CAS与WebSphere Portal 的整合

2019阿里云全部产品优惠券(新购或更新都可以使用，强烈推荐)

领取地址：

配置Portal 使用CAS

进行SSO在许多项目中，客户由于利润或者多方面考虑，会使用一些开源的SSO方案。CAS正是其中使用较好的一个。本文结合自己做的检测，说明如何在PORTAL上使用CAS。CAS 介绍CAS 是Yale 大学发起的一个开源工程websphere portal官网，旨在为 Web应用平台提供一种可靠的单点登陆方式，CAS 在2004年 12月正式作为 JA-SIG的一个项目。CAS 具有下述优点：

*开源的企业级单点注册解决方案。

*CASServer为应该独立推进的 Web应用。

*CASClient支持比较多的客户端(这里指单点登录平台中的各个 Web应用)，包括 Java,.Net,PHP,Perl,Apache,uPortal,Ruby 等。CAS 原理和协议从构架上看，CAS 包含两个部分：CAS Server和CAS Client。CASServer 需要独立推进，主要负责对客户的认证工作；CAS Client负责处理对客户端受保护资源的访问请求，需要注册时，重定向到 CASServer。标准CAS的重定向是运用FILTER来完成的。对于PORTAL而言，如果使用FILTER进行登录的拦截，LTPA TOKEN无法生成。因此应该考量其它的方法。参考CAS官网WIKI上一篇 文章所表述的对WAS进行CAS客户端配置。使用TAI方式进行登录。大致的原理如下图。1、用户访问PORTAL的请求被重定向到CAS。2、CAS判断客户能否已登录。若是，转回PORTAL。若否，登录建立CAS SESSION再转PORTAL。3、PORTAL 检测客户能否已登录PORTAL（LTPA）。若是websphere portal官网，则开启页面。若否，转TAI。TAI通过配置的属性检测CAS TICKET的有效性。

由于WAS 配置TAI后，就可以由信任的TAI进行客户身份验证，而WAS的安全模式不作其它的验证工作。CAS TAI验证客户顺利后，即返回用户的相关信息由WAS的安全组件根据很多信息建立WAS 的SESSION（LTPA）。配置过程比较简洁：1、从上下载CasClientWebsphere-x.x.x.jar和 casclient-2.1.1.jar放到<WPSInstallDirectory>/AppServer/lib/ext的目录中。2、在WAS管理控制台中配置TAI。这三个属性是需要的。SSL的端口如果非443就应该写在URL上。CAS_VALIDATION_URL =yourcasserverurl,ex: 'https://myCasServer/cas/serviceValidate'PRINCIPAL_PREFIX= prefixtoaddtoprincipal,inorderto allowmappingforgroups,ex:'uid='; defaultis""PRINCIPAL_SUFFIX =suffixtoaddtoprincipal,inorder toallowmappingforgroups,ex: ',OU=myOu,O=myCompany'defaultis""3、配置SSL。方式一：用IE打开CAS的 地址。保存其证书为.cer文件。（也可以使用CAS服务器端签署的顾客证书）用IKEYMAN将证书添加到 DummyClientTrustFile.jks的签署人证书中。在PORTAL的JVM属性中添加：

Name="java.protocol.handler.pkgs"

Value="com.ibm.net.ssl.internal.;

Name="javax.net.ssl.keyStoreType"

Value="jks"

Name="javax.net.ssl.keyStorePassword"

Value="WebAS"

Name="javax.net.ssl.trustStore"

Value="${USER_INSTALL_ROOT}/etc/DummyClientTrustFile.jks"

Name="javax.net.ssl.trustStorePassword"

Value="WebAS"

Name="javax.net.ssl.keyStore"

Value="${USER_INSTALL_ROOT} /etc/DummyClientKeyFile.jks"

重启PORTAL。方式二：（如有其它证书还要使用时，可选此方案）将证书添加到cacerts 库中。再将证书添加到DummyServerTrustFile.jks文件中。（此文件为HTTP 传输链SSL默认的TRUST STORE）重启PORTAL。

验证：PORTAL启动日志中需要包含有Trust AssociationInitclass com.octo.cas.client.websphere.CasTAI511loaded successfully类似的信息并打印相关属性。使用://portal:10038/wps/myportal 进行注册测试。如果可以登陆CAS后直接开启PORTAL，说明SSO配置失败。

原文章地址:

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-120326-1.html