单点登陆概念及原理

一、什么是SSO

• 单点登陆（Single Sign-On），简称SSO，是目前比较流行的服务于企业业务整合的解决方案之一，SSO使得在多个应用系统中，用户只需要登陆一次就可以访问所有相互信任的应用系统。

• SSO原理、体系角色一般SSO体系主要角色有三种：
  1、User（多个）
  2、Web应用（多个）
  3、SSO认证中心（1个）

• SSO实现模式的原理、原则：
  1、所有的认证登陆都在SSO认证中心进行
  2、SSO认证中心通过一些方法告诉Web应用当前访问用户究竟是不是已通过认证的用户；
  3、SSO认证中心和所有的Web应用建立一种信任关系，也就是说Web应用必须信任认证中心。（单点信任）

• 主要实现方式
  1、共享cookies：基于共享同城的cookie是Web刚开始阶段使用的一种方式，它利用浏览同城名之间自动传递cookies机制，实现两个域名之间系统令牌传递问题；另外，关于跨域问题，虽然cookies本身不跨域，但可以利用它实现跨域的SSO。如：代理、暴露SSO令牌值等。
  缺点：不灵活而且有不少安全隐患，已经被抛弃
  2、Broker-based：基于经纪人，这种技术的特点就是，有一个集中的认证和用户账号管理的服务器。经纪人被用于进一步请求的电子身份存取。中央数据库的使用减少了管理的代价，并为认证提供一个公共和独立的“第三方“。例如Kerberos、Sesame、IBM KryptoKnight（凭证库思想）等。Kerberos是由麻省理工大学发明的安全认证服务，已经被UNIX和Windows作为默认的安全认证服务集成进行操作系统。
  3、Agent-based：基于代理人，这种解决方案中，有一个自动地为不同的应用程序认证用户身份的代理程序。这个代理程序需要设计有不同的功能。比如，它可以使用口令表或加密密钥来自动的将认证的负担从用户移开。代理人被放在服务器上面，在服务器的认证系统和客户端认证方法之间充当一个”翻译“。例如SSH等。
  4、Tokenbased：例如SecuredID，WebID，现在被广泛使用的口令认证，比如FTP、邮件服务器的登陆认证，这是一种简单易用的方式，实现一个口令在多种应用当中使用。
  5、基于网关
  6、基于SAML：SAML（Security Assertion Markup Language，安全断言标记语言）的出现大大简化了SSO，并被OASIS批准为SSO的执行标准。开源组织OpenSAML实现了SAML规范。

• 从结构体系看，CAS包括两部分：CAS Server和CAS Client。
  1、CAS Server：CAS Server负责完成对用户的认证工作，需要独立部署，CAS Server会处理用户名/密码等凭证（Credentials）。
  2、CAS Server：负责处理对客户端受保护资源的访问请求，需要对请求方进行身份认证时，重定向到CAS Server进行认证。（原则上，客户端应用不再接受任何的用户密码等Credentials）。CAS Client与受保护的客户端应用部署在一起，以Filter方式保护受保护的资源。
  3、CAS原理和协议，基础模式SSO访问流程主要有以下步骤：
  3.1、访问服务：SSO客户端发送请求访问应用系统提供的服务资源。
  3.2、定向认证：SSO客户端会重定向客户请求到SSO服务。
  3.3、用户认证：用户身份认证。
  3.4、发放票据：SSO服务器会产生一个随机的Server Ticket。
  3.5、验证票据：SSO服务器验证票据Service Ticket的合法性，验证通过后，允许客户端访问服务。
  3.6、传输客户信息：SSO服务器验证票据通过后，传输用户认证结果信息给客户端。