基于WAS 的SSO实现方案(2)

</form-login-config>

</login-config>

<security-role>

<role-name>AllAuthUser</role-name>

</security-role>

修改welcome页面配置，这页面是登陆成功后系统指向的页面。

<welcome-file-list>

<welcome-file>/abf_comm/default4portal.jsp</welcome-file>

</welcome-file-list>

2.3.2.2重启应用服务器

正确设置上述配置后，需要重新启动应用服务器。

2.4WAS环境配置（将根据WAS7版本进行更新）

2.4.1设置WAS的LTPA协议

进入WAS控制台，URL是:consoleport/admin,输入安装时设置的用户名密码。

2.4.1.1设置安全角色到用户/组映射

2.4.1.2点击进入“安全管理、应用程序和基础结构”，设置安全性

2.4.1.3设置LDAP连接

2.4.1.4设置域名

2.4.1.5需要导入密钥文件，密钥文件可以从其他的was的控制台导出。

2.4.1.6保存配置

注意：任何修改都需要保存到主配置才能生效。

2.4.2设置WAS的Session的cookie值

2.4.2.1不同应用系统配置唯一Cookie值，防止多应用集成session丢失

2.4.3重启应用服务器

进入应用服务器所在目录，重新启动服务器。

以WAS为例，需要输入如下命令：

(一般在c:\program files\ibm\websphere\appserver\java下)。第六步 选择概要表路径 e:\del\websphere\appserver\profiles\bbs。/host/ibm/websphere/appserver/properties/version/nif/config/script/productshortcut2startmenubase.sh:line132:syntaxerror:unexpectedendoffile。

停止server

insert into user2(user_name,password,address) values (#{username},#{password},#{address})。user --name= [--gecos=] [--groups=] [--homedir=] [--password=] [--iscrypted|--plaintext] [--lock] [--shell=] [--uid=]。 insert into user3(id,user_name,password,address) values (#{id},#{username},#{password},#{address})。

启动server

./startServer.sh server1

2.5使用方式

2.5.1要求及条件

所有系统的底层平台都是采用WebSphere

系统本身的认证交给WebSphere底层平台来做

所有系统采用同一个LDAP或数据一致的LDAP来做认证

所有服务器必须在同一个网络域中

用全域名方式访问

所有服务器必须保证时间一致

2.5.2场景描述

1)用户成功登录新一代UI；

2)在用户的浏览器cookie值中保存WAS生成SSO加密信息(LTPA令牌)；

3)用户通过新一代UI系统访问其它系统资源；

app登录的时候发送加密的用户名和密码到服务器，服务器验证用户名和密码，如果成功，以某种方式比如加密随机串作为token，存储到服务器中，并返回token到app，以后app请求时，凡是需要验证的地方（比如用户中心的链接）都要带上该token，然后服务器端验证token，成功返回所需要的结果，失败返回错误信息，让他重新登录。（6）系统安全加密：此系统中针对客户提出的系统安全问题，我们采用了ikey加密硬件钥匙来验证客户端登陆客户的合法性，此ikey钥匙可以绑定到一个系统使用用户，也可以让多个用户来使用一个加密钥匙来验证登陆系统的合法性。第一章 电脑硬件系统的加密与解除第一节 系统bios开机口令的设置与解除第二节 硬盘的加密与保护第三节 光盘的加密与解密第二章 windows系统的加密与解密第一节 windows 9x系统登录口令的设置与解除第二节 windows 2000/nt/xp系统登录口令的设置与解除第三节 windows系统屏保密码的设置与解除……第三章 网络密码大揭密……第四章 常用软件密码设置与解除……第五章 密码百宝箱……第六章 密码攻防实例演习……第七章 迈进高手之路――必备的常识与技巧……第八章 大虾的武器库……附录 windows蓝屏死机代码说明。

2.6 安全性分析

2.6.1优势

WAS提供的SSO解决方案中只传递用户名，不传递密码，保证了密码安全。

LTPA经过加密处理，不会被暴露在外部；即使token被截取，如果没有密钥和口令，也无法获取到其中的内容。

最新版的WAS Ltpa使用先进的加密算法：

Random salt；

强 AES 密码；

对数据签名；

对数据加密。

2.6.2存在的风险

由于在一个普通的网络环境中，帐号和口令信息以明文方式在以太网中传输，一旦入侵者获得其中一台主机的root权限，并将其置于混杂模式以网络数据，从而有可能入侵网络中的所有计算机。原来，将军令等动态令牌虽然难以直接暴力破解，但是在电脑已经感染盗号木马的情况下，黑客就可以通过读取内存信息或键盘输入，同时截获玩家输入的帐号、密码和动态口令，并在口令失效之前，快速登录帐号，魔兽世界的盗号木马大多属于此类。如果希望只对项目小组成员开放，不希望其他人操作文件（注意：没有sourcemanager帐号的人不能访问sourcesafe中的内容，但如果他有权限的话，可以删除或修改中的数据），请将everyone组从权限组中删除，并从域目录中选择可以访问该目录的域帐号或计算机。

