Best practice negli standard dei nomi utente: evitare problemi

Sono interessato a scoprire quali sono le esperienze delle persone con nomi utente standard. Sono sempre stato in luoghi che hanno usato {firstInitial} {lastname} (a volte con un limite di lunghezza). Ora ho utenti che vogliono {firstname}. {Lastname} - e ora viene fuori che il periodo può causare problemi.

In particolare:

• Qual è il limite di lunghezza del nome utente migliore da utilizzare per mantenere la compatibilità per tutti gli usi?
• Quali personaggi dovrebbero essere evitati?

AGGIORNAMENTO: Il motivo per cui non ho menzionato i dettagli è che volevo essere abbastanza generale da gestire qualsiasi cosa potesse emergere in futuro. Tuttavia, questo potrebbe essere un requisito troppo generale (tutto può succedere, giusto?).

Questo è il nostro ambiente: Ubuntu Server Lucid Lynx 10.04 LTS, Red Hat Enterprise Linux 5.6 e versioni successive, Windows Server 2003 e Windows 2000 Server (con Active Directory in modalità nativa di Windows 2000), Zimbra 7.x per la posta e OpenLDAP nel vicino futuro.

AGGIORNAMENTO: dovrei menzionare (per completezza) che ho visto questa domanda (anche se non ha risposto alla mia domanda posta) e anche questo post sul web , entrambi molto istruttivi.

Questo è un problema cronico con grandi sistemi di Identity Management che tentano di incollare sistemi eterogenei. Invariabilmente, sarai limitato al minimo comune denominatore, che troppo spesso è un limite ASCII alfa-numerico di 8 caratteri grazie ad un sistema (probabilmente legacy) simile a Unix da qualche parte nelle viscere del datacenter. Quei sistemi moderni fantasiosi possono impiegare una lunghezza arbitraria che è improbabile che vengano utilizzati nomi utente UTF8.

Ho trascorso 7 anni in un istituto di istruzione superiore dove dovevamo capire ogni anno nomi utente di 8 caratteri per 5000 nuovi studenti. Al momento della mia partenza, eravamo riusciti a trovare nomi univoci per 15 anni di studenti. Questo può essere fatto, signor smitj510

Cose che renderanno la tua vita incredibilmente più semplice:

• Scopri qual è il tuo minimo comune denominatore, che richiede l'analisi di ogni parte del tuo sistema di gestione delle identità per scoprire quali sono i limiti.
  • Quel vecchio sistema Solaris 7 sta forzando il limite di 8 caratteri.
  • Le applicazioni critiche che utilizzano i dati di identità hanno i loro limiti che dovrai considerare.
    • Forse si aspettano che i dati degli utenti da LDAP siano conformi a uno "standard" unico per loro.
    • Forse il database di autenticazione che usano può gestire solo determinati dati formattati.
• Avere una tabella di database con un elenco di One True Identifier (quel nome account di 8 caratteri), con collegamenti / campi che elencano ID simili come firstname.lastnameo qualsiasi altra cosa che potrebbe venire fuori.
  • Il software standard può fare alcune cose davvero strane e ostili all'IDM come usare un ID numerico per il nome dell'account o generare automaticamente ID account in base ai dati del profilo. Tutto ciò va anche nella tabella del database.
  • Questo aiuta anche le persone con caratteri non [az | 0-9] nei loro nomi come Harry O'Neil o quelli non ASCII come Alžbêta.
• Quando si creano i processi di sincronizzazione degli account, sfruttare quella tabella del database per assicurarsi che gli account giusti ottengano gli aggiornamenti giusti. Quando i nomi cambiano (matrimonio, divorzio, altri) vuoi che questi cambiamenti si propaghino nei posti giusti.
  • Configurare gli stessi database di identità effettivi per impedire cambiamenti locali ove possibile e processi aziendali per scoraggiarli fortemente quando ciò non è possibile. Affidati al processo di sincronizzazione dell'account centrale per tutto ciò che puoi.
• Sfrutta i sistemi alias ovunque tu sia, ad esempio via e-mail.
• Considera immutabile l'ID a 8 caratteri, poiché la modifica di quel campo può causare MOLTO dolore al personale IT poiché gli account devono essere ricreati.
  • Ciò suggerisce un ID account non derivato dai dati del nome, poiché il matrimonio / divorzio / ordine del tribunale può modificare i dati del nome nel tempo.
• Predisporre un sistema per le eccezioni, poiché ce ne saranno sempre alcune.
  • Il divorzio orribile e che i dati dei nomi generati da UID a 8 caratteri portano ricordi sconvolgenti ogni volta che devi accedervi? Sii gentile con i tuoi utenti e consenti un meccanismo per queste modifiche, ma tieni il silenzio.
• Fai il possibile per consentire l'accesso con più nomi utente nei sistemi in cui è presente un'opzione
  • Ad alcune persone piace il loro uid di 8 caratteri, ad altri piace firstname.lastname@example.com. Sii flessibile, fai amicizia.
  • A volte questo richiede il fronting dei sistemi basati sul Web con un framework single sign-on come CAS . Rimarrai sorpreso da quanti sistemi standardizzati possono supportare framework SSO come questo, quindi non scoraggiarti.

Vale a dire, trattalo come un problema di banca dati perché è quello che è. Scegli una chiave primaria per la massima compatibilità con i tuoi sistemi (probabilmente 8 caratteri), crea una tabella di ricerca per consentire ai sistemi di tradurre gli ID locali nella chiave primaria e progetta i tuoi sistemi di sincronizzazione dei dati per gestire vari ID.

