Nền tảng QLƯD, xác thực dùng chung LifeSSO

1. Giới thiệu chung — LifeSSO

LifeSSO là nền tảng quản lý định danh, xác thực và quản lý dịch vụ (APIM) tích hợp, được thiết kế để:

• Tạo ra hệ thống xác thực tập trung cho nhiều ứng dụng, dịch vụ trong tổ chức
• Cung cấp chính sách phân quyền linh hoạt, bảo mật cao
• Cung cấp lớp API Management (APIM) giúp quản lý, giám sát, định tuyến API và dịch vụ dùng chung
• Hỗ trợ danh mục dùng chung (shared catalog / service registry) để các hệ thống có thể tái sử dụng dịch vụ, tiêu chuẩn chung

LifeSSO giúp tránh việc mỗi ứng dụng tự xây dựng hệ thống xác thực, quyền truy cập riêng lẻ — thay vào đó tất cả được tập trung, đồng bộ, dễ quản lý, dễ bảo trì.

2. Kiến trúc tổng thể & các thành phần chính

Kiến trúc tổng thể

• Người dùng hoặc ứng dụng gọi vào hệ thống qua cổng (gateway) của LifeSSO
• Gateway phối hợp với IAM / SSO để xử lý xác thực, lấy token, xác định quyền
• Sau khi được xác thực và cấp quyền, gateway chuyển tiếp yêu cầu đến API hoặc dịch vụ đích
• Mỗi API / dịch vụ đích có thể đăng ký vào danh mục dùng chung để các hệ thống khác biết đường dẫn, metadata
• Hệ thống có lớp giám sát, logging, theo dõi, báo cáo để quản trị viên theo dõi hoạt động

(Ta có thể hình dung như một phiên bản hợp nhất của SSO + IAM + APIM trong cùng một nền tảng.)

3. Các hạng mục chi tiết

3.1 SSO (Single Sign-On)

Chức năng:

• Người dùng chỉ cần đăng nhập một lần (username / mật khẩu / xác thực đa yếu tố) để truy cập vào nhiều ứng dụng khác nhau mà không cần đăng nhập lại.
• Hỗ trợ các chuẩn như SAML, OAuth2 / OpenID Connect để tương tác với ứng dụng web, ứng dụng di động, API.
• Quản lý session người dùng, có cơ chế timeout, refresh token, logout tập trung.

Lợi ích:

• Trải nghiệm người dùng tốt hơn (không phải nhớ nhiều tài khoản / đăng nhập nhiều lần)
• Giảm rủi ro bảo mật do không lưu nhiều mật khẩu
• Dễ kiểm soát và thu hồi quyền truy cập trung tâm

3.2 LifeIAM (Identity & Access Management)

Chức năng:

• Quản lý danh tính: tạo, sửa, xóa tài khoản người dùng (cán bộ, hệ thống, dịch vụ)
• Phân quyền / phân vai trò (RBAC, ABAC): định nghĩa vai trò (role) và gán quyền (permission) cho vai trò đó
• Quản lý vòng đời tài khoản: onboarding (khi nhân viên mới), offboarding (khi nghỉ việc)
• Chính sách bảo mật: yêu cầu mật khẩu, chính sách đổi mật khẩu, khóa tài khoản, xác thực đa yếu tố (MFA)
• Kiểm toán & báo cáo: ghi log truy cập, thay đổi quyền, truy vấn lịch sử, phục vụ tuân thủ

Minh họa kiến trúc IAM (ví dụ):
Hình ảnh bên trên cho thấy các thành phần như dịch vụ xác thực (authentication), quản lý tài khoản (account management), quản lý quyền, tính toán policy, PEP / PDP / PAP…

3.3 LifeAPIM (API Management)

Chức năng:

• Cung cấp lớp gateway / proxy cho các API và dịch vụ nội bộ / bên ngoài
• Thực hiện xác thực & kiểm tra quyền (authz) trước khi chuyển tiếp yêu cầu
• Chuyển đổi / định tuyến / điều chỉnh yêu cầu và phản hồi (ví dụ: ánh xạ URL, chuyển đổi dữ liệu)
• Giới hạn lưu lượng (rate limiting, throttling), caching, logging, đo lường hiệu suất API
• Hỗ trợ quản lý phiên bản API (versioning), gỡ bỏ API cũ (deprecation)
• Cung cấp cổng dành cho nhà phát triển (developer portal / API catalog) để các hệ thống khác khám phá API

Hình minh họa kiến trúc APIM (ví dụ WSO2 API Manager) thể hiện rõ các tầng gateway, control plane, quản lý API, transforms…

4. Luồng hoạt động (flow)

Dưới đây là ví dụ luồng đơn giản khi một người dùng truy cập vào một ứng dụng qua LifeSSO:

1. Người dùng mở ứng dụng → được chuyển hướng để đăng nhập tại LifeSSO (SSO)
2. LifeSSO xử lý xác thực (có thể qua username/password, OTP, MFA)
3. Sau khi xác thực thành công, hệ thống cấp token (JWT / access token) mang thông tin nhận dạng và quyền
4. Ứng dụng gửi yêu cầu API kèm token đến API gateway của LifeSSO (APIM)
5. APIM kiểm tra token, xác định quyền truy cập theo chính sách IAM
6. Nếu hợp lệ, APIM chuyển tiếp yêu cầu đến dịch vụ đích (có thể thay đổi đường dẫn, header)
7. Phản hồi từ dịch vụ quay lại qua APIM → đến ứng dụng người dùng
8. Trong suốt quá trình, hệ thống ghi log, giám sát, báo cáo

5. Lợi ích & ưu điểm của LifeSSO

• Tập trung, đồng nhất: mọi xác thực, phân quyền, quản lý API đều qua một nền tảng chung
• Bảo mật cao: kiểm soát truy cập chặt chẽ, dễ thực thi MFA, chính sách bảo mật
• Tái sử dụng dịch vụ: qua danh mục dùng chung, các hệ thống dễ tìm và tích hợp API có sẵn
• Quản trị dễ dàng: một nơi quản lý tất cả quyền, log, báo cáo
• Mở rộng & linh hoạt: có thể mở rộng cho nhiều ứng dụng, dịch vụ mới mà không phải xây lại hệ thống xác thực riêng

1.DatasheetLifeSSO.pdf
2.Bao Gia SSO.pdf