zoukankan      html  css  js  c++  java
  • 单点登录的原理

    参考链接,感谢作者:https://zm10.sm-tc.cn/?src=l4uLj8XQ0IiIiNGckZ2TkJiM0ZyQktCZlo2Mi5uNmp6S0I/QysrJyszPztGXi5KT&uid=b57ca3ff1c2c123ad2dcbbe6455b695c&restype=1&from=derive&depth=3&link_type=60&wap=false&v=1 

    一、单点登录的概念

    1、什么是单点登陆

    单点登录(Single Sign On),简称为 SSO,是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中,用户只需要登录一次就可以访问所有相互信任的应用系统。

    2、单点登录的引入

    较大的企业内部,一般都有很多的业务支持系统为其提供相应的管理和IT服 务。
    例如:
    • 财务系统为财务人员提供财务的管理、计算和报表服务;
    • 人事系统为人事部门提供全公司人员的维护服务;
    • 各种业务系统为公司内部不同的业务提供不同的 服务等等。
    这些系统的目的都是让计算机来进行复杂繁琐的计算工作,来替代人力的手工劳动,提高工作效率和质量。
    这些不同的系统往往是在不同的时期建设起来 的,运行在不同的平台上;也许是由不同厂商开发,使用了各种不同的技术和标准。
     
    如果举例说国内一著名的IT公司(名字隐去),内部共有60多个业务系统,这些系统包括两个不同版本的SAP的ERP系统,12个不同类型和版本的数据库系统,8个不同类型和版本的操作系统,以及使用了3种不同的防火墙技术,还有数十种互相不能兼容的协议和标准,这种情况其实非常普遍。每一个应用系统在运行了数年以后,都会成为不可替换的企业IT架构的一部分,如下图所示。

     
    随 着企业的发展,业务系统的数量在不断的增加,老的系统却不能轻易的替换,这会带来很多的开销。其一是管理上的开销,需要维护的系统越来越多。
    很多系统的数 据是相互冗余和重复的,数据的不一致性会给管理工作带来很大的压力。
    业务和业务之间的相关性也越来越大,例如公司的计费系统和财务系统,财务系统和人事系 统之间都不可避免的有着密切的关系。

    为了降低管理的消耗,最大限度的重用已有投资的系统,很多企业都在进行着企业应用集成(EAI)。

    企业应用集成可以在不同层面上进行:
    例如:
    • 在数据存储层面上的“数据大集中”,
    • 在传输层面上的“通用数据交换平台”,
    • 在应用层面上的“业务流程整合”,
    • 和用 户界面上的“通用企业门户”等等。
    • 事实上,还用一个层面上的集成变得越来越重要,那就是“身份认证”的整合,也就是“单点登录”。
    通常来说,每个单独的系统都会有自己的安全体系和身份认证系统。
    整合以前,进入每个系统都需要进行登录,这样的局面不仅给管理上带来了很大的困难,在安全方面也埋下了重大的隐患。下面是一些著名的调查公司显示的统计数据:
    • 用户每天平均 16 分钟花在身份验证任务上 - 资料来源: IDS
    • 频繁的 IT 用户平均有 21 个密码 - 资料来源: NTA Monitor Password Survey
    • 49% 的人写下了其密码,而 67% 的人很少改变它们
    • 每 79 秒出现一起身份被窃事件 - 资料来源:National Small Business Travel Assoc
    • 全球欺骗损失每年约 12B - 资料来源:Comm Fraud Control Assoc
    • 到 2007 年,身份管理市场将成倍增长至 $4.5B - 资料来源:IDS 

    3、单点登录带来的好处

    使用“单点登录”整合后,只需要登录一次就可以进入多个系统,而不需要重新登录,这不仅仅带来了更好的用户体验,更重要的是降低了安全的风险和管理的消耗。请看下面的统计数据:
    • 提高 IT 效率:对于每 1000 个受管用户,每用户可节省$70K
    • 帮助台呼叫减少至少1/3,对于 10K 员工的公司,每年可以节省每用户 $75,或者合计 $648K
    • 生产力提高:每个新员工可节省 $1K,每个老员工可节省 $350 资料来源:Giga
    • ROI 回报:7.5 到 13 个月 资料来源:Gartner 
    另外,使用“单点登录”还是SOA时代的需求之一。
    在面向服务的架构中,服务和服务之间,程序和程序之间的通讯大量存在,服务之间的安全认证是SOA应用的难点之一,应此建立“单点登录”的系统体系能够大大简化SOA的安全问题,提高服务之间的合作效率。

    二、单点登录的运行原理

    1、一个简单的运行机制

    单点登录的机制其实是比较简单的,用一个现实中的例子做比较。
    某公园内部有许多独立的景点,游客可以在各个景点门口单独买票。
    对于需要游玩所有的景点的游客,这种买票方式很不方便,需要在每个景点门口排队买票,钱包拿 进拿出的,容易丢失,很不安全。
    于是绝大多数游客选择在大门口买一张通票(也叫套票),就可以玩遍所有的景点而不需要重新再买票。
    他们只需要在每个景点门 口出示一下刚才买的套票就能够被允许进入每个独立的景点。

    单点登录的机制也一样,如下图所示,


    当用户第一次访问应用系统1的时候,因为还没有登录,会被引导到认证系统中进行登录(1);

    根据用户提供的登录信息,认证系统进行身份效验,如果通过效验,应该返回给用户一个认证的凭据--ticket(2);

