云安世纪单点登录解决方案

《云安世纪单点登录解决方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、云安世纪单点登录（SSO）解决方案目录目录一、背景2二、一站式登录需求2三、云安世纪单点登录解决方案33.1云安世纪单点登录33.2部署和整合63.3内网用户如何使用单点登录83.4VPN用户如何访问单点登录11一、背景随着信息化的不断发展，政府、企业等机构逐步建立了众多信息系统，这些信息系统分别由不同的开发商承建，采用不同的用户管理和访问控制模式，用户认证方式也随业务系统的安全等级不同而千差万别。信息系统包括生产系统以及管理系统，如财务系统、OA系统、邮件系统、资产管理系统、决策支持系统、网站信息发布等。众多的信息系统既有B/S的WEB应用，如OA，又有C/S的应用，如财务软件。各

2、信息系统都有独立的用户体系，基本采用“用户名+密码”的方式来实现身份认证和授权访问，当然也可有使用数字证书的方式。但随着使用者和业务范围的扩展，突出如下一些主要问题：1、用户需要记住多个用户名和密码；2、终端用户需要登录不同的信息系统以获取信息；3、系统管理员难以应付对用户的管理；4、难以实施系统使用安全方面的管理措施。二、一站式登录需求信息系统建设的重要内容之一是信息门户建设，利用门户集成技术建立一个完整有效的内部信息门户，给用户提供一个统一的入口，集成现有的业务系统信息资源，减少信息孤岛的存在并降低重复投资，为用户提供更加完善的信息服务。由于目前各应用系统独立设计、自成体系，不同

3、系统采用不同的用户管理机制，所以进入每个应用系统均需独立的认证和登录，导致用户使用麻烦，无法体现以用户为中心的服务理念，无法给用户提供简单、方便、快捷、使用的信息服务。随着业务系统的增多，用户完成日常工作往往需要在多个相关系统间反复登录，这就造成了一系列的安全和使用问题。更为严重的是，当企业意识到这一点而去进行整体业务系统的统一规划和改造时会发现，那已经是一件几乎不可能完成的任务了单点登录是目前比较流行的业务系统整合的解决方案。单点登录技术可以使用户只需要登录一次就可以访问所有相互信任的应用系统。通过单点登录的部署降低用户和密码管理成本，提高安全性，并提高用户的系统使用效率，为各系统

4、的无缝集成打下坚实的基础。三、云安世纪单点登录解决方案3.1云安世纪单点登录云安世纪单点登录功能可以实现各种身份信息的统一关联，如：前后端均为口令认证，但用户名、密码均不同或者前端为CA数字证书的身份认证，后端应用为用户名、口令的身份认证，真正做到“一次性登录，全网漫游！”云安世纪单点登录功能依托与云安世纪MyToken统一身份管理平台，其体系架构如下所示。MyToken统一身份管理平台采用多层次的体系结构，多层体系结构使得系统具有良好的可持续扩展性。图1体系架构云安世纪MyToken统一身份管理平台提供基于代填模式和TokenID模式两种单点登录功能，能够满足企业各种应用系统对单点

5、登录的差异性需求。单点登录功能包括：l提供代填支持；l提供TokenID支持；l支持Basic、NTLM和Form的单点登录；l支持B/S应用和C/S应用l提供主从帐号的映射管理。3.1.1代填模式：代填方式是由MyToken平台完全模拟用户的行为代替用户提交身份信息完成认证的单点登录技术，根据身份信息的插入位置可分为客户端代填和服务器端代填。代填方式特点：ü用户的应用系统不需要进行任何修改。ü用户将维护主从账号系统，主帐号为MyToken设备的登录账号，从帐号为各个应用系统的帐号。ü登录应用前，应用系统的账号和登录MyToken的账号进行绑定。该操作可由管理员完成，也可以由用户可自

6、行完成。仅需一次而已。ü支持B/S应用和C/S应用。1）客户端代填—适合业务系统无需改造、架构较为复杂的用户MyToken旁路接入网络，作为业务系统的登录门户，B/S及C/S架构的业务系统均能够支持。支持多业务系统账号绑定，MyToken通过TokenScript技术完全模拟用户的登录方式将用户账号和密码等认证信息通过客户端的浏览器填到应用登录页面或C/S客户端程序中，从而替用户完成业务系统的认证。获取访问列表登录MyToken2）服务器端代填—适合业务无法改造，并需要对业务系统访问权限集中管理的用户MyToken采取透明模式串联在业务系统之前，可称为桥，MyToken会自动将用户认

7、证信息插到用户访问业务系统的数据包中，在后台替用户完成认证代理，以此方式实现单点登录。3.1.2TokenId模式：TokenID单点登录—适合需要规范业务标准，实现账号完全统一的BS架构业务用户。TokenID单点登录基于RFC的OpenID规范。这种单点登录技术需要对业务系统进行简单的认证代码改造。MyToken设备旁路接入网络。在系统改造完成后，用户可以通过MyToken获取TokenID，浏览器会将TokenID发送到业务系统，业务系统通过验证To