复杂异构应用环境下kerberos单点登录系统设计

《复杂异构应用环境下kerberos单点登录系统设计》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、复杂异构应用环境下Kerberos单点登录系统设计摘要：为了实现复杂、异构应用系统的单点登录,提出了一个基于WebService的Kerberos单点登录系统。分析了Kerberos认证协议，设计了一个包含认证模块、票据授权模块和验证模块的Kerberos单点登录系统；利用WebService技术的平台、语言独立性，提出了一个单点登录系统的web服务，实现与多平台、多开发语言的各个应用系统的对接。实际应用环境中的实验证明，该单点登录系统能在复杂、异构的应用环境下有效的对接各个应用系统，完成单点登录功能。关键词：单点登录；Kerberos协议；web服务；异构；认证中图分类号：TP311文

2、献标识码：A文章编号：1009-3044(2013)36-8249-05随着信息化建设不断深入，各单位和部门都建立一定数量的相互独立的应用系统。每个用户需要拥有多个帐号，进行多次登录才能访问各个系统。单点登录(SingleSign-On)系统通过对接现有的应用系统，统一账号，统一认证，允许用户使用一个帐号，一次登录就可以访问权限允许的所有应用，不仅方便用户使用，而且提高了账号的安全性。然而，现有的应用系统复杂、异构，系统平台涉及Unix、Linux和windows,开发语言包括ASP、PHP、C、C++、VB.C#和Java等，这些给应用系统与单点登录系统的对接带来了挑战。目前，单点登录

3、系统主要有以下3类：1）基于单个研发团队开发的单点登录系统。全部或部分应用系统由同一个开发团队完成，使用相同的平台和开发语言，单点登录系统只是某个应用系统登录模块的扩展。这种单点登录不存在对接问题，但系统依赖厂商，耦合紧密，不能推广到一般的异构环境。2）基于代理的单点登录系统。代理程序事先记录各个系统的帐号信息。用户登录时，代理程序根据账号信息自动向相应的应用系统发送认证请求，完成用户认证交互。这类系统通过代理模拟用户发送登录认证报文，适合系统多样、异构的情况，但只能模拟简单的认证过程，而且用户仍需管理多个账号。3）基于认证协议的单点登录系统。这种系统一般由知名的大公司如微软、IBM等开

4、发，虽然能较好的实现单点登录，但大都比较复杂，缺乏灵活性。针对单点登录系统的现状，为了实现复杂、异构的实际应用环境中的单点登录功能，该文提出一个基于WebService的Kerberos单点登录系统。系统利用WebService的平台和语言独立性，实现与各个应用系统的对接；利用Kerberos协议一次认证，就可访问多个应用系统的特点完成单点登录的功能。1相关技术1.1Kerberos协议Kerberos是一种基于客户/服务器模式的网络认证协议。它可以实现用户的集中认证，并依靠加密的方式和严格的协议流程，将用户的认证信息以加密票据的形式，安全的传递到应用服务器，实现一次登录认证就可以访问所

5、有授权的应用系统。Kerberos协议的处理流程如图1所示：图1Kerberos协议的处理流程用户(Client)是使用单点登录系统的用户。应用服务器(Server)就是提供某项应用功能的服务器,如邮件服务器，ftp服务器。认证服务器(AS)负责认证用户，产生访问TGS的票据(票据授权票据，Ticket-GrantingTicket),并返回给用户。用户使用这个票据，无需再次认证就能直接请求访问授权的应用服务器。票据授权服务器(TGS)接受用户访问特定应用的请求,生成访问应用服务器的票据(应用票据，Ticket),并返回票据给用户；用户凭此票据就可以访问相应的应用服务器。一个TGS负责域

6、中若干个应用服务器的访问票据的授权。Kerberos协议的按以下流程完成认证：1)Client使用帐号信息向AS发送认证请求2)AS成功认证后，向Client返回访问TGS的票据和与TGS通信的会话密钥1)Client使用访问TGS的票据和相关访问信息，经会话密钥加密，向TGS请求访问Server的票据2)TGS确认请求合法后，向Client发送访问Server的票据和与Server通信的会话密钥3)Client使用访问Server的票据和相关访问信息，经会话密钥加密，向Server发送访问请求4)Server验证请求合法后，向Client发送允许访问的响应1.2WebServiceWe

7、bService是一种面向服务的架构技术，是云计算的一个重要基础，因此受到越来越多的关注。它使用扩展标记语言(ExtensibleMarkupLanguage,XML)来编解码数据，利用SOAP(SimpleObjectAccessProtocol)协议实现通信，可以通过网络对外提供服务或者远程的调用网络中的可用服务。相对于传统的技术，它是建立在HTTP协议之上的开放、标准技术，独立于具体的厂商和实现，可以在不同的平台和开发语言中实