IBM / Lotus Domino 与 WebSphere Portal: 单点登录

摘要

IBMWebSpherePortal为IT公司带给了很大的价值，使你们还能创建强大的Web应用，这种Web应用禁止用户集中地访问，并提供个性化资料。公司可以从门户中受益，譬如简化基础设备ibm websphere认证，推动研发进程，还有提升雇员工作效能。

其实，e-Workplaces可以转变雇员与顾客、其它内部成员还有供应商之间的联系方法。协作门户（collaborativeportal）的基础之一，就是它所具备的借助利用协同使用使地理上分散的团队聚在一起解决业务问题的能力。

为了带给这些转变，人们往往错误地表示这种协同使用才能在和门户相同的技术平台（譬如J2EE）之间进行移植，并因此复杂性和环形式下降的费用而拒绝这些的整合（还有潜在的门户部署）。

与这些错误的构想相反，借助这些转变获得最大价值的关键在于，将Domino成功地整合到WebSpherePortal环境中还有更详细地实现两个平台之间的单点登陆（singlesign-on，SSO）的能力。这是本蓝皮书重点关注的关键能力。提供跨WebSphere和Domino服务器的一般登录或者单点登陆，这是这两个使用环境之间的一个主要整合点，同样也导致企业希望结合利用WebSphere服务器在事务方面的劣势和Domino服务器在协同方面的劣势。这种整合所造成的Web应用同样扩展了这两种环境的外观。虽然这种Web应用实际运行在不同的使用服务器上，所以它提供了禁止用户只需一次登陆到车站的内建制度如果上下文环境，因而保持了使用性能的无缝性，并给IBM为现今市场而问世的WebSpherePortal战略提供了超强的动力，这个战略便是将WebSpherePortal作为单独的访问点，以提供个性化的和可定做的数据。

本蓝皮书剩下的部份详细叙述了IBMWebSpherePortal和LotusDomino之间单点登陆的体系功能，动机在于使您对这些系统有个完全的认知，并为两个环境协调共存时所面临的潜在困难提供了解决方案。

引言

本蓝皮书的动机是谈论有关在WebSpherePortal环境中应用LotusDomino和LotusCollaborative产品的难题。本蓝皮书将讨论有关使LotusCollaborative产品内聚地在WebSpherePortal框架中工作的几个画面，还有在该环境中DominoDirectoryAssistance(Domino目录服务)的顶配。本蓝皮书的重点是有关应用WebSpherePortal和Domino中的原有工具来提供单点登陆的感受。

面向的读者

本文件面向的读者是Domino和WebSpherePortal管理员如果IT架构师，你们才能应用各种品牌原有的SSO功能将WebSpherePortal整合到现有Domino环境。本文件不谈论使用这些品牌（譬如TivoliAccessManager）实现SSO的难题。

TivoliAccessManager(TAM)解决方案对于这些想要在不同类型的Web应用（包含WebSpherePortal和Domino以外的品牌）之间集中集成安全性的顾客，如果是这些才能灵活的认证备选方案（记号、等等）和提高的访问控制制度（每日一次检测、每周一天检查等等）的顾客，还有这些为了安全性和SSO架构而选择了TAM的顾客，都是最为适于的。

怎么是单点登陆?

严格地说，单点登陆指的是禁止用户登陆到一个使用，这个使用带有经过认证的到这些使用的访问途径，登陆到这个使用以后，用户无需再遭遇任何其它的认证。用更实际的话来说，它包含可以将此次主要的登陆映射到这些使用中用来同一个用户的登陆的制度。

我们的目标是，SSO提供登陆到WebSpherePortal的能力，并禁止应用这些用户凭证访问Domino环境、Domino、Sametime、QuickPlace以及其它基于Domino的工具。如果在WebSpherePortal和Domino环境之间没有SSO关系的话，所以用户每次访问某个包括来自于基于Domino的使用流程或者服务的资料的portlet时，都才能登陆到Domino环境中。此外，有些WebSpherePortalAPI和服务，譬如人员感知，没有提供登陆工具。即使那些服务不提供特殊的登陆工具，为了运行这些一直需要借助SSO进行认证。

WebSpherePortal提供了CredentialVault（原件保险库）系统。CredentialVault通过BasicAuthenticationHeader将用户名和密钥传递给前端使用流程。为了使Domino服务器接受通过这个头部传递出去的原件，必须将服务器会话验证配置为Single-Server模式。在Multi-Server模式中，该服务器将要只接受通过LTPA机制传递的原件。因此，为了与Domino应用流程一起应用用来SSO的CredentialVault，您必须将Domino服务器会话验证配置为Single-Server模式。

要应用CredentialVault，用户需输入一些原件，输入一次就够了。随后，这种收据被储存在一个经过加密的表中，每当用户访问该portlet时，这种收据便被传递给前端使用流程。要了解关于配置CredentialVault的细节，参见WebSpherePortalInfoCenter。

大多数企业都能够希望提供一种手动化的方式来应用目前来自于WebSpherePortal的原件，以便对前端使用流程进行认证。

它是怎么工作的?

