OpenID Connect

ماذا يحمل OpenID Connect، ولماذا يهمّ ذلك هنا

هذا المعيار هو الخيار الشائع في الأنظمة الحديثة، وهو أخف وأنسب للتطبيقات المحمولة من المعيار الأقدم. ووظيفته هي نفسها: التحقق من الهوية وتمرير الصلاحية.

والاختيار بين المعيارين عملي لا مبدئي. المؤسسة التي تدير أحدهما بالفعل تنطلق به أسرع، وليس هناك سبب وجيه لتغيير ما يعمل من أجل ما هو أحدث.

والقاعدة نفسها تحكم الاثنين: الصلاحية تُقرأ من مصدرها، والمساعد لا ينشئ حسابات ولا يوسّع صلاحية أحد.

• الهوية المؤكدة — من المستخدم بحسب مزوّدكم.
• المطالبات — الدور والمجموعة والسمات المتفق عليها.
• الدخول الموحّد — بلا حساب إضافي.
• ملاءمة المحمول — أنسب للتطبيقات من المعيار الأقدم.
• إدارة الجلسة — انتهاء الصلاحية والتجديد بحسب سياستكم.

النطاق والتحكم في عميل OpenID Connect

العلاقة في اتجاه واحد: المزوّد يؤكد من هو الشخص، وElbi يقرأ هذا التأكيد ولا ينشئ حسابات في المزوّد ولا يعدّلها ولا يديرها.

والصلاحية تتبع المطالبات الواردة في الرمز، وهي بيد مزوّدكم. وأغلب المزوّدين يتيحون أيضاً قصر العميل على مستخدمين أو مجموعات محددة، فيُرفض الشخص قبل أن يصدر له أي رمز.

واعتماد العميل يصدره مزوّدكم ويبقى تحت تحكّمكم: تغيّرونه وفق جدولكم، وتعطيل العميل يوقف كل دخول إلى Elbi عند المزوّد نفسه.

والمطالبات تحدّد ما يجوز لـ Elbi الإجابة عنه في تلك المحادثة وحدها. ومحتوى الرسائل يُتلف خلال 24 ساعة، وغالباً قبل ذلك عند انتهاء المحادثة، ولا يصل إلى أي خدمة ذكاء اصطناعي خارجية. وسجلات المزوّد تُثبت كل دخول إلى العميل، ويمكن لـ Elbi أن يسجّل الهوية المتحقَّق منها التي جرى كل استعلام باسمها، فيتطابق السجلّان.

وإذا توقف المزوّد تعذّر الدخول الجديد، فيواصل Elbi بما لا يحتاج إلى هوية، ولا يقبل رمزاً منتهياً بديلاً.

ما الذي يحلّ محلّه هذا

ما يحلّ محلّه هذا هو نفس ما يحلّه المعيار الأقدم: الحسابات المنفصلة وكلمات المرور الإضافية وقوائم الصلاحيات المتباعدة.

وميزته العملية الإضافية أنه أنسب للتطبيقات المحمولة، وهذا يهمّ حين يكون الاستخدام من الهاتف هو الغالب — وهو الوضع الشائع في هذه المنطقة.

والنتيجة واحدة في الحالتين: مصدر واحد للحقيقة في الصلاحيات، وإيقاف واحد يقطع الوصول من كل مكان.

من أين تبدأ القيمة مع OpenID Connect

تظهر فائدة المعيار حيث يكون الناس قد سجّلوا دخولهم في مكان ما أصلاً. فإن وصل الموظفون إلى Elbi من شبكة داخلية تعتمد مزوّدكم، أو وصل العملاء من بوابة أو تطبيق جوال لهم فيه حساب، تعرّف عليهم المساعد دون دخول ثانٍ — وأول سؤال يستحق الربط هو الذي يغادرون تلك الصفحة اليوم ليسألوه في مكان آخر.

وفي قنوات العملاء يعني ذلك عادةً الأسئلة الخاصة بالحساب: حالة طلب أو شحنة أو حجز أو مطالبة. وهي تحديداً الأسئلة التي يضطر روبوت المحادثة المجهول إلى رفضها أو تحويلها إلى مركز الاتصال، وفيها تحوّل الهوية المساعدَ من عام إلى نافع.

والانضباط كله في المطالبات. من المغري طلب كل ما يعرفه المزوّد عن الشخص، لكن مجموعة ضيقة — المعرّف والاسم ودور واحد أو رقم عميل — تكفي أغلب عمليات الإطلاق الأولى، ويسهل الدفاع عنها حين يُسأل عمّا يُبلَّغ به المساعد عن كل مستخدم.

المطالبات والموافقة ونظام حماية البيانات الشخصية

كل مطالبة في رمز الهوية بيانات شخصية عن صاحبها. والمطالبات القياسية قد تحمل الاسم والبريد ورقم الهاتف وتاريخ الميلاد والعنوان البريدي، والسؤال بحسب نظام حماية البيانات الشخصية ليس ما يستطيع المزوّد إرساله بل ما يحتاجه المساعد.

وحيث يعرض المزوّد على المستخدمين شاشة موافقة، فإنها تسرد ما يطلبه التطبيق؛ فالقائمة القصيرة إشعار أوضح أيضاً. وطلب العنوان أو رقم الهاتف تحسّباً لفائدة محتملة يطيل الإشعار ويصعّب تحديد الغرض.

والرموز نفسها حساسة. فرمز الوصول في غير يد صاحبه يستطيع التصرف باسمه حتى ينتهي، ورمز الهوية يكشف من هو. ولا مكان لأي منهما في العناوين أو أدوات التحليل أو سجلات الدعم، والمدد القصيرة تستحق إزعاجها البسيط.

كيف تتعرّف أدوات المحادثة الأخرى على المستخدم

كثير من أدوات مراسلة العملاء تتعرّف على الزائر المسجّل بأن يمرّر لها الموقع المضيف قيمة موقّعة — بصمة أو رمزاً يولّده الموقع لمستخدميه. والطريقة تعمل، لكن لكل أداة مخططها الخاص، ويتعيّن على فريقكم تنفيذه ومراجعته لكل أداة على حدة.

وأدوات أخرى تلجأ إلى السؤال: رقم الحساب، أو تاريخ الميلاد، أو آخر أرقام البطاقة. وأسئلة المعرفة مألوفة، لكن إجاباتها كثيراً ما تُخمَّن أو تكون مكشوفة أصلاً، وتعوّد العملاء على كتابة بياناتهم الشخصية في نافذة محادثة.

ويحلّ OpenID Connect محلّ الاثنين بمعيار يشغّله فريق الهوية لديكم أصلاً، ويعرف فريق الأمن كيف يراجعه. فيصبح المساعد عميلاً إضافياً لدى المزوّد، تسري عليه السياسات والسجلات وإمكانية الإلغاء نفسها كأي تطبيق آخر.