sso项目介绍资料.pdf

SSO Single Sign-On SSO Single Sign-On SSSSOO SSiinngglleeSSiiggnn--OOnn （ ，单点登录） SSO SSO 一，SSSSOO技术简介： SSO Single Sign-On SSO （ ，单点登录）是身份管理中的一部分。 的一种较为通俗的定 义是：SSO是指访问同一服务器不同应用中的受保护资源的同一用户，只需要登录一次，即通 过一个应用中的安全验证后，再访问其他应用中的受保护资源时，不再需要重新登录验证 SSO SSO 二，SSSSOO的优势 使用SSO 的好处主要有： (1)方便用户 用户使用应用系统时，能够一次登录，多次使用。用户不再需要每次输入用户名称和用户密 码，也不需要牢记多套用户名称和用户密码。单点登录平台能够改善用户使用应用系统的体验。 (2)方便管理员 系统管理员只需要维护一套统一的用户账号，方便、简单。相比之下，系统管理员以前需要 管理很多套的用户账号。每一个应用系统就有一套用户账号，不仅给管理上带来不方便，而且， 也容易出现管理漏洞。 (3)简化应用系统开发 开发新的应用系统时，可以直接使用单点登录平台的用户认证服务，简化开发流程。单点登 录平台通过提供统一的认证平台，实现单点登录。因此，应用系统并不需要开发用户认证程序。 SSO SSO 三，实现SSSSOO的技术主要有： (1)基于cookies实现，需要注意如下几点：如果是基于两个域名之间传递sessionid的方 法可能在windows中成立，在unixlinux中可能会出现问题；可以基于数据库实现；在安全 性方面可能会作更多的考虑。另外，关于跨域问题，虽然 cookies本身不跨域，但可以利用它 实现跨域的SSO。 (2)Broker-based(基于经纪人)，例如Kerberos等； 这种技术的特点就是，有一个集中的认证和用户帐号管理的服务器。经纪人给被用于进一步 请求的电子的身份存取。中央数据库的使用减少了管理的代价，并为认证提供一个公共和独立 Kerberos Sesame IBM KryptoKnight 的 第三方 。例如 、 、 （凭证库思想）等。 (3)Agent-based(基于代理人) 在这种解决方案中，有一个自动地为不同的应用程序认证用户身份的代理程序。这个代理程 序需要设计有不同的功能。比如 它可以使用口令表或加密密钥来自动地将认证的负担从用户移, 开。代理人被放在服务器上面，在服务器的认证系统和客户端认证方法之间充当一个 翻译 。例 如SSH等。 (4)Token-based，例如SecurID、W ebID、 现在被广泛使用的口令认证，比如FTP，邮件服务器的登录认证，这是一种简单易用的方式， 实现一个口令在多种应用当中使用。 (5)基于网关 Agent and Broker-based，这里不作介绍。 (6)基于安全断言标记语言(SAML)实现，SAML（Security Assertion Markup Language，安全断言标记语言）的出现大大简化了SSO，并被OASIS批准为SSO的执行标 准。开源组织OpenSAML 实现了 SAML 规范，可参考。 SSO SSO 四、SSSSOO实现原理 1、概念：SSO的一种偏向技术的说法：用户只需登陆一次，就可使用多个 SSO enable的应用系统。 （1）、单一的登陆点。理想的情况是用户通过任何应用系统都能进行SSO， 这对于基于Web的系统是可行的。这种单一的登陆点在整个系统的设计中是唯 一认证用户的地方，由登陆点将SSOtoken（针对不同的C/S，B/S应用可能 还需要传递用户名，口令）