PAPI es un sistema de autenticación y autorización que proporciona unos mecanismos para realizar el control de acceso a aquellos recursos que necesitan proteger cierta informción y que están distribuidos en una red. Su principal objetivo es mantener la autenticación como una cuestion local a la organización a la que pertenece el usuario, mientras que los recursos realizarán el proceso de autorizar los accesos de dichos usuarios.
El sistema dispone de 4 componentes diferentes:
- Servidor de autenticación (AS): también llamado Proveedor de Identidad se encarga del proceso de autenticar al usuario, validano su identidad y asociándole una serie de atributos para que presente en los recursos protegidos.
- Punto de Acceso (PoA): este componente, conocido como Proveedor de Servicio, realiza la autorización del acceso a un recurso protegido comprobando la autenticación del usuario y sus atributos.
- Grupo de Puntos de Acceso (GPoA): permite centralizar las políticas de autorización de una organización en un sólo punto, al cual preguntarán los Proveedores de Servicio de dicha organización.
- Proxy PAPI: es un proxy HTTP con re-escritura de los enlaces con respecto a un recurso web externo. De esta forma, recursos que sólo permiten autenticación por IP pueden integrarse también en una infraestructura de autenticación y autorización.
Las principales características de PAPI son:
- Infraestructura completa para desplegar un sistema de Single Sign-On dentro de una organización o entre diferentes organizaciones, proporcionando la tecnología necesaria para desplegar una federación de identidad digital.
- Proxy web con re-escritura de enlaces HTTP, permitiendo el acceso controlado a recursos externos que sólo disponen de mecanismos de autorización básicos como el control por IP.
- Protocolo abierto, ligero y documentado.
- Fácilmente interoperable con otros protocolos de autenticación y autorización, como SAML 1.1, SAML 2, OpenID y OAuth.
- Software abierto y disponible en diferentes lenguajes de programación: Perl, PHP, Java, ASP.NET, etc.
- Multitud de conectores disponibles para proveedores de servicio: MediaWiki, DokuWiki, Moodle, etc.