    用户再访问别的应用的时候(3,5)就会将这个ticket带上,作为自己认证的凭据,应用系统接受到请求之后会把ticket送到认证系统进行效验,检查ticket的合法性(4,6)。

    如果通过效验,用户就可以在不用再次登录的情况下访问应用系统2和应用系统3了。

    2、稍微复杂一点的运行机制

    从上面的视图可以看出,要实现SSO,需要以下主要的功能:

    • 所有应用系统共享一个身份认证系统。统一的认证系统是SSO的前提之一。认证系统的主要功能是将用户的登录信息和用户信息库相比较,对用户进行登录认证;认证成功后,认证系统应该生成统一的认证标志(ticket),返还给用户。
    • 另外,认证系统还应该对ticket进行效验,判断其有效性。所有应用系统能够识别和提取ticket信息,要实现SSO的功能,让用户只登录一次,就必须让应用系统能够识别已经登录过的用户。
    • 应用系统应该能对ticket进行识别和提取,通过与认证系统的通讯,能自动判断当前用户是否登录过,从而完成单点登录的功能。


    上面的功能只是一个非常简单的SSO架构,在现实情况下的SSO有着更加复杂的结构。有两点需要指出的是:

    • 单一的用户信息数据库并不是必须的,有许多系统不能将所有的用户信息都集中存储,应该允许用户信息放置在不同的存储中。事实上,只要统一认证系统,统一ticket的产生和校验,无论用户信息存储在什么地方,都能实现单点登录



    • 统一的认证系统并不是说只有单个的认证服务器,如下图所示,整个系统可以存在两个以上的认证服务器,这些服务器甚至可以是不同的产品。认证服务器之间要通过标准的通讯协议,互相交换认证信息,就能完成更高级别的单点登录。如下图,当用户在访问应用系统1时,由第一个认证服务器进行认证后,得到由此服务器产生的ticket。当他访问应用系统4的时候,认证服务器2能够识别此ticket是由第一个服务器产生的,通过认证服务器之间标准的通讯协议(例如SAML)来交换认证信息,仍然能够完成SSO的功能

     

    3、web-sso

    随着互联网的高速发展,WEB应用几乎统治了绝大部分的软件应用系统,因此WEB-SSO是SSO应用当中最流行的。
    WEB-SSO有其自身的特点和优势,实现起来比较简单易用。很多商业软件和开源软件都有对WEB-SSO的实现。
    其中值得一提的是OpenSSO (https://opensso.dev.java.net),为用Java实现WEB-SSO提供架构指南和服务指南,为用户自己来实现WEB-SSO提供了理论的依据和实现的方法。

    为什么说WEB-SSO比较容易实现呢?这是有WEB应用自身的特点决定的。
    众所周知,Web协议(也就是HTTP)是一个无状态的协议。一个Web应用由很多个Web页面组成,每个页面都有唯一的URL来定义。用户在浏览器的地址栏输入页面的URL,浏览器就会向Web Server去发送请求。
    如下图,浏览器向Web服务器发送了两个请求,申请了两个页面。这两个页面的请求是分别使用了两个单独的HTTP连接。所谓无状态的协议也就是表现在这里,浏览器和Web服务器会在第一个请求完成以后关闭连接通道,在第二个请求的时候重新建立连接。Web服务器并不区分哪个请求来自哪个客户端,对所有的请求都一视同仁,都是单独的连接。
    这样的方式大大区别于传统的(Client/Server)C/S结构,在那样的应用中,客户端和服务器端会建立一个长时间的专用的连接通道。
    正是因为有了无状态的特性,每个连接资源能够很快被其他客户端所重用,一台Web服务器才能够同时服务于成千上万的客户端。

    但是我们通常的应用是有状态的。先不提不同应用之间的SSO,在同一个应用中也需要保存用户的登录身份信息。
    例如用户在访问页面1的时候进行了登录,当客户再次访问页面2的时候,如何才能告诉Web服务器,客户刚才已经登录过了呢?
    浏览器和服务器之间有约定:通过使用cookie技术来维护应用的状态。Cookie是可以被Web服务器设置的字符串,并且可以保存在浏览器中。
    如下图所示,当浏览器访问了页面1时,web服务器设置了一个cookie,并将这个cookie和页面1一起返回给浏览器,浏览器接到cookie之后,就会保存起来,
    在它访问页面2的时候会把这个cookie也带上,Web服务器接到请求时也能读出cookie的值,根据cookie值的内容就可以判断和恢复一些用户的信息状态。

    Web-SSO完全可以利用Cookie来完成用户登录信息的保存,将浏览器中的Cookie和上文中的Ticket结合起来,完成SSO的功能。

    为了完成一个简单的SSO的功能,需要两个部分的合作:
    1. 统一的身份认证服务。
    2. 修改Web应用,使得每个应用都通过这个统一的认证服务来进行身份效验。
     
  • 相关阅读:
    如何解决移动端滚动穿透问题
    如何在mac中通过命令行使用sublime
    正向代理和反向代理
    UTF8、UTF16、UTF16-LE、UTF16-BE、UTF32都是些什么?
    依赖的版本
    如何移除inline-block元素之间的空白
    如何用JavaScript重定向到另一个网页?
    [读书笔记] 高性能网站建设指南
    java使用jconsole查看java程序运行(jmx原理)
    oracle相关知识点
  • 原文地址:https://www.cnblogs.com/lexiaofei/p/7172214.html
Copyright © 2011-2022 走看看