WebSpherePortal和LotusDomino之间的单点登陆是借助一种称为轻量级第三方认证(LTPA)的制度来实现的。WebSphere应用服务器（还包含WebSpherePortal和其它任何运行在WebSphere环境中的使用流程）和Domino都应用LTPA。当LTPA机制用来由多个服务器组成的环境中时，它是借助使用DomainCookie而启用的。这种经过加密的会话cookie被放在在用户浏览器中，并包括了一些资料，WebSphere或者DominoApplication服务器可以加密其他资料，并应用各种资料来证明用户早已通过该cookie所覆盖的DNS（DomainNamingService，域名服务）域中的认证。

LTPAcookie包含以上资料：

LTPA标记是一个加密的符号串，它包括以上资料：

本文件不准备讨论这些方式的安全性，只是要谈论怎样启用和应用所提供的制度。要了解有关于LTPA机制的更多资料，读者可能参考IBMRedbook：IBMWebSphereV4.0AdvancedEditionSecurity()。要获得更完整的安全解决方案，IBM提供了TivoliAccessManager。

画面概述

文件的这一部份论谈论用于构建WebSphere和Domino之间的SSO的选项。它被溶解为较多的画面，这种情景代表在顾客站点出现的这些各样的环境。如果您已有一个环境，也是写作与您的环境最匹配的部份。如果您正在创建一个新的环境，您觉得写作所有其他部份并选择提供了您所需系统的画面。

其他画面分为以上两类：

一个目录同时为WebSpherePortal和Domino服务

这样画面代表一些环境，在这种环境中，一个单独的LDAP目录被用来WebSpherePortal环境。如果Domino存在于这些环境中，所以Domino服务器提供LDAP服务，如果它就是受支持的如果应用Domino支持的LDAP服务器之一。如果Domino只是用来支持WebSpherePortal中的QuickPlace和Sametime（这些是基于Domino的使用流程），所以可以将它配置为应用一个非Domino的LDAP目录。如果Domino用于WebSpherePortal环境之外，它往往被用作Web应用服务器，而不是用来电子邮箱服务。WebSpherePortal配置为按照该目录对用户进行认证。您觉得注意到，WebSpherePortal（和WebSphereApplicationServer）可以配置为仅按照单独的一个LDAP目录来进行认证。

对于整个行业来说，将Domino服务器当成LDAP服务器应用是有认为的。Domino服务器提供了对LDAP的支持，LDAP可用来从WebSpherePortal以及其它使用进行认证。如果Domino将用作公司LDAP，所以该环境都会被看作单目录环境。

分离Domino目录和WebSpherePortal目录

在这种情景中，往往环境中都已有Domino基础设备，对于Domino和WebSpherePortal都有分离的目录。通常状况下，Domino目录包括了有关每个Domino用户的资料，而企业LDAP目录包括了该人群的一个超集。公司LDAP目录必须包括针对每位要访问WebSpherePortal的用户的用户记录。在给定用户应该Domino用户的现象下，有一些资料必须在两个记录之间进行协调。这往往是手工完成或者用工具完成，譬如用IBMDirectoryIntegrator（IDI）。

要使这些方式奏效，必须在WebSpherePortal环境和Domino环境之间构建单点登陆LTPA关系。参见PortalInfoCenter和WebSpherePortalReleaseNotes中有关配置服务器的资料。

注意，但是没有构建LTPA关系，一直有认为看到一些来自于WebSpherePorta的相似于SSO的行为。这是那么有两种不同的方式可用来认证从WebSpherePortal进入Domino环境的用户。要明白这两种方式是怎么工作的，知道从WebSpherePortal到Domino的整合点就很重要。

WebSpherePortal到Domino

portlet整合了WebSpherePortal和前端使用流程，当用户要请求来自一个内部使用的资料并将其表明在WebSpherePortal页面中时，portlet充当的是某些代理的反派（这并非严格的意义上的说法，所以portlet的确会执行一些相似的系统）。NotesMailportlet演示了这样行为。WebSpherePortal以用户名向Domino服务器请求数据。WebSpherePortal使用目前用户凭证（它是从会话资料中搜集到的）请求Domino服务器中的资料。然后，portlet格式化该请求，并将该请求发送到Domino服务器。当数据回到时，它已被格式化并加入到WebSpherePortal页面，然后发送到用户浏览器中以供查看。

当登陆到WebSpherePortal时，您才能应用LDAP属性，该特性通常是唯一的用户名全称、职员序列号，如果这些那些惟一的标志符。WebSpherePortal收到对用户的用户名和密钥的确定，如果从LDAP服务器收到现有的LTPA标记之后，它还会收集这些包括完整用户标识名（DN）的资料。然后该资料被缓存在WebSpherePorta上，开始用户从该服务器上注销或者会话终止。一旦portlet上汇集了该资料，该资料就构建一个HTTP、IIOP或者LDAP请求，并将它发送到Domino服务器。当Domino服务器收到该请求，它就取用户凭证并应用Domino认证和许可工具来察看用户能否有权获得该资料。如果认证和许可获得授权，则该资料将被查询到并以XML格式传回WebSpherePortal。如果用户没有经过许可就请求信息，所以WebSpherePortal就会收到离开的错误信息。

如果另外一种众多Dominoportlet应用的独特现象。当处于Dominoportlet的顶配模式时，借助Domino服务器的DIIOP接口，可以查询到有效的页面。IIOP连接和HTTP连接之间唯一的不同之处在于与Domino服务器交流的条款不同。发送到Domino服务器的LTPA信息与HTTP请求是相同的。

为了让这些级别的SSO能够工作，DN和相关的密钥必须在Domino和WebSpherePortal之间匹配。这是在WebSpherePortal中为Domino服务器整合提供这样级别的SSO所带给的的副效应。用户的WebSpherePortal用户名和密钥将被一起传递。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-118930-1.html