAuth2 yalnızca kimliği ID token ile vermeyen, kullanıcı bilgisini user info uç noktasından sunan sağlayıcılar (ör. GitHub) için seçilir.
Nasıl Çalışır?
İki ayrı doğrulama modeli vardır:
- Parolayı TR7 alır (LDAP, RADIUS): Kullanıcı AGS giriş formuna kullanıcı adı ve parolasını yazar; TR7 bunları Authentication Server kaydındaki dizine ya da RADIUS sunucusuna iletir ve yanıta göre SUCCESS ya da FAILURE çıkışına geçer.
- Kimliği harici sağlayıcı doğrular (SAML 2.0, OpenID Connect, OAuth2): Kullanıcı sağlayıcının giriş sayfasına yönlendirilir, orada giriş yapar ve TR7'ye geri döner; TR7 dönen SAML yanıtını ya da belirteçleri doğrular. Sağlayıcıdaki MFA ve parola politikaları bu akışta sağlayıcıda uygulanır.
Karşılaştırma
| LDAP | RADIUS | SAML 2.0 | OpenID Connect | OAuth2 | |
|---|---|---|---|---|---|
| Kimliği doğrulayan | Dizin sunucusu | RADIUS sunucusu | SAML IdP | OIDC sağlayıcısı | OAuth2 yetkilendirme sunucusu |
| Parola TR7'ye gelir mi | Evet | Evet | Hayır | Hayır | Hayır |
| TR7'de gereken | LDAP / LDAPS server kaydı | RADIUS server kaydı ve shared secret | IdP adresleri ve imza sertifikası | Client ID, Client secret | Client ID, Client secret |
| Kimlik nereden okunur | Dizin öznitelikleri, isteğe bağlı grup araması | RADIUS yanıtı; otomatik öznitelik eşlemesi yok | İmzalı SAML assertion | İmzası doğrulanan ID token | User info uç noktası |
| Kolaylaştırıcı | Test Connection | - | Import Metadata | Fetch Endpoints from Issuer, hazır sağlayıcılar | Hazır sağlayıcılar |
TR7'de Provider Seçenekleri
- LDAP: Authentication Method Search and Bind (varsayılan) ya da Direct Bind; grup üyelikleri Enable Group Search ile çekilir (LDAP nedir; TR7'de nerelerde kullanılır?).
- RADIUS: RADIUS Authentication Type PAP (varsayılan) ya da CHAP; TR7, RADIUS sunucusunda istemci olarak tanımlanır (RADIUS nedir; TR7'de nerelerde kullanılır?).
- SAML 2.0: TR7 bu akışta SP'dir; IdP'deki uygulama kaydına SP Entity ID ve Assertion Consumer Service URL yazılır (SAML 2.0 nedir?).
- OpenID Connect ve OAuth2: Aynı formu paylaşır; OAuth Provider alanında 14 hazır sağlayıcıdan biri ya da Custom Provider seçilir, sağlayıcıya TR7'nin Redirect URI adresi kaydedilir. Apple yalnızca OpenID Connect türünde listelenir (OpenID Connect (OIDC) nedir?).
Aynı akışta birden çok provider birlikte kullanılabilir; örneğin çalışanlar LDAP ile, iş ortakları bir OpenID Connect sağlayıcısıyla giriş yapar (Flowchart nedir; AGS akışı hangi adım türlerinden oluşur?).
Sık Karıştırılan Noktalar
- "OAuth2 ile OpenID Connect aynıdır." OpenID Connect kimliği, imzası JWKS URI adresindeki anahtarlarla doğrulanan bir ID token olarak verir; sağlayıcı destekliyorsa OpenID Connect seçilir (OAuth 2.0 nedir?).
- "Active Directory için SAML zorunludur." AD'ye doğrudan LDAP ile bağlanılır; SAML 2.0 ya da OpenID Connect, AD önünde ADFS veya Entra ID gibi bir kimlik sağlayıcısı varsa ve parolanın TR7'ye gelmemesi isteniyorsa seçilir.
- "RADIUS yalnızca ağ cihazlarının girişi içindir." NPS, FreeRADIUS ya da RADIUS konuşan MFA/OTP sunucuları da bu türle AGS akışına bağlanır; doğrulama kararını RADIUS sunucusu verir.
Dokümantasyonda nasıl yapılır
