Опубликовано: 05.08.2026 | Источник: CNews (новости)

```html

Единая авторизация в ВКР: проектирование IAM-сервиса для партнерской экосистемы

«Газпром ID» уже объединяет более 65 крупных партнеров из разных отраслей — от банков до ритейла. Для студента это не просто новость, а подтверждение тренда: рынок переходит на единые точки входа (SSO), где безопасность и удобство интеграции становятся главными аргументами. Если вы пишете диплом по разработке серверных решений, архитектуре или защите информации, кейс «Газпром ID» дает идеальную привязку к реальной мировой практике. В этой статье я, как ИТ-специалист по информационной безопасности, разберу, как превратить такой кейс в полноценную ВКР: выбрать актуальную тему, составить задачи, построить диаграммы, реализовать прототип и подготовиться к защите.

Темы ВКР на основе кейса «Газпром ID»

Основная часть: как превратить новость в главы диплома

1. Анализ кейса для первой главы

Начните с описания тренда: «Газпром ID» объединяет более 65 партнеров — значит, единая авторизация должна быть масштабируемой, безопасной и стандартизированной. В первой главе это отлично ложится в подраздел «Анализ существующих решений».

• Сравните «Газпром ID» с аналогами: Яндекс ID, VK ID, Госуслуги. Определите общие протоколы: OAuth 2.0, OpenID Connect, SAML.
• Постройте C4-диаграмму уровня System Context: покажите место сервиса аутентификации между пользователями, партнерами и внутренними системами.
• Нарисуйте UML Use Case: пользователь входит с учетной записью «Газпром ID», партнерское приложение получает маркер доступа, а затем обращается к защищенным ресурсам.

Каждое техническое решение подкрепляйте ссылкой на стандарты. Для диплома это обязательный атрибут.

2. Проектирование архитектуры для второй главы

Здесь вы переходите от теории к проектированию. Опишите логическую и физическую архитектуру сервиса, схему базы данных пользователей, кэш сессий, механизмы обновления токенов.

Для ВКР важна наглядность. Используйте нотацию C4 или классические UML-диаграммы. Ключевой элемент — диаграмма последовательности OAuth 2.0 Authorization Code Flow:

Пользователь → Партнерский сервис: «Войти через Газпром ID»
Партнерский сервис → Авторизационный сервер: Authorization Request
Авторизационный сервер → Пользователь: форма логина
Пользователь → Авторизационный сервер: учетные данные
Авторизационный сервер → Партнерский сервис: Authorization Code
Партнерский сервис → Авторизационный сервер: Code + client_id + secret
Авторизационный сервер → Партнерский сервис: Access Token (+ Refresh Token)
Партнерский сервис → API «Газпром ID»: запрос с токеном
API → Партнерский сервис: userinfo

Для второй главы также нужно выбрать стек. Ниже — пример конфигурации Spring Boot для подключения OAuth2-провайдера (абстрактный, без реальных адресов):

spring:
  security:
    oauth2:
      client:
        registration:
          gp-id:
            client-id: "partner_client"
            client-secret: "${GP_CLIENT_SECRET}"
            redirect-uri: "{baseUrl}/login/oauth2/code/gp-id"
            scope: "openid, profile, email"
            client-authentication-method: "client_secret_basic"
        provider:
          gp-id:
            authorization-uri: "https://login.gp-id.example/oauth2/authorize"
            token-uri: "https://login.gp-id.example/oauth2/token"
            user-info-uri: "https://login.gp-id.example/oauth2/userinfo"
            jwk-set-uri: "https://login.gp-id.example/.well-known/jwks.json"

3. Тестирование и оценка эффективности для третьей главы

В третьей главе нужно показать, что ваше решение работает. Спланируйте следующие метрики:

• время отклика критических эндпоинтов (p95, p99);
• процент успешных аутентификаций;
• количество уязвимостей по результатам сканирования OWASP ZAP;
• покрытие кода юнит-тестами;
• сравнение безопасности вашего решения с базовым (до внедрения SSO).

Для нагрузочного тестирования используйте JMeter или k6. Для анализа безопасности — OWASP ZAP, Burp Suite. Ниже — простой пример проверки уязвимостей через REST API ZAP:

# Запустить активное сканирование
curl -X GET "http://zap.local/JSON/ascan/action/scan/?url=https%3A%2F%2Ftarget.example%2Flogin"

# Получить результаты
curl -X GET "http://zap.local/JSON/ascan/view/results/?scanId=1"

Чему вы научитесь

• Проектировать IAM-решения с учетом требований OWASP и ГОСТ 34.
• Строить диаграммы UML и C4 — обязательный элемент диплома, который легко защитить перед комиссией.
• Настраивать OAuth 2.0 / OpenID Connect в реальном проекте.
• Проводить нагрузочное тестирование и анализ защищенности API.
• Оценивать качество разработанного сервиса по стандарту ISO/IEC 25010.

Типичные ошибки студентов

Частые вопросы студентов

1. Какой стек выбрать для ВКР по единой авторизации?

Зависит от темы. Если делаете прототип — можно взять Keycloak с кастомными темами (это saves time) или Spring Authorization Server. Для дипломного проекта подойдёт любой язык, главное — показать понимание протоколов OAuth и OIDC. Выбирайте стек, который вы сможете объяснить на защите.

2. Нужно ли писать код или достаточно проектирования?

Для бакалаврской работы часто достаточно рабочего прототипа, но не всегда. Чтобы не прогадать, уточните у научного руководителя. Если требуется реализация, реализуйте хотя бы минимальный сценарий: страница входа, выдача токена, доступ к защищенному ресурсу.

3. Где взять данные о безопасности «Газпром ID»?

В открытом доступе таких данных нет. Используйте общие модели угроз для SSO, базируйтесь на документации протоколов OAuth 2.0 и OIDC, а также на отчётах аналитических компаний. В вашей работе это не пробел, а норма — анализ рисков всегда строится на экспертном опыте, а не на данных конкретной закрытой системы.

4. Как оформить схемы, чтобы пройти нормоконтроль?

Ориентируйтесь на ГОСТ 34.601 и ГОСТ 19.701. Подпишите каждую диаграмму (Рисунок 2.1 — Диаграмма последовательности…), выровняйте элементы, используйте список источников. Если сомневаетесь в правильности оформления, посмотрите методичку вашего вуза или попросите готовый шаблон у руководителя.

Чек-лист перед сдачей

Источник: «Газпром ID» объединяет более 65 крупных партнеров из разных отраслей (опубликовано 2026-03-17)

```