没有合适的资源?快使用搜索试试~ 我知道了~
单点登录(SSO)服务
需积分: 10 108 下载量 163 浏览量
2007-11-14
12:50:43
上传
评论 2
收藏 677KB DOC 举报
温馨提示
试读
35页
为了降低管理的消耗,最大限度的重用已有投资的系统,很多企业都在进行着企业应用集成(EAI)。企业应用集成可以在不同层面上进行:例如在数据存储层面上的“数据大集中”,在传输层面上的“通用数据交换平台”,在应用层面上的“业务流程整合”,和用户界面上的“通用企业门户”等等。事实上,还用一个层面上的集成变得越来越重要,那就是“身份认证”的整合,也就是“单点登录”。
资源推荐
资源详情
资源评论
设计你自己地单点登录(SSO)服务
1 什么是单点登陆
单点登录(Single Sign On),简称为 SSO,是目前比较流行的企业业务整合的解决方案之一。SSO
的定义是在多个应用系统中,用户只需要登录一次就可以访问所有相互信任的应用系统。
较大的企业内部,一般都有很多的业务支持系统为其提供相应的管理和 IT 服务。例如财务系统为财
务人员提供财务的管理、计算和报表服务;人事系统为人事部门提供全公司人员的维护服务;各种业务系
统为公司内部不同的业务提供不同的服务等等。这些系统的目的都是让计算机来进行复杂繁琐的计算工作,
来替代人力的手工劳动,提高工作效率和质量。这些不同的系统往往是在不同的时期建设起来的,运行在
不同的平台上;也许是由不同厂商开发,使用了各种不同的技术和标准。如果举例说国内一著名的 IT 公
司(名字隐去),内部共有 60 多个业务系统,这些系统包括两个不同版本的 SAP 的 ERP 系统,12 个不
同类型和版本的数据库系统,8 个不同类型和版本的操作系统,以及使用了 3 种不同的防火墙技术,还有
数十种互相不能兼容的协议和标准,你相信吗?不要怀疑,这种情况其实非常普遍。每一个应用系统在运
行了数年以后,都会成为不可替换的企业 IT 架构的一部分,如下图所示。
随着企业的发展,业务系统的数量在不断的增加,老的系统却不能轻易的替换,这会带来很多的开销。
其一是管理上的开销,需要维护的系统越来越多。很多系统的数据是相互冗余和重复的,数据的不一致性
会给管理工作带来很大的压力。业务和业务之间的相关性也越来越大,例如公司的计费系统和财务系统,
财务系统和人事系统之间都不可避免的有着密切的关系。
为了降低管理的消耗,最大限度的重用已有投资的系统,很多企业都在进行着企业应用集成(EAI)。
企业应用集成可以在不同层面上进行:例如在数据存储层面上的“数据大集中”,在传输层面上的“通用数据
交换平台”,在应用层面上的“业务流程整合”,和用户界面上的“通用企业门户”等等。事实上,还用一个层
面上的集成变得越来越重要,那就是“身份认证”的整合,也就是“单点登录”。
通常来说,每个单独的系统都会有自己的安全体系和身份认证系统。整合以前,进入每个系统都需要
进行登录,这样的局面不仅给管理上带来了很大的困难,在安全方面也埋下了重大的隐患。下面是一些著
名的调查公司显示的统计数据:
用户每天平均 16 分钟花在身份验证任务上 - 资料来源:IDS
频繁的 IT 用户平均有 21 个密码 - 资料来源:NTA Monitor Password Survey
49%的人写下了其密码,而 67%的人很少改变它们
每 79 秒出现一起身份被窃事件 - 资料来源:National Small Business Travel Assoc
全球欺骗损失每年约 12B - 资料来源:Comm Fraud Control Assoc
到 2007 年,身份管理市场将成倍增长至$4.5B - 资料来源:IDS
使用“单点登录”整合后,只需要登录一次就可以进入多个系统,而不需要重新登录,这不仅仅带来了更
好的用户体验,更重要的是降低了安全的风险和管理的消耗。请看下面的统计数据:
提高 IT 效率:对于每 1000 个受管用户,每用户可节省$70K
帮助台呼叫减少至少 1/3,对于 10K 员工的公司,每年可以节省每用户$75,或者合计$648K
生产力提高:每个新员工可节省$1K,每个老员工可节省$350 - 资料来源:Giga
ROI 回报:7.5 到 13 个月 - 资料来源:Gartner
另外,使用“单点登录”还是 SOA 时代的需求之一。在面向服务的架构中,服务和服务之间,程序和程
序之间的通讯大量存在,服务之间的安全认证是 SOA 应用的难点之一,应此建立“单点登录”的系统体系
能够大大简化 SOA 的安全问题,提高服务之间的合作效率。
