基于Shibboleth的可信数字化校园架构研究.docVIP

基于Shibboleth的可信数字化校园架构研究 王怀烨,沈富可2 （华东师范大学 计算机科学技术系，上海 200241） 摘要:Shibboleth系统是一个在多组织的范围内实现单点登录的系统，它的特点是基于标准和开源。本文在介绍Shibboleth系统架构的基础上，在实验室环境下搭建了一个Shibboleth系统的实例。结合该实验实例以及Shibboleth系统的特点，试图从部署、单点登录、访问控制和安全性四个方面实现基于Shibboleth系统的可信数字化校园架构。 关键字:Shibboleth系统;单点登录;身份提供者;服务提供者;服务发现者 The Research on Reliable Digital Campus Architecture based on Shibboleth WANG Huai-ye1, SHEN Fu-ke2 （Department of computer science and technology East China Normal University, Shanghai 200241） 【Abstract】The Shibboleth System is a standards based, open source software package for web single sign-on across or within organizational boundaries. Based on the introduction of Shibboleth system’s architecture, a case of Shibboleth system was set up in the laboratory’s environment. Combining this case with the characteristics of Shibboleth system, four aspects related to Reliable Digital Campus Architecture based on Shibboleth were be implemented, including deployment, single sign-on, access control and security. 【Key words】Shibboleth system;single sign-on;identity provider;service provider;discovery service Shibboleth系统架构 概述 Shibboleth系统是由 MACE(Middleware Architecture Committee for Education)领导开发的一个项目。其目的是开发一个基于标准的体系结构、策略框架及一套开源软件，以用于支持组织间的、需要访问控制的Web资源共享。Shibboleth系统从1998年开始开发，在2003年发布了1.0版，2008年3月发布了2.0版。 Shibboleth系统组件 Shibboleth系统由身份提供者（identity provider，IdP）、服务提供者（service provider，SP）以及可选的服务发现者（discovery service，DS）所组成。 IdP IdP主要负责用户的认证和用户属性的传递，并在SP生成认证请求时，生成认证应答，该应答连同用户属性将会被一起传递给SP。IdP本身并不存储用户信息，而依赖于目录服务存储用户信息。 SP SP主要负责管理被保护的资源，并根据IdP传递过来的认证应答和用户属性执行访问控制。 DS DS主要负责IdP的发现，并在SP生成认证请求时，提供可以选择的IdP列表。它是一个可选择的组件。主要应用在多IdP的环境下。 三者的交互流程[1]如图1所示： 图 1 SP, IdP 与 DS的交互流程 用户访问被SP保护的资源 SP生成认证请求，并把用户重定向到DS 用户重定向到DS 用户选择IdP，认证请求被重定向到用户所选择的IdP 用户重定向到所选择的IdP进行认证 IdP根据用户提供的信息生成认证应答 SP根据收到的认证应答来进行访问控制 Shibboleth系统实例的搭建 为了更好地了解和掌握Shibboleth系统，我们在实验室环境下搭建了一个Shibboleth系统的实例。该系统由两个IdP，两个SP以及一个DS构成。实验所用的Shibboleth系统版本为2.0版。 实验环境 IdP1 操作系统：Windows XP SP2 域名： 环境：JDK5.0 Tomcat 5.5.26 OpenLDAP2.2