401 Unauthorized: аутентификация и не только

Вебинар по использованию OIDC-приложений в Yandex Identity Hub

Было бы красиво начать пост, мол, на самом деле, кроме писанины в канал, у меня есть настоящая работа, но с писаниной нынче туго, поэтому пока я не собрался и не дописал черновики постов сюда, можно прийти послушать мои байки на вебинар.

Уже в этот четверг проведу вебинар о том, как использовать OIDC-приложения в нашем продукте Identity Hub, над развитием которого я работаю.

Хочу поговорить про использование OIDC с точки зрения конфигурации приложения:
- как выбрать подходящий тип приложения (и OAuth-client под ним)
- как грамотно и безопасно настроить приложение под ваши нужды
- как все это работает на практике (посмотрим на ключевые запросы, как работают, как потыкать самому)

Показывать буду на примере взаимодействия с нашим продуктом как с IdP (OpenID provider), но очевидно, что подход в общем универсален.

Материал будет несложный, ориентирован скорее на тех, кто еще не совсем на "ты" с OAuth/OIDC и хочет посмотреть, как потестировать основные настройки и запросы, понять, на что влияют параметры. Основы тоже вспомним, в контекст погрузим. Так что приходите, если звучит интересно, ну или если хотите просто послушать, как Андрей час что-то говорит про OIDC.

📆 25 июня, онлайн
🕐 12:00 мск
📍Регистрация

#announce

Записи и презентации докладов с 401 meetup ⛔️

Загрузил записи докладов, можно смотреть и делиться с друзьями и коллегами:

📹 Устройство, сессия и аутентификатор в корпоративном IAM / Дмитрий Грудинин

📹 Разработка своего IAM в схемах и мемах / Сергей Ипатов

📹 Политики-ограничения в Yandex Cloud IAM / Антон Дедов

Также прилагаю и файлы презентаций.

#video

Митап прошел, но воспоминания остались

Друзья, еще раз спасибо всем, кто пришел на первый 401 meetup. На событии нас собралось 60 человек, что очень здорово. Искренне надеюсь, что получилось душевно и интересно.

Выделенного фотографа, увы, не было, но наши внештатные корреспонденты постарались запечатлеть событие на фотопленке. Так что ищите себя на фотографиях - они доступны по ссылке 📸 . А если у вас есть еще фотографии, не стесняйтесь скидывать в комментарии к посту.

Также, кто присутствовал и у кого еще свежи впечатления в памяти, прошу заполнить форму обратной связи. Это очень ценно и поможет мне совершенствовать формат.

➡️➡️➡️ Форма обратной связи ⬅️⬅️⬅️

Записи докладов были сделаны успешно, скоро я их нарежу и выложу ссылки здесь.

401 meetup уже завтра

Напоминаю, что митап состоится уже завтра (27 мая). Всех, кто зарегистрировался и получил подтверждение (это важно!), ждем:

🕐 В 18:00
📍Москва, ул. Льва Толстого 16 (БЦ Морозов), подъезд 4, 1 этаж, зал Мулен Руж

Если вы еще не зарегистрировались и думаете, есть последний шанс. Завтра утром регистрацию закроется, и карета превратится в тыкву.

Программа:

18:00 – 18:30 - Регистрация участников
18:30 – 18:35 - Открытие
18:35 – 19:15 - Использование развёрнутого контекста устройства и сессии в корпоративном IAM на базе приложения-аутентификатора, Дмитрий Грудинин
19:15 – 19:55 - Разработка своего IAM в схемах и мемах, Сергей Ипатов
19:55 – 20:15 - Перерыв
20:15 – 20:55 - Политики-ограничения в Yandex Cloud IAM, Антон Дедов
21:00 – 23:00 - Афтепати и нетворкинг

Также сообщу приятную новость: чтобы информация воспринималась лучше, а общение шло легче, на площадке будет предусмотрен перекус и напитки 😉


#announce

401 meetup – регистрация участников

Открывается регистрация участников на 401 meetup. Участие бесплатное.

