复杂异构应用环境下kerberos单点登录系统的设计

《复杂异构应用环境下kerberos单点登录系统的设计》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、复杂异构应用环境下Kerberos单点登录系统的设计　　摘要：为了实现复杂、异构应用系统的单点登录，提出了一个基于WebService的Kerberos单点登录系统。分析了Kerberos认证协议，设计了一个包含认证模块、票据授权模块和验证模块的Kerberos单点登录系统；利用WebService技术的平台、语言独立性，提出了一个单点登录系统的web服务，实现与多平台、多开发语言的各个应用系统的对接。实际应用环境中的实验证明，该单点登录系统能在复杂、异构的应用环境下有效的对接各个应用系统，完成单点登录功能。　　关键词：单点登录；Kerberos协议；web服务；异构；认证

2、　　中图分类号：TP311文献标识码：A文章编号：1009-3044（2013）36-8249-05　　随着信息化建设不断深入，各单位和部门都建立一定数量的相互独立的应用系统。每个用户需要拥有多个帐号，进行多次登录才能访问各个系统。单点登录（SingleSign-On）系统通过对接现有的应用系统，统一账号，统一认证，允许用户使用一个帐号，一次登录就可以访问权限允许的所有应用，不仅方便用户使用，而且提高了账号的安全性。然而，现有的应用系统复杂、异构，系统平台涉及Unix、Linux和windows，开发语言包括ASP、PHP、C、C++、VB、C#和Java等，这些给应用系统

3、与单点登录系统的对接带来了挑战。　　目前，单点登录系统主要有以下3类：1）基于单个研发团队开发的单点登录系统。全部或部分应用系统由同一个开发团队完成，使用相同的平台和开发语言，单点登录系统只是某个应用系统登录模块的扩展。这种单点登录不存在对接问题，但系统依赖厂商，耦合紧密，不能推广到一般的异构环境。2）基于代理的单点登录系统。代理程序事先记录各个系统的帐号信息。用户登录时，代理程序根据账号信息自动向相应的应用系统发送认证请求，完成用户认证交互。这类系统通过代理模拟用户发送登录认证报文，适合系统多样、异构的情况，但只能模拟简单的认证过程，而且用户仍需管理多个账号。3）基于认证

4、协议的单点登录系统。这种系统一般由知名的大公司如微软、IBM等开发，虽然能较好的实现单点登录，但大都比较复杂，缺乏灵活性。　　针对单点登录系统的现状，为了实现复杂、异构的实际应用环境中的单点登录功能，该文提出一个基于WebService的Kerberos单点登录系统。系统利用WebService的平台和语言独立性，实现与各个应用系统的对接；利用Kerberos协议一次认证，就可访问多个应用系统的特点完成单点登录的功能。　　1相关技术　　1.1Kerberos协议　　Kerberos是一种基于客户/服务器模式的网络认证协议。它可以实现用户的集中认证，并依靠加密的方式和严格的协

5、议流程，将用户的认证信息以加密票据的形式，安全的传递到应用服务器，实现一次登录认证就可以访问所有授权的应用系统。Kerberos协议的处理流程如图1所示：　　　　图1Kerberos协议的处理流程　　用户（Client）是使用单点登录系统的用户。　　应用服务器（Server）就是提供某项应用功能的服务器，如邮件服务器，ftp服务器。　　认证服务器（AS）负责认证用户，产生访问TGS的票据（票据授权票据，Ticket-GrantingTicket），并返回给用户。用户使用这个票据，无需再次认证就能直接请求访问授权的应用服务器。　　票据授权服务器（TGS）接受用户访问特定应用的

6、请求，生成访问应用服务器的票据（应用票据，Ticket），并返回票据给用户；用户凭此票据就可以访问相应的应用服务器。一个TGS负责域中若干个应用服务器的访问票据的授权。　　Kerberos协议的按以下流程完成认证：　　1）Client使用帐号信息向AS发送认证请求　　2）AS成功认证后，向Client返回访问TGS的票据和与TGS通信的会话密钥　　3）Client使用访问TGS的票据和相关访问信息，经会话密钥加密，向TGS请求访问Server的票据　　4）TGS确认请求合法后，向Client发送访问Server的票据和与Server通信的会话密钥　　5）Client使用访问

7、Server的票据和相关访问信息，经会话密钥加密，向Server发送访问请求　　6）Server验证请求合法后，向Client发送允许访问的响应　　1.2WebService　　WebService是一种面向服务的架构技术，是云计算的一个重要基础，因此受到越来越多的关注。它使用扩展标记语言（ExtensibleMarkupLanguage，XML）来编解码数据，利用SOAP（SimpleObjectAccessProtocol）协议实现通信，可以通过网络对外提供服务或者远程的调用网络中的可用服务。相对于传统的技术，