统一身份认证 单点登录?广州大学身份认证平台?EETrust统一身份认证平台(UAP)技术方案(2)

基于数字证书的单点登录技术，使各信息资源和本防护系统站成为一个有机的整体。通过在各信息资源端安装访问控制代理中间件，和防护系统的认证服务器通信，利用系统提供的安全保障和信息服务，共享安全优势。

其原理如下：

1) 每个信息资源配置一个访问代理，并为不同的代理分配不同的数字证书，用来保证和系统服务之间的安全通信。

2) 用户登录中心后，根据用户提供的数字证书确认用户的身份。

3) 访问一个具体的信息资源时，系统服务用访问代理对应的数字证书,把用户的身份信息机密后以数字信封的形式传递给相应的信息资源服务器。

4) 信息资源服务器在接受到数字信封后，通过访问代理，进行解密验证，得到用户身份。根据用户身份，进行内部权限的认证。

1.2.1 唯一身份凭证

统一身份管理及访问控制系统用户数据独立于各应用系统，对于数字证书的用户来说，用户证书的序列号平台中是唯一的，对于非证书用户来说，平台用户ID（passport）是唯一的，由其作为平台用户的统一标识。如下图所示：

(1)、在通过平台统一认证后，可以从登录认证结果中获取平台用户证书的序列号或平台用户ID；

(2)、再由其映射不同应用系统的用户账户；

(3)、最后用映射后的账户访问相应的应用系统；

当增加一个应用系统时，只需要增加平台用户证书序列号或平台用户ID与该应用系统账户的一个映射关系即可，不会对其它应用系统产生任何影响，从而解决登录认证时不同应用系统之间用户交叉和用户账户不同的问题。单点登录过程均通过安全通道来保证数据传输的安全。

B/S结构应用系统用户均采用浏览器登录和访问应用系统，因此采用统一认证门户，在统一认证门户登录认证成功后，再访问具体B/S应用应用系统。B/S应用系统接入平台的架构如下图所示：

UID系统提供两种应用系统接入方式，以快速实现单点登录：

(1)反向代理（Reverse Proxy）方式

应用系统无需开发、无需改动。对于不能作改动或没有原厂商配合的应用系统，可以使用该方式接入统一用户管理平台。

反向代理技术：实现方式为松耦合，采用反向代理模块和UID的单点登录（SSO）认证服务进行交互验证用户信息，完成应用系统单点登录。

(2)Plug-in 方式

Plug-in：实现方式为紧耦合，采用集成插件的方式与UID的单点登录（SSO）认证服务进行交互验证用户信息，完成应用系统单点登录。

紧耦合方式提供多种API，通过简单调用即可实现单点登录（SSO）。

对于J2EE环境，提供JAR包

对于ASP/.Net环境，提供COM组件

对于Domino环境，提供DSAPI

对于有原厂商配合开发的应用系统，可以使用该方式高效地接入UID系统中。

对于C/S应用系统的接入，实现方式是用户在登录系统门户后，点击相应的C/S应用系统图标，然后启用Windows的消息机制，将认证的请求发送到C/S应用服务器进行认证。认证通过后，在用户端启用相应的客户端程序。

1.1.2 单点登录特点

UID系统单点登录功能特点如下：

Ø 提供多种环境的接口包，应用系统开发工作量小；

Ø 提供多种接入方式，系统实施灵活，接入周期较短；

Ø 认证过程中采用多种安全加密技术，保证认证信息的安全性；

单点登录功能稳定可靠，为多应用系统提供良好的登录认证服务。

逻辑关系图

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-13809-2.html