基于SAML的集中式认证授权机制.pdfVIP

基于SAML 的集中式认证授权机制 张和 北京邮电大学计算机科学与技术学院，北京 (100876) E-mail:zhanghe.bupt@ 摘 要：集中式认证授权机制是根据业界标准WS-Security 和SAML 规范而建立的，以便于 今后系统扩展和与其它异构系统的集成。本文简要介绍了面向服务的架构（Service-Oriented Architecture, SOA ），针对商业银行业务集中模式中存在的权限问题，提出一种集中式控制的 设计方案，对其中的关键技术进行研究和探讨，最后介绍了该平台的详细设计和实现。 关键词：SOA 面向服务的架构，Web 服务，WS-Security ，SAML 中图分类号：TP391 1．引言 WS-Security提供了一种可供其他安全技术挂接（plug ）的框架，为使用Web服务成功实 [1] 现的面向服务的架构（SOA ）企业级应用，提出了一般性安全机制 。SAML断言可以为凭 证过期日期指定条件元素。SAML定义了断言提供者的协议和行为，在SOAP消息被发送到 业务系统之前，把报头元素加入其中，供该系统在执行服务之前验证请求者凭证的有效性。 需要在请求者与业务系统之间（或者在一系列请求者与提供者以及SOAP intermediaries之间） 共享和协调SAML令牌的安全信息。 2 ．SOA、WS-Security 、SAML简介 2.1 SOA 面向服务的架构 [2] SOA 架构 是一种设计方法，它指导着业务服务在其生命周期中包括创建和使用的方方 面面，它也是一种定义和提供IT 基础设施（IT infrastructure ）的方式，它允许不同的应用相 互交换数据、参与业务流程（business processes ），无论它们各自背后使用的是何种操作系统 或者采用了何种编程语言。 面向服务的架构的优势在于，他能够混合搭配各种执行环境、令服务接口和执行技术明 确分离、令IT 部门可以为各项工作选择最佳的执行环境，并采用一致的架构方式将他们结 合其来。 它的主要功能特点在于： (1) 竞争优势：快速实现新的跨系统的业务流程，增强竞争力 (2) 部门协作：工作流程涉及不同的业务系统和部门，共享统一的工作流平台 完成各种不同的银行业务 (3) 单点登录：一次登录可以处理不同业务系统的工作项 (4) 统一门户：所有的工作在同一工作环境下办理 (5) 提高效率：上述功能将改善银行业务效率提高客户满意度 (6) 营运管理：及时发现业务瓶劲、业务增长点，调整策略 2.2 WS-Security WS-Security 协议族是由 Microsoft 、IBM 等公司共同制订针对基于 SOA 架构的 Web Service 安全通信的协议[3] 。 2.3 安全断言标记语言SAML -1- [4] SAML 把S2ML 和AuthML 规范结合在一起，是通过OASIS 开发的一个复杂规范 。 SAML 规范允许使用XML 指定信任断言。这些断言可能涉及特定实体的授权、身份验证和 属性。这些实体在特定的安全上下文中必须是可标识的。 SAML 提供了三类断言：身份验证断言、授权决策断言和属性断言[5] 。身份验证的权威 机构从证书签收部门接收到一组证书，并根据特定的策略处理他们。然后，如果权威机构确 定这些证书是有效的，那么可能会作出关于其他两个断言的身份验证断言。属性断言从接收 身份验证断言的属性权威机构开始，并使用策略