Le tue domande in particolare:

• Qual è il limite di lunghezza del nome utente migliore da utilizzare per mantenere la compatibilità per tutti gli usi?

Non esiste una cosa del genere. Esistono solo i "tuoi" usi, che possono includere i tuoi usi futuri. Non abbiamo idea di cosa siano.

• Quali personaggi dovrebbero essere evitati?

Ciò dipenderà dai sistemi informatici con cui hai a che fare. Windows, ad esempio, non ha problemi con un punto nel nome utente. In effetti, l'UPN è formattato come un indirizzo e-mail, che consente un punto.

I miei ulteriori pensieri:

• Non lasciare che i tuoi utenti chiedano: dì loro qual è lo standard e sii aperto al business (non ai singoli utenti) richiedendo modifiche allo standard quando cambiano i requisiti.
• Stabilisci una "politica di eccezione" nello standard, in modo da poter aiutare la povera Susan Penington e Mary Utt (dai commenti sopra) senza dover coinvolgere un vicepresidente. Rendi l'IT bello, vero?

La mia esperienza è stata che, per un'azienda sufficientemente grande, qualsiasi decisione presa avrà sempre problemi. Anche se funziona oggi, c'è sempre il sistema che implementerai domani che ha problemi con lo standard precedente (problemi di lunghezza, problemi di carattere, ecc.).

Assicurati di scoprire se il push per Firstname. Lastname si riferisce all'email e non necessariamente ai nomi di accesso. Troverei difficile credere che l'utente voglia digitare "John.Smith" invece di "jsmith" quando accede, ma sono molto più venduto all'idea che vuole "John.Smith@company.com "come il suo indirizzo email. Come sottolinea @Mfinni, c'è sempre la possibilità per gli utenti di avere alias e-mail multipli, forward, ecc. Solo far sapere agli utenti che esiste l'opzione per disaccoppiare il loro nome utente dal loro indirizzo e-mail può cambiare la dinamica della richiesta.

Per i sistemi Unix e Linux, {firstInitial} {lastname} è chiaramente l' ideale.

...

per motivi che dovrebbero essere evidenti dal nome associato a questo account.

Una cosa da tenere presente quando si definiscono gli standard di denominazione su piattaforme è un particolare problema estetico in ps in Linux (e forse in altri sistemi operativi Unix). Potrebbe interessarti o meno di questo (ma può essere allarmante per qualcuno che non se lo aspetta ... Ho avuto delle persone che si occupano di sicurezza su questo).

La colonna UID mostrerà solo fino a 8 caratteri di un nome utente. Se il nome utente è più lungo di 8 caratteri, passerà alla stampa dell'UID numerico effettivo. È possibile aggirare il problema avendo un formato di colonna ps personalizzato che contiene il campo USER, ma SOLO se USER è l'ultima colonna (dal mio test empirico).

La maggior parte delle persone probabilmente non si preoccupa di questo, ma se stai facendo una sorta di elaborazione dell'output ps e ti aspetti che appaiano i nomi utente reali, dovresti stare attento alle lunghezze dei tuoi nomi (altrimenti, inserirai degli hack nel tuo codice per fare in modo che ps faccia la cosa giusta).

Per esempio:

Ecco il formato colonna predefinito per l'elenco di formati completi. Nota che il mio uid è in formato numerico perché il mio nome utente è> 8 caratteri.

[tcampbell@tst-agg1 ~]$ ps -f
  UID        PID  PPID  C STIME TTY          TIME CMD
 2108      1368  1367  0 Jan10 pts/3    00:00:00 -bash
 2108     22303  1368  0 12:07 pts/3    00:00:00 ps -f

Ricreamolo usando un formato colonna personalizzato. Nota che ho aggiunto la colonna USER. Si noti che è anche in formato numerico.

[tcampbell@tst-agg1 ~]$ ps -o uid,user,c,stime,tty,time,cmd    
  UID USER      C STIME TT           TIME CMD
 2108 2108      0 Jan10 pts/3    00:00:00 -bash
 2108 2108      0 12:05 pts/3    00:00:00 ps -o uid,user,c,stime,tty,time,cmd

Spostiamo USER alla fine della riga. Viene espanso all'output "giusto".

[tcampbell@tst-agg1 ~]$ ps -o uid,user,c,stime,tty,time,cmd,user
  UID USER      C STIME TT           TIME CMD                         USER
 2108 2108      0 Jan10 pts/3    00:00:00 -bash                       tcampbell
 2108 2108      0 12:05 pts/3    00:00:00 ps -o uid,user,c,stime,tty, tcampbell

Ma, non appena aggiungiamo qualcosa di nuovo alla fine dell'elenco delle colonne, torna alla forma numerica.

[tcampbell@tst-agg1 ~]$ ps -o uid,user,c,stime,tty,time,cmd,user,pid
  UID USER      C STIME TT           TIME CMD                         USER       PID
 2108 2108      0 Jan10 pts/3    00:00:00 -bash                       2108      1368
 2108 2108      0 12:05 pts/3    00:00:00 ps -o uid,user,c,stime,tty, 2108     21756

[alcune lettere dal nome] [alcune lettere dal cognome] [nnn]

foreg: se il nome è Bill Gates, puoi usare ' biga00 ' o bilgat000

se arrivano le prossime porte del conto, per lui sarà 'biga01' o bilgat001 '

Bene, dal punto di vista delle operazioni, amministrazione e manutenzione (OAM), il nome utente deve essere facilmente distinto. Tuttavia, dal punto di vista aziendale, il nome utente (a / k / a e-mail alias) deve essere facilmente ricordato o richiamato da altri.

Può essere come:

• first.last.index@domain
• prima (iniziale) del dominio .last.index @