没有合适的资源?快使用搜索试试~ 我知道了~
首页编写你自己的单点登录(SSO)服务
本文从业务的角度分析了单点登录的需求和应用领域;从技术本身的角度分析了单点登录技术的内部机制和实现手段,并且给出Web-SSO和桌面SSO的实现、源代码和详细讲解;还从安全和性能的角度对现有的实现技术进行进一步分析,指出相应的风险和需要改进的方面。本文除了从多个方面和角度给出了对单点登录(SSO)的全面分析,还并且讨论了如何将现有的应用和SSO服务结合起来,能够帮助应用架构师和系统分析人员从本质上认识单点登录,从而更好地设计出符合需要的安全架构。
资源详情
资源评论
资源推荐
编写你自己的单点登录(SSO)服务
收藏
王昱yuwang881@gmail.com博客地址 http://yuwang881.blog.sohu.com
摘要:单点登录(SSO)的技术被越来越广泛地运用到各个领域的软件系统当
中。本文从业务的角度分析了单点登录的需求和应用领域;从技术本身的角度
分析了单点登录技术的内部机制和实现手段,并且给出 Web-SSO 和桌面 SSO
的实现、源代码和详细讲解;还从安全和性能的角度对现有的实现技术进行进
一步分析,指出相应的风险和需要改进的方面。本文除了从多个方面和角度给
出了对单点登录(SSO)的全面分析,还并且讨论了如何将现有的应用和 SSO
服务结合起来,能够帮助应用架构师和系统分析人员从本质上认识单点登录,
从而更好地设计出符合需要的安全架构。
关键字:SSO, Java, J2EE, JAAS
1
什么是单点登陆
单点登录(Single Sign On),简称为SSO,是目前比较流行的企业业务整
合的解决方案之一。SSO 的定义是在多个应用系统中,用户只需要登录一次就
可以访问所有相互信任的应用系统。
较大的企业内部,一般都有很多的业务支持系统为其提供相应的管理和 IT 服务。
例如财务系统为财务人员提供财务的管理、计算和报表服务;人事系统为人事
部门提供全公司人员的维护服务;各种业务系统为公司内部不同的业务提供不
同的服务等等。这些系统的目的都是让计算机来进行复杂繁琐的计算工作,来
替代人力的手工劳动,提高工作效率和质量。这些不同的系统往往是在不同的
时期建设起来的,运行在不同的平台上;也许是由不同厂商开发,使用了各种
不同的技术和标准。如果举例说国内一著名的 IT 公司(名字隐去),内部共有
60 多个业务系统,这些系统包括两个不同版本的 SAP 的 ERP 系统,12 个不
同类型和版本的数据库系统,8 个不同类型和版本的操作系统,以及使用了 3
种不同的防火墙技术,还有数十种互相不能兼容的协议和标准,你相信吗?不
要怀疑,这种情况其实非常普遍。每一个应用系统在运行了数年以后,都会成
为不可替换的企业 IT 架构的一部分,如下图所示。
随着企业的发展,业务系统的数量在不断的增加,老的系统却不能轻易的替换,
这会带来很多的开销。其一是管理上的开销,需要维护的系统越来越多。很多
系统的数据是相互冗余和重复的,数据的不一致性会给管理工作带来很大的压
力。业务和业务之间的相关性也越来越大,例如公司的计费系统和财务系统,
财务系统和人事系统之间都不可避免的有着密切的关系。
为了降低管理的消耗,最大限度的重用已有投资的系统,很多企业都在进行着
企业应用集成(EAI)。企业应用集成可以在不同层面上进行:例如在数据存
储层面上的“数据大集中”,在传输层面上的“通用数据交换平台”,在应用层面上
的“业务流程整合”,和用户界面上的“通用企业门户”等等。事实上,还用一个层
面上的集成变得越来越重要,那就是“身份认证”的整合,也就是“单点登录”。
通常来说,每个单独的系统都会有自己的安全体系和身份认证系统。整合以前,
进入每个系统都需要进行登录,这样的局面不仅给管理上带来了很大的困难,
在安全方面也埋下了重大的隐患。下面是一些著名的调查公司显示的统计数据:
用户每天平均16分钟花在身份验证任务上-
资料来源:
IDS
频繁的IT用户平均有21个密码-
资料来源:
NTA Monitor Password Survey
49%的人写下了其密码,而67%的人很少改变它们
每79秒出现一起身份被窃事件-
资料来源:
National Small Business Travel
Assoc
全球欺骗损失每年约12B -
资料来源:
Comm Fraud Control Assoc
到2007年,身份管理市场将成倍增长至$4.5B -
资料来源:
IDS
使用“单点登录”整合后,只需要登录一次就可以进入多个系统,而不需要重新
登录,这不仅仅带来了更好的用户体验,更重要的是降低了安全的风险和管理
的消耗。请看下面的统计数据:
提高IT效率:对于每1000个受管用户,每用户可节省$70K
帮助台呼叫减少至少 1/3,对于10K员工的公司,每年可以节省每用户$75,或者
合计$648K
生产力提高:每个新员工可节省$1K,每个老员工可节省$350�
资料来源:
Giga
ROI回报:7.5到13个月�
资料来源:
Gartner
另外,使用“单点登录”还是 SOA 时代的需求之一。在面向服务的架构中,服务
和服务之间,程序和程序之间的通讯大量存在,服务之间的安全认证是 SOA
应用的难点之一,应此建立“单点登录”的系统体系能够大大简化 SOA 的安全问
