La gestión de acceso web ( WAM ) [1] es una forma de gestión de identidad que controla el acceso a los recursos web, proporcionando gestión de autenticación , autorizaciones basadas en políticas , servicios de auditoría e informes (opcional) y comodidad de inicio de sesión único .
La gestión de la autenticación es el proceso de determinar la identidad de un usuario (o de una aplicación). Esto normalmente se hace solicitando un nombre de usuario y una contraseña. Los métodos adicionales de autenticación también pueden incluir tokens de acceso (que generan contraseñas de un solo uso ) y certificados digitales.
Una vez que se confirma la identidad de un usuario (o proceso), entra en juego la autorización basada en políticas. Un recurso web puede tener una o más políticas adjuntas que digan, por ejemplo, "permitir que solo los empleados internos accedan a este recurso" y/o "permitir que solo los miembros del grupo de administración accedan a este recurso". El recurso solicitado se usa para buscar la política y, luego, la política se evalúa con respecto a la identidad del usuario. Si el usuario pasa la evaluación de la política, se le otorga acceso al recurso. Si el usuario no pasa la evaluación, se deniega el acceso.
Después de tomar una decisión de política de autenticación o autorización, el resultado se puede registrar con fines de auditoría, como por ejemplo:
Como beneficio para el usuario final, un producto de administración de acceso web puede vincular esta seguridad (lo que es más un beneficio para el personal administrativo y de TI) y ofrecer inicio de sesión único, el proceso mediante el cual un usuario inicia sesión solo una vez para un recurso web y luego se registra automáticamente en todos los recursos relacionados. Los usuarios pueden tener inconvenientes cuando intentan autenticarse en varios sitios web a lo largo del día (potencialmente, cada uno con diferentes nombres de usuario y contraseñas). Un producto de administración de acceso web puede registrar la autenticación inicial y proporcionar al usuario una cookie que actúa como un token temporal para la autenticación de todos los demás recursos protegidos, lo que requiere que el usuario inicie sesión solo una vez.
Los productos de administración de acceso web se originaron a fines de la década de 1990 y luego se los conocía como inicio de sesión único. Cinco de los productos originales fueron Hewlett-Packard HP IceWall SSO, CA Technologies SiteMinder, Oblix Access Manager, Magnaquest Technologies Limited IAM (Identity and Access Management) y NovelliCadena. Estos productos eran simples en sus capacidades funcionales, pero resolvieron un problema importante de la época: cómo compartir las credenciales de los usuarios en varios dominios sin obligar al usuario a iniciar sesión más de una vez. El desafío surgió del hecho de que las cookies son específicas de un dominio, por lo que no había una forma sencilla de transferir a un usuario de un sitio web a otro sin problemas. El nuevo término se conoció como administración de acceso web, porque los productos agregaron la funcionalidad de controlar a qué recursos (páginas web) podía acceder un usuario, además de autenticarlos.