探索企业SSO

简介: SSO中涉及的字段可以大致分为三种类型: 社交网站之间的SSO，部门级SSO和企业级SSO. 企业级SSO是三者中最复杂的. 从技术架构的角度来看，SSO可以分为两种不同的架构: 集中式验证模式和多点验证模式.

SSO，单点登录（单点登录），这意味着在多套系统共存的环境中，用户只需登录一次即可访问其他授权系统.

说到SSO（单点登录），企业中可能没有人认识IT人员，但是不一定真正了解它的复杂性. 只有亲自实施过此技术的技术人员才能理解其中的奥秘. 本文基于Lanling为国内数十家大中型企业提供的服务案例. 本文讨论了SSO的一些相关技术和案例，希望有助于企业IT人员更深入地了解SSO技术及其应用.

一个企业级SSO

SSO涉及的领域大致可分为三种类型: 社交网站之间的SSO，部门级SSO和企业级SSO.

帐户信息的开放性主要涉及社交网站之间的SSO. 实施是否成功主要取决于主要网站的帐户管理是否遵循相同的标准协议，例如Openid和Passport.

部门级SSO相对简单. 通常，涉及的系统并不多，可以由技术人员通过编程来实现. 但是，一旦涉及到许多系统并且对安全性有很高的要求，它就不适用.

企业级SSO是这三种中最复杂的，因为涉及的系统可能是多种多样的，这些系统可能是旧的C / S结构系统，可能是某种大型软件系统（例如SAP），或者可以是某种非Web登录方法（例如Windows域登录）；它对安全性的要求比前两个要高得多，例如共享登录有效时间的要求等，因此从技术难度上讲，企业级SSO最高，但是IT员工也最愿意钻研进入区域. 但是对于大多数国内企业而言，由于历史原因，其内部系统通常会导致缺乏针对多个系统的统一计划和标准，从而导致高集成成本. 因此，SSO也是许多大中型企业IT部门的头疼问题.

本文讨论的主要领域是企业级SSO.

第二个深入的企业级SSO

SSO是一把双刃剑: SSO可以简化用户登录过程并改善用户的登录体验；同时，它可以减少为IT管理员维护大量帐户和密码的成本； SSO还提供符合Sarbanes-Oxley Act Tools的集中式密码管理；但是SSO也会带来安全风险. 一旦系统用户的身份受到威胁，这意味着参与SSO网络的所有应用程序系统也会被渗透. 因此ibm portal 单点登录，需要仔细考虑SSO的范围和安全级别的限制.

SSO涉及不同级别的需求: SSO的实质是多个系统是否可以识别同一用户的身份，并在每个系统之间实时同步用户身份信息以支持每个系统来控制用户权限. 因此，一套SSO技术至少应考虑四个层次的需求:

1. 单点登录，多个点可以同时登录；

2. 一次注销（注销），多个点可以同时注销；

3. 单点切换用户，多个点可以同时切换；

4. 单点登录到期，多个点同时到期.

如下所示:

在现实环境中，最佳的SSO环境（具有最低的集成成本）应为:

1. 用户在不同系统中只有一个通用的登录名和密码

2. 每个应用程序系统共享一组用户名和密码信息

3. 该应用系统使用相同的技术架构和相同的域名后缀

最糟糕的SSO环境（具有最高的集成成本）将反映为:

1. 用户在不同系统中具有不同的登录名和密码

2. 不同的应用程序系统存储独立的用户名和密码

3. 该应用系统采用不同的技术架构和不同的域名后缀，甚至只有IP而没有域名.

根据我们的实践经验，可以提供最佳SSO环境的公司在该国几乎很少. 这样的公司必须在IT方有战略性，并且在IT系统选择方面必须非常准确. 可以通过高度的继承共识和适当​​的IT计划来实现. 但是最糟糕或接近最糟糕的SSO环境比比皆是.

幸运的是，即使是最糟糕的SSO环境也仍然具有相应的技术解决方案来支持集成.

三，两种SSO架构和三种实现技术

从应用程序体系结构的角度来看，SSO可以分为两种不同的体系结构: 集中式验证模式和多点验证模式.

集中式身份验证模式: 当应用程序系统需要登录时，统一身份验证服务器完成登录操作，并且应用程序系统不提供登录访问权限（例如登录界面）.

与多点认证方式相比，集中式认证方式的应用范围更广，在SSO服务器中使用统一的用户名和密码. 用户不需要注意登录的系统帐户集，因此用户的体验更好. 由于所有登录名都放置在统一服务器上，因此当集中式验证服务器关闭时，所有系统将无法正常登录，否则SSO功能将丢失. 建议使用独立的服务器作为集中式验证服务器，并有必要确保登录服务器的稳定性.

多点身份验证模式: 应用程序系统提供其自己的登录界面. 登录到一组系统后，其他系统可以通过身份验证，而无需再次登录.

在多点身份验证模式下，所有登录操作都在应用程序系统中完成，并且任何系统停机时间集都不会影响其他系统，也不会影响正常操作系统之间的SSO. 但是，如果每个系统的帐户集不同，则用户要区分每个系统的用户密码，肯定会降低用户的使用体验. 为了解决此问题，多点登录模式最好具有统一的用户密码验证服务（例如LDAP身份验证）. 此外，多点登录模式比集中式身份验证模式具有更多的技术限制. 有关详细信息，请参见以下章节.

