Решение на базе SAS состоит из следующих частей (компонентов):

• сервера (-ов) аутентификации;
• сервера (-ов) баз данных;
• узлов (агентов) аутентификации;
• агента (-ов) LDAP;
• планировщика(-ов) задач.

Сервер аутентификации SAS, в свою очередь, состоит из нескольких независимых модулей, каждый из которых выполняет определенный набор функций.

Отвечает за получение от узла аутентификации одноразового пароля (в том числе в сочетании с ПИН-кодом, если он задан), их проверку и отправку на узел результата этой проверки. Параметры из строки запроса передаются процессу сервера аутентификации, который в свою очередь обращается к базе данных. Поэтому нужно настроить подключение этого модуля к базе данных (т.е. создать учетную запись пользователя этой базы).

Проверка запроса на аутентификацию выполняется только на основании данных, которые хранятся в базе данных. Модуль аутентификации не кэширует никаких результатов вычислений и не хранит никаких предвычисленных значений. С одной стороны, это обеспечивает целостность данных, исключает необходимость синхронизации с другими экземплярами модулей аутентификации. С другой стороны, доступность и производительность аутентификации будет зависеть от работы базы данных.

Представляет собой веб-приложение для настройки и администрирования продукта. Консоль поддерживает последние версии всех современных веб-браузеров (Chrome, Edge, Firefox, Safari) для всех распространенных операционных систем (Windows, Linux, macOS, Android, iOS). Запросы от браузера обрабатываются модулем администрирования, данные загружаются из базы данных и записываются в нее. Для доступа к базе данных используется та же учетная запись, что и для модуля аутентификации.

Доступ к консоли происходит по протоколу HTTPS. Перед началом сеанса работы с консолью нужно аутентифицироваться в веб-форме входа. Данные из этой формы (адрес электронной формы в качестве идентификатора и комбинация ПИН-кода и OTP в качестве пароля) отправляются в модуль аутентификации SAS. Данные сеанса хранятся в cookie.

Нужен для того, чтобы пользователи могли активировать назначенные им аутентификаторы. Запрос на активацию приходит пользователю в виде одноразовой ссылки в сообщении электронной почты, и эта ссылка ведет на страницу активации. На этой странице пользователю нужно ввести серийный номер ключа (для аппаратных аутентификаторов) или отсканировать QR-код, в котором закодирован вектор инициализации (для программных аутентификаторов), после чего ввести одноразовый код с этого аутентификатора и установить его ПИН-код.

Если модуль активации расположен внутри периметра корпоративной сети, доступ к которой извне защищен с помощью этой же инсталляции SAS, то получается, что до активации своего первого аутентификатора пользователь за пределами периметра корпоративной сети не сможет пройти по ссылке на модуль активации. Поэтому нужно или размещать модуль активации за пределами периметра (в так называемой «демилитаризованной зоне», DMZ), либо пользователю придется активировать свой первый аутентификатор, находясь внутри периметра.

Обеспечивает выполнение пользователями типовых операций с аутентификаторами: сброса забытых ПИН-кодов, синхронизации счетчиков между токеном и сервером (если они рассинхронизируются из-за случайных нажатий или дрейфа часов).

Работа с порталом ведется через веб-браузер. В процессе работы модуль обменивается данными с сервером баз данных.

Войти на портал активации можно с любым из действующих токенов или по временному 10-минутному коду, который высылается по запросу пользователя на адрес электронной почты, указанный в его учетной записи. Один и тот же экземпляр модуля поддерживает индивидуальные порталы для разных аккаунтов (виртуальных серверов).

Для автоматического запуска некоторых периодических задач служит планировщик. Для каждого виртуального сервера в отдельности можно установить время (или периодичность – в зависимости от задачи) запуска. Это позволяет спланировать ресурсоемкие операции на периоды наименьшей загрузки решения.

К задачам планировщика относятся следующие операции:

• автоматическое назначение и отзыв аутентификаторов;
• уведомление пользователей о событиях (например, о необходимости смены ПИН-кода аутентификатора);
• системные события.

Этот модуль сервера аутентификации отвечает за прием информации от агентов LDAP и запись ее в базу данных SAS. Модуль синхронизации может принимать информацию сразу для нескольких виртуальных серверов, в том числе и от нескольких агентов сразу (при условии, что все агенты имеют одинаковые настройки для одних и тех же виртуальных серверов).

Передача данных от агентов зашифрована с помощью SSL. Кроме того, для верификации агентов используется идентификатор и ключ (подпись): с их помощью модуль аутентификации может удостовериться, что поток данных идет от легитимных агентов.

Объекты, созданные посредством синхронизации, могут быть изменены только модулем синхронизации LDAP – в консоли администрирования они доступны только на чтение, и ни одно из синхронизированных свойств изменить нельзя.