📆 27 мая в 18:00
📍Москва, ул. Льва Толстого 16 (БЦ Морозов), подъезд 4, 1 этаж, зал Мулен Руж

В этот вечер сфокусируемся на IAM, а в программе будут доклады от прекрасных спикеров:

🔵Использование развёрнутого контекста устройства и сессии в корпоративном IAM на базе приложения-аутентификатора - Дмитрий Грудинин, архитектор
Identity Security-решений, Avanpost

Корпоративный IAM является не просто системой аутентификации в приложения компании для сотрудников. IAM, к которому подключено подавляющее число корпоративных систем, обладает уникальным свойством: сотрудники компании взаимодействуют с такой системой в десятки раз чаще, чем с любыми другими классами продуктов, при этом такое взаимодействие предполагает обязательную аутентификацию субъекта.
В рамках доклада разберём концепцию обогащения контекста IAM-системы информацией об устройствах, сигналах безопасности устройств, сессиях и поведенческих атрибутах процесса аутентификации при помощи приложения-аутентификатора IAM-системы. А также разберём методы прикладного использования такого набора контекстных атрибутов для повышения защищённости и удобства процессов аутентификации.

🔵Разработка своего IAM в схемах и мемах - Сергей Ипатов, руководитель группы разработки, Лаборатория Касперского

Доклад про опыт разработки своего IAM в условиях следующих требований: интеграция с legacy API, гибкая поддержка произвольного числа протоколов аутентификации, поддержка расчёта прав с учётом неограниченного числа вложенных групп пользователей и поддержка разных вариантов деплоя. В докладе будут рассмотрены расширения OAuth2/OIDC, протокол SCIM, а также NGAC.

🔵Политики-ограничения в Yandex Cloud IAM - Антон Дедов, архитектор функций безопасности, Yandex Cloud IAM

Мы реализовали политики, расширяющие текущую модель авторизации в облаке. Политики вносят элементы ABAC в нашу статичную модель, позволяют точечно вырезать доступы, добавляют понятие облигаций и могут служить фундаментом для других кейсов, например, политик аутентификации. В докладе постараюсь осветить наш путь принятия решения: от абстрактных конструкций к реализации.

Зарегистрироваться и посмотреть подробности можно по ссылке.

Будем рады всем, кто интересуется вопросами аутентификации, авторизации и не только 😉


#announce

401 meetup – call for papers


Друзья, пишу поделиться отличной новостью!

Анонсирую оффлайн-митап про Identity & Access Management (IAM) в Москве 27 мая. Концепция: свободный вендор-независимый митап для сообщества.

Подробности и начало регистрации для участников будут объявлены позднее, а пока приглашаю спикеров заявиться с докладами.

Очень жду и приветствую доклады про аутентификацию, управление доступом и смежные области. Это будет классная возможность выступить на релевантную аудиторию.
Тайминг 35-40 минут. Запись постараюсь организовать, чтобы материалы были доступны.

Принимаем любые идеи, крутые технические или архитектурные доклады всегда в цене. А если вам нужно вдохновение, вот темы, о которых особенно хочется послушать:

- Аутентификация и авторизация: MFA, passwordless, адаптивная risk-based аутентификация, Just-in-Time Access, политики и модели контроля доступа
- Протоколы и стандарты: интересные, новаторские практики использования OAuth 2.0, OIDC, SAML, применение новых RFC и спецификаций
- Безопасность identity: Identity Threat Detection and Response (ITDR), уязвимости, атаки на аутентификацию, контроль доступа и меры защиты от них
- Практика и highload: опыт использования “нестандартного” Open Source (Ory, Casdoor, ZITADEL, etc.), адаптация IAM под высокие нагрузки и специфичные НФТ, разработка собственных IAM-решений
- Новые вызовы: аутентификация и контроль доступа для AI-агентов и MCP
- Enterprise-задачи: B2B IAM, федерации, мультитенантность
- Customer IAM (CIAM): UX и безопасность, управление аккаунтами и согласиями, social login
- Архитектура: аутентификация и контроль доступа в распределенных системах, service-to-service взаимодействия, SPIFFE
- Интеграции: комплексные решения из нескольких компонентов: IdM, IAM, SIEM, API Gateway, etc.

⛔️ Для подачи заявки на доклад заполняйте форму.


Прием заявок открыт до 1 мая (но времени не так много, не затягивайте). Со всеми заполнившими форму свяжемся.
По вопросам можно писать Андрею Кузнецову.

Сомневаетесь, подходит ли ваша тема? Оставляйте заявку – обсудим и подумаем вместе. Мы открыты к специалистам с различным опытом и профилем.
Если у вас есть идея доклада, но вы никогда не выступали и переживаете, мы поддержим и поможем подготовиться <3


Напоследок TLDR:
📆 27 мая оффлайн в Москве, площадку согласился предоставить Яндекс
📩 Заявки на доклады присылайте в форму до 1 мая

Stay tuned!

#announce #iam_general