从SSO的技术实施角度来看，SSO的实施通常具有以下三种技术实施方法: 代理登录（agent），令牌环（token）和身份票（ticket）.

Agent登录（Agent）: Agent登录的原理是通过IE端的表单提交方法来模拟应用程序系统的登录操作，以实现SSO.

代理登录的优点是无需对原始系统进行任何修改，这适用于无法修改的旧系统；

缺点很明显:

1. 稳定性差. 如果服务器在登录期间无法响应，则该服务器将无法进行单点登录.

2. 安全性差，用户名和密码以明文形式传输.

3. 由于登录时需要监视每个系统的响应，因此不建议大量使用，否则会影响登录性能.

4. 由于IE的安全限制，代理登录必须在同一域中运行.

令牌环（令牌）: 通过在Cookie中共享令牌环的方式传递当前用户信息ibm portal 单点登录，以实现SSO. （令牌环类似于IBM的LTPAToken. IBM系列产品可以实现可配置的SSO，这取决于此技术. 例如IBMWebsphere PortalServer和Lotus DominoServer之间的SSO）.

令牌环方法的最大优点是它不需要统一的验证服务器. 它是“多点验证模式”的主要实现技术. 每个服务器都使用统一密钥对令牌进行加密和解密，因此此方法是安全的. 具有高，稳定性好，性能消耗低等优点；它的缺点是必须确保每个应用程序服务器位于同一域中.

身份票证（票证）: 与令牌环不同，身份票证通过URL传输，SSO通过“双向握手”实现. （例如开源CAS就是这个原则）

ID票证方法是使用最广泛的SSO实现方法，可以解决跨域问题，安全性高，稳定性好；它的缺点是必须添加一个身份验证服务器以确保在高压下进行身份验证. 由于每次登录都需要访问身份验证服务器，因此服务器的稳定运行和性能方面比令牌环方法稍差.

三种技术实施方法的比较

比较

代理登录

令牌环

明

需求实现度

无法同时将用户和会话切换为过期

全部

全部

改造原始系统

没有

少量装修

少量装修

安全

低

高

高

稳定性

降低

好

好

性能开销

在登录时被强调

很小

小

适用范围

在同一域中，对于用户密码不一致的系统，您需要将用户密码映射保存在登录服务器的用户凭证中

相同的域，需要增加对不同登录名的用户凭据存储的访问权限

对于所有可转换系统，对于不同的登录名，用户映射必须保存在登录服务器的用户凭证中

独立验证服务器

必需

不需要

必需

登录模式支持

集中式验证模式

集中式验证模式/多点验证模式

集中式验证模式

针对Lanling EKP产品的四个SSO解决方案

从Lanling实施的数十个SSO集成案例中获得的经验来看，单一的SSO技术和体系结构无法完全解决所有SSO问题. Lanling EKP产品提供的SSO解决方案提供了混合实施. 方式可以根据客户的实际情况灵活组合，并提供足够的扩展接口. EKP SSO组件包含一台服务器和多个内置客户端产品包:

EKPSSO服务器: 基于CAS内核，并添加了许多扩展，它简单易用（通过配置完成大多数SSO要求），强大的可伸缩性，广泛的应用范围，安全性，稳定性和其他特性.

1. 支持多种帐户存储方式

2. 支持一个用户使用多个帐户密码

3. 支持上述三种主要的身份认证技术

4. 支持灵活扩展

EKPSSO客户端: 客户端组件旨在减少每个应用程序系统的转换工作量，并且不同的客户端提供对不同开发语言的调用.

EKP系列产品（EKP-D，EKP-N，EKP-J，EKP-Portal）具有内置的EKP SSO客户端

实现原理如下:

客户支持:

最近发生的五个典型客户案例: 一家大型乘用车制造公司的14个系统的SSO集成

在此SSO解决方案中，它集成了IBM Websphere Portal，Lan Ling Domino和Java系列产品，Coremail和所有内部应用程序系统SSO. 使用IBM的TDS作为目录服务来验证用户名和密码；使用Lanling的UIM系统维护用户，在各种应用程序系统之间映射用户凭据；通过Lanling的SSO服务器，简化了所有系统的登录验证操作；大多数客户端和SSO服务器都采用性能消耗最低的令牌环技术来传输用户身份.

六，建议

良好的SSO计划可以帮助企业以最小的集成成本和最佳的维护成本获得最佳的用户登录体验.

在Lanling实施的项目中，计划和集成通常是合而为一的. 这是为了帮助客户进行典型系统的SSO集成，同时帮助客户根据企业特征制定一套可以适应未来的SSO规范. 此类操作通常作为关键组件包含在企业门户集成项目或IT计划项目中. 进行.

我们希望更多的公司提前意识到企业SSO计划的重要性.

注意: 这是我在2010年与@叶中奇的天空合作写的一篇文章，并同时在Lanling的官方网站上发布: 我今天从其他方面重新提取了该词，并修改了一些措词和错字.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-257525-1.html