需要做好密钥文件及口令的保管工作，并做好LDAP访问权限的管理，可预防此类风险的发生。

另外，此风险在实际操作过程中难度较大，不容易出现。

附录一：常见SSO方案介绍

1 使用统一单点登录机制

【运筹帷幄，安心出借】1 风险管理l 科学的五审制度，包括系统预审、欺诈审核、评分审核、信用审核、额度审核l 由利宝保险保障信审风险2网络安全技术体系l 多乐融网站通过了iso27001国内和国际双重标准认证l 采用电子签章、第三方数字认证、对交易信息使用cfca数字证书等安全技术，保障平台用户信息安全与个人隐私l 身份归属唯一：通过审核出借人身份、身份认证与账户绑定，保障同卡出借与转让、退出的归属唯一l 与银行对接、实存管：实与客户资金隔离，确保平台投入的项目跟投资资金一一对应。随着教改革断变化能集编、导、演、教于身说课形式蓬勃发展其综合反映教师素质教师教育理论水平教师教业务能力让自说课更完美呢面我谈谈自几点想、说课其实带表演性质教研参加说课首先要掌握原则：说课项教研究说课顾名思义教师用口语式向同行或专家阐述自某节课教设想、教思路及其理论依据教师教案本身析说明种口叙述主教案析让师备课基础面同行或教研员系统概括解说自具体教内容理解阐述自教观点表述自具体执教某课题教设想、策略及组织教理论依据等（要节课认识、观点、想、设计介绍给专家评委让家觉做理论依据符合童认知规律设计新颖合理做重点突难点突破让家教理解、接受至信服）二、何准备说课比赛1、份优秀教设计说课比赛前提与根本份优秀特色教设计说课重要前提教师所教内容教目标、教重点设计、难点突破都深刻理解才能展精彩说课要特别提特色呢说课既教研要研究价值才能价值要求要特色或课设计突破难点特别别想没做：（例体育课自始至终由游戏穿插）。京东在不断优化售后服务流程,并以流程优化为驱动,提出了不少优质的特色服务,就拿家电类的售后服务为例,传统的家电售后服务需要消费者提出售后需求,再找厂家做检测,然后将检测结果提报电商平台审核,而京东推广的优化方式是一站式完成,有售后需求,只需提交给京东,京东会安排厂家做检测,会上传检测结果,审核时会和消费者做沟通确定。

WAS的SSO方案就属于这样类型，WAS和Domino等都是IBM的产品，都基于统一的SSO机制，所以它们可以直接支持统一单点登录机制。

图 1 使用统一单点登录机制方案图

2 使用第三方系统来做单点登录

例如IBM Tivoli Access Manager或者Netegrity iteminder。

图 2 使用第三方系统来做单点登录方案图

3 利用用户名/密码映射(maping)的方式

如果有系统提供映射方式的单点登录功能，例如WebSphere Portal Server。

图 3 利用用户名/密码映射(mappiing)的方式方案图

4 其他方式

各个系统约定SSO规则，如：各系统判断cookie里面是否存在用户信息以及加密串，从而实现SSO登录。

附录二：单点登录产品介绍

1 商业SSO软件

1)专门的SSO商业软件

主要有：Netgrity的Siteminder，已经被CA收购。Novell 公司的iChain。RSA公司的ClearTrust等。

2)门户产品供应商自己的SSO产品，

如： IBM 的Tivoli Access Manager，WAS自带的SSO解决方案，BEA的WLES，Sun 公司的identity Server，Oracle公司的OID等。

上述商业软件一般适用于客户对SSO的需求很高，并且企业内部采用WAS、Domino、SAP、Sieble等系统比较多的情况下。单点登录产品通常需要在应用软件中增加代理模块，而商业SSO产品主要针对大型软件制作了代码模块。

2 开源SSO软件

1)Opensso

https://opensso.dev.java.net/

虽然很多商业spice已经支持verilog-a，但现在开源的spice3却还没有做到（这里插一句：基于spice3的ngspice当中包含了支持verilog-a的开源编译器adms。除了 ibm power 6 平台的 energyscale 技术， ibm system x 和 system z 平台同样也有其内置的能源管理技术，因此 aem 除了支持基于 ibm power 6 的服务器以外，还支持对从 x3350 到 x3950 m2 的大部分 system x 服务器，bladecenter。actcms是一款具有强大的功能的基于asp语言的开源内容管理软件，有utf-8和gb2132两个编码版本，支持access和mssql两种。

OpenSSO体系结构设计合理，功能比较强大。然而缺点是客户端支持不够广泛，似乎只是对基于J2EE的应用支持的比较好。

2)josso



这是另一个Java写的单点登录产品，通常认为比OpenSSO更成熟一些。

JOSSO支持的客户端包括Java，PHP和ASP。

3)CAS



这是耶鲁大学开发的单点登录产品。

创德机械一贯注重以科技求发展，公司技术力量雄厚，设备精良，生产工艺先进，检测齐全，质量保证体系和售后体系完善，公司以优良的品质，合理的价格，周到的服务，竭诚为您服务。开展装配式建筑技术体系和产品评估推广工作，研究梳理并重点推广成熟先进可靠的技术体系。桥辉机械一贯注重以科技求发展，公司技术力量雄厚，设备精良，生产工艺先进，检测齐全，质量保证体系和售后体系完善，公司以优良的品质，合理的价格，周到的服务，竭诚为您服务。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-107567-2.html