SSO单点登录实现方案

当需要自动一次登录多个系统可用时，这个时候需要用到的技术就是Single Sign-On(SSO), 中文名单点登录。

具体来说，就是打个比方，我们假设有一个系统集A（例如ERP），其中包含多个子系统（例如CRM, HCM）。

我们期望任意子系统登录后，以CRM为例，整个ERP系统里的所有子系统都可以使用当前的会话信息、无需二次登录。这就是SSO。为了实现SSO，我们需要做到以下几步。

首先，需要考虑用什么样的用户账号进行登录。这里我们有两个选择：

• 选择一：ERP专用用户账号。即ERP有自己的账号，每个用户需要向ERP申请账号和密码
• 选择二：用户电脑的Domain账号。简单理解就是电脑开机账号/密码。

如果使用选择一：ERP专用用户账号，那么单点登录流程是：

1. （前提：用户未登录）用户访问CRM登录页，手动输入用户名/密码。
2. 登录请求被重定向到SSO认证中心。
3. SSO认证通过。
4. CRM登录成功。
5. 此时访问别的ERP子系统，则自动登录成功，无需手动登录。

如果使用选择二：用户电脑的Domain账号，那么单点登录的方案有2种：

• SSO认证中心实现CAS登录

1. （前提：用户未登录）用户访问CRM系统。CRM自动发送登录请求到SSO认证中心。
2. SSO使用CAS机制，用用户电脑的Domain账号进行登录认证。
3. SSO认证通过。
4. CRM自动登录成功。
5. 此时访问别的ERP子系统，则自动登录成功，无需手动登录。

• CRM实现CAS登录

1. （前提：用户未登录）用户访问CRM系统。CRM自动生成登录请求。
2. CRM使用CAS机制，用用户电脑的Domain账号进行登录认证。
3. CRM SSO认证通过。
4. CRM自动登录成功。
5. 但是此时访问别的ERP子系统并不会实现自动登录。

附录：图解CAS架构

icon源于这里