题,提高服务之间的合作效率。
2
单点登陆的技术实现机制
随着 SSO 技术的流行,SSO 的产品也是满天飞扬。所有著名的软件厂商都提
供了相应的解决方案。在这里我并不想介绍自己公司(Sun Microsystems)
的产品,而是对 SSO 技术本身进行解析,并且提供自己开发这一类产品的方法
和简单演示。有关我写这篇文章的目的,请参考我的博客(http://
yuwang881.blog.sohu.com/3184816.html)。
单点登录的机制其实是比较简单的,用一个现实中的例子做比较。颐和园是北
京著名的旅游景点,也是我常去的地方。在颐和园内部有许多独立的景点,例
如“苏州街”、“佛香阁”和“德和园”,都可以在各个景点门口单独买票。很多游客
需要游玩所有德景点,这种买票方式很不方便,需要在每个景点门口排队买票,
钱包拿进拿出的,容易丢失,很不安全。于是绝大多数游客选择在大门口买一
张通票(也叫套票),就可以玩遍所有的景点而不需要重新再买票。他们只需
要在每个景点门口出示一下刚才买的套票就能够被允许进入每个独立的景点。
单点登录的机制也一样,如下图所示,当用户第一次访问应用系统 1 的时候,
因为还没有登录,会被引导到认证系统中进行登录(1);根据用户提供的登
录信息,认证系统进行身份效验,如果通过效验,应该返回给用户一个认证的
凭据--ticket(2);用户再访问别的应用的时候(3,5)就会将这个
ticket 带上,作为自己认证的凭据,应用系统接受到请求之后会把 ticket 送到
认证系统进行效验,检查 ticket 的合法性(4,6)。如果通过效验,用户就可
以在不用再次登录的情况下访问应用系统 2 和应用系统 3 了。
从上面的视图可以看出,要实现 SSO,需要以下主要的功能:
所有应用系统共享一个身份认证系统。
统一的认证系统是 SSO 的前提之一。认证系统的主要功能是将用户的登
录信息和用户信息库相比较,对用户进行登录认证;认证成功后,认证
系统应该生成统一的认证标志(ticket),返还给用户。另外,认证系
统还应该对 ticket 进行效验,判断其有效性。
所有应用系统能够识别和提取 ticket 信息
要实现 SSO 的功能,让用户只登录一次,就必须让应用系统能够识别已
经登录过的用户。应用系统应该能对 ticket 进行识别和提取,通过与认
证系统的通讯,能自动判断当前用户是否登录过,从而完成单点登录的
功能。
上面的功能只是一个非常简单的 SSO 架构,在现实情况下的 SSO 有着更加复
杂的结构。有两点需要指出的是:
单一的用户信息数据库并不是必须的,有许多系统不能将所有的用户信
息都集中存储,应该允许用户信息放置在不同的存储中,如下图所示。
事实上,只要统一认证系统,统一 ticket 的产生和效验,无论用户信息
存储在什么地方,都能实现单点登录。
统一的认证系统并不是说只有单个的认证服务器,如下图所示,整个系
统可以存在两个以上的认证服务器,这些服务器甚至可以是不同的产品。
认证服务器之间要通过标准的通讯协议,互相交换认证信息,就能完成
更高级别的单点登录。如下图,当用户在访问应用系统 1 时,由第一个
认证服务器进行认证后,得到由此服务器产生的 ticket。当他访问应用
系统 4 的时候,认证服务器 2 能够识别此 ticket 是由第一个服务器产生
的,通过认证服务器之间标准的通讯协议(例如 SAML)来交换认证信
息,仍然能够完成 SSO 的功能。
3 WEB-SSO
的实现
随着互联网的高速发展,WEB 应用几乎统治了绝大部分的软件应用系统,因
此 WEB-SSO 是 SSO 应用当中最为流行。WEB-SSO 有其自身的特点和优势,
实现起来比较简单易用。很多商业软件和开源软件都有对 WEB-SSO 的实现。
其中值得一提的是 OpenSSO(https://opensso.dev.java.net),为用
剩余28页未读,继续阅读
hellmagic81
- 粉丝: 0
- 资源: 2
上传资源 快速赚钱
- 我的内容管理 收起
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
会员权益专享
最新资源
- ExcelVBA中的Range和Cells用法说明.pdf
- 基于单片机的电梯控制模型设计.doc
- 主成分分析和因子分析.pptx
- 共享笔记服务系统论文.doc
- 基于数据治理体系的数据中台实践分享.pptx
- 变压器的铭牌和额定值.pptx
- 计算机网络课程设计报告--用winsock设计Ping应用程序.doc
- 高电压技术课件:第03章 液体和固体介质的电气特性.pdf
- Oracle商务智能精华介绍.pptx
- 基于单片机的输液滴速控制系统设计文档.doc
- dw考试题 5套.pdf
- 学生档案管理系统详细设计说明书.doc
- 操作系统PPT课件.pptx
- 智慧路边停车管理系统方案.pptx
- 【企业内控系列】企业内部控制之人力资源管理控制(17页).doc
- 温度传感器分类与特点.pptx
资源上传下载、课程学习等过程中有任何疑问或建议,欢迎提出宝贵意见哦~我们会及时处理!
点击此处反馈
安全验证
文档复制为VIP权益,开通VIP直接复制
信息提交成功
评论1