基于Shibboleth的校园网统一身份认证系统研究.docVIP

基于Shibboleth的校园网统一身份认证系统研究 　　摘要：以校园网统一身份认证为研究平台，以远程单点登录为研究对象，主要研究Shibboleth在校园网中的认证机制，概述Shibboleth的特点，深入分析Shibboleth系统架构，阐述Shibboleth工作原理，利用Shibboleth在校园网建设中的优势，设计校园网统一身份认证系统解决方案，实现跨网域异构系统间用户的统一身份认证，解决跨域组织用户身份认证管理困难的问题。 　　关键词：校园网；Shibboleth；统一身份认证；单点登录；跨网域 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2011)16-3799-02 　　The Research of Campus LAN Unified Authentication System Based on Shibboleth 　　FU Rong-xin1, KONG Fan-ren2, YANG Shan-xi3 　　(1.Guangxi Normal University Library, Guilin 541004, China; 2.Deans Office, Guangxi Normal University, Guilin 541004, China; 3.Guangxi Autonomous Region Communist Party School, Nanning 530021, China) 　　Abstract: Campus LAN unified authentication as research platform, remote single sign on as research object, this paper researches on Shibboleth authentication on campus LAN, summarizes the Shibboleth character, analyzes Shibboleth architecture, expounds Shibboleth principle, using the advantages of Shibboleth in campus LAN, designs campus LAN unified authentication system used to achieve cross-domain heterogeneous user unified authentication and solute the difficulties of cross-domain organization user authentication management. 　　Key words: campus LAN; shibboleth; unified authentication; SSO; cross domain 　　近年来，随着校园网信息化建设的不断发展，校园网建立起多个应用于不同领域的系统，而每个应用系统相互独立，形成信息孤岛，每次用户使用应用系统都要进行相对独立的身份认证，对用户而言提高了认证复杂度。因此，在域内建立用户身份统一认证系统就可以很好地解决这一问题。采用单点登录身份认证能实现一次登录、全体访问，这样能很好的降低认证复杂性，提高校园网身份认证系统的效率。 　　1 单点登录认证机制 　　单点登录（Single Sign-On，简称SSO），是目前流行的用户身份统一认证解决方案之一，它的特点是在多个应用系统中仅需登录一次就可访问所有相互信任的系统，因此十分适合于跨网域边缘系统中进行用户身份认证[1]。 　　SSO实现要求有如下主要功能： 　　1) 所有应用系统共享一个认证系统。统一的认证系统是SSO的前提之一。认证系统的主要作用是对用户进行登录认证，将用户的登录信息和用户信息库相比较，匹配则认证成功，认证系统生成统一的认证标识（ticket）交给用户，并对ticket进行校验，判断其有效性。 　　2) 所有应用系统能够识别和提取ticket信息。要实现SSO的功能，就必须让应用系统能够识别已经登录过的用户。应用系统应该能对ticket进行识别和提取，通过与认证系统通讯，自动判断当前用户是否已经登录，从而实现单点登录。 　　2 Shibboleth架构分析 　　Shibboleth定义了一种机构间的合作架构，通过一个机构联盟可以查询所有的合作单位[2]。当用户在访问某个受Shibboleth保护的网络应用系统的时候，系统向中间件和机构联盟向用户所在机构申请认证该用户身份，并根据认证结果决定是否允许该用户访问。认证通过后，应用系统根据自身授权的要