单点登录技术文档

《单点登录技术文档》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、北京选择软件科技有限公司技术文档版权所有，按GPL规则发布单点登录技术文档张昀*2006.12说明：本文档在我们最大努力范围之内确保其正确性、实效性和可观性，但并不代表所有的观点都是正确的，而仅代表个人看法。如发现不当之处，请多指教，谢谢！另外，本文并不是给初学者看的。虽然我们尽可能把每个概念和操作步骤都说得比较明白，但是如果您对于Linux系统不是很熟的话，很多操作仍然可能存在困难。这种情况下我们建议您直接下载虚拟机安装试用，边实践边学习。联系邮件：mypersonal1971@gmail.com。1、单点登录概述单点登录的英文名称为SingleSign-On，简写为SSO，它是一个用

2、户认证的过程，允许用户一次性进行认证之后，就访问系统中不同的应用；而不需要访问每个应用时，都重新输入密码。IBM对SSO有一个形象的解释“单点登录、全网漫游”。SSO将一个企业内部所有域中的用户登录和用户帐号管理集中到一起，SSO的好处显而易见：1.减少用户在不同系统中登录耗费的时间，减少用户登录出错的可能性2.实现安全的同时避免了处理和保存多套系统用户的认证信息3.减少了系统管理员增加、删除用户和修改用户权限的时间4.增加了安全性：系统管理员有了更好的方法管理用户，包括可以通过直接禁止和删除用户来取消该用户对所有系统资源的访问权限对于内部有多种应用系统的企业来说，单点登录的效果是十分明

3、显的。很多国际上的企业已经将单点登录作为系统设计的基本功能之一。1.1　单点登录产品商业SSO软件l专门的SSO商业软件n主要有：Netgrity的Siteminder，已经被CA收购。Novell公司的iChain。RSA公司的ClearTrust等。l门户产品供应商自己的SSO产品，n如：BEA的WLES，IBM的TivoliAccessManager，Sun公司的identityServer，Oracle公司的OID等。第38页北京选择软件科技有限公司技术文档版权所有，按GPL规则发布上述商业软件一般适用于客户对SSO的需求很高，并且企业内部采用Domino、SAP、Sieble等

4、系统比较多的情况下。单点登录产品通常需要在应用软件中增加代理模块，而商业SSO产品主要针对大型软件制作了代码模块。因此，商业SSO软件除了价格问题外，另一个重要问题就是对客户自己的应用系统支持未必十分完善。开源SSO软件lOpenssonhttps://opensso.dev.java.net/nOpenSSO基于SunJavaSystemAccessManager，是Sun公司支持的一个开源的SSO项目。nOpenSSO体系结构设计合理，功能比较强大。然而缺点是客户端支持不够广泛，似乎只是对基于J2EE的应用支持的比较好。ljossonhttp://www.josso.org/n这是另

5、一个Java写的单点登录产品，通常认为比OpenSSO更成熟一些。nJOSSO支持的客户端包括Java，PHP和ASP。lCASnhttp://www.ja-sig.org/products/cas/n这是耶鲁大学开发的单点登录产品，也是我们最后选定的单点登录产品。nCAS的优点很多，例如设计理念先进、体系结构合理、配置简单、客户端支持广泛、技术成熟等等。以后我们还要仔细介绍。经过广泛分析和比较，最后我们选定CAS作为我们的单点登录产品。我们确信这是目前能够找到的最好的开源单点登录产品。1.2　单点登录的实现机制SSO的实现机制不尽相同，大体分为Cookie机制和Session机制两大类

6、。WebLogic通过Session共享认证信息。Session是一种服务器端机制，当客户端访问服务器时，服务器为客户端创建一个惟一的SessionID，以使在整个交互过程中始终保持状态，而交互的信息则可由应用自行指定，因此用Session方式实现SSO，不能在多个浏览器之间实现单点登录，但却可以跨域。WebSphere通过Cookie记录认证信息。Cookie是一种客户端机制，它存储的内容主要包括:名字、值、过期时间、路径和域，路径与域合在一起就构成了Cookie的作用范围，因此用Cookie方式可实现SSO，但域名必须相同。目前大部分SSO产品采用的是Cookie机制，CAS也是如此

7、。注意，这种机制要求实现单点登录的应用，其余名必须是相同的。例如：a.chinacreator.com,b.chinacreator.com就可以经过配置后实现SSO。以CAS为例，使用Cookie实现单点登录的原理图如图1所示。第38页北京选择软件科技有限公司技术文档版权所有，按GPL规则发布l首先，单点登录分为“服务端”和“客户端”。服务端就是单点登录服务器，而客户端通常是“函数库”或者“插件”。需要使用单点登录的应用程序，需要