2 单点登陆的技术实现机制
随着 SSO 技术的流行,SSO 的产品也是满天飞扬。所有著名的软件厂商都提供了相应的解决方案。在
这里我并不想介绍自己公司(Sun Microsystems)的产品,而是对 SSO 技术本身进行解析,并且提供
自己开发这一类产品的方法和简单演示。有关我写这篇文章的目的,请参考我的博客(http://
yuwang881.blog.sohu.com/3184816.html)。
单点登录的机制其实是比较简单的,用一个现实中的例子做比较。颐和园是北京著名的旅游景点,也
是我常去的地方。在颐和园内部有许多独立的景点,例如“苏州街”、“佛香阁”和“德和园”,都可以在各个景
点门口单独买票。很多游客需要游玩所有德景点,这种买票方式很不方便,需要在每个景点门口排队买票,
钱包拿进拿出的,容易丢失,很不安全。于是绝大多数游客选择在大门口买一张通票(也叫套票),就可
以玩遍所有的景点而不需要重新再买票。他们只需要在每个景点门口出示一下刚才买的套票就能够被允许
进入每个独立的景点。
单点登录的机制也一样,如下图所示,当用户第一次访问应用系统 1 的时候,因为还没有登录,会被
引导到认证系统中进行登录(1);根据用户提供的登录信息,认证系统进行身份效验,如果通过效验,
应该返回给用户一个认证的凭据--ticket(2);用户再访问别的应用的时候(3,5)就会将这个
ticket 带上,作为自己认证的凭据,应用系统接受到请求之后会把 ticket 送到认证系统进行效验,检查
ticket 的合法性(4,6)。如果通过效验,用户就可以在不用再次登录的情况下访问应用系统 2 和应用
系统 3 了。
从上面的视图可以看出,要实现 SSO,需要以下主要的功能:
所有应用系统共享一个身份认证系统。
统一的认证系统是 SSO 的前提之一。认证系统的主要功能是将用户的登录信息和用户信息库相
比较,对用户进行登录认证;认证成功后,认证系统应该生成统一的认证标志(ticket),返还
给用户。另外,认证系统还应该对 ticket 进行效验,判断其有效性。
所有应用系统能够识别和提取 ticket 信息
要实现 SSO 的功能,让用户只登录一次,就必须让应用系统能够识别已经登录过的用户。应用
系统应该能对 ticket 进行识别和提取,通过与认证系统的通讯,能自动判断当前用户是否登录
过,从而完成单点登录的功能。
上面的功能只是一个非常简单的 SSO 架构,在现实情况下的 SSO 有着更加复杂的结构。有两点需要
指出的是:
单一的用户信息数据库并不是必须的,有许多系统不能将所有的用户信息都集中存储,应该允许
用户信息放置在不同的存储中,如下图所示。事实上,只要统一认证系统,统一 ticket 的产生
和效验,无论用户信息存储在什么地方,都能实现单点登录。
统一的认证系统并不是说只有单个的认证服务器,如下图所示,整个系统可以存在两个以上的认
证服务器,这些服务器甚至可以是不同的产品。认证服务器之间要通过标准的通讯协议,互相交
换认证信息,就能完成更高级别的单点登录。如下图,当用户在访问应用系统 1 时,由第一个认
证服务器进行认证后,得到由此服务器产生的 ticket。当他访问应用系统 4 的时候,认证服务器
剩余34页未读,继续阅读
资源评论
loulanhome
- 粉丝: 7
- 资源: 5
上传资源 快速赚钱
- 我的内容管理 展开
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
最新资源
- 随机森林-基于Matlab的随机森林算法实现-支持自定义弱学习器-算法源码-优质项目分享.zip
- Matlab+介绍大全+Starting Up+Matlab as a Calculator+格式和功能
- pyside6自定义部件库和软件框架进度记录
- 23种设计模式之抽象工厂模式Java示例代码
- DataGrip-2023.03.03
- android studio TabLayout应用开发
- 12864液晶显示_v106_2023-11-12-15-20(1).zip
- 10万字总结java面试题
- 中国邮递员问题(Chinese Postman Problem)
- Python 中的 Python Django FormView 框架+FormView 的特点+优点
资源上传下载、课程学习等过程中有任何疑问或建议,欢迎提出宝贵意见哦~我们会及时处理!
点击此处反馈
安全验证
文档复制为VIP权益,开通VIP直接复制
信息提交成功