导读：单点登录，是指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。本文从友户通单点登录类型、认证安全以及应用集成的角度，聊下解决复杂场景下的单点登录方案。
随着云计算的飞速发展，越来越多的云应用、云服务充斥在日常的工作当中。人们在享受信息化带来的便捷的同时，也遭受着应用系统反复登录，工作入口来回切换，数据消息接收不及时等诸多烦恼。伴随着业务系统数量的增加，用户会觉得自己身陷于越来越多的用户账号和密码需要记录，以便于使用各种云服务。
单点登录（Single Sign On），简称为 SSO，是指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。随着互联网的发展，单点登录获得了较为广泛的认可和应用。
然而在企业级应用的环境中，单点登录的使用面临着许多特有的挑战：
（一）企业应用的复杂性也体现在登录类型和登录场景的复杂性上；
（二）与企业已有的认证服务无缝集成是个挑战性的工作；
（三）认证能力如何达到企业级的安全要求是获得用户认可的关键。
如何让单点登录在企业完美的落地，还请看友户通的方案。
1.什么是友户通？
友户通是社会化商业应用基础设施和企业服务产业共享平台，它统一了用友云产品的用户管理和企业管理。友户通存储着用友云所有用户信息，是用友云所有使用者的通行证、一卡通。
2.友户通的单点登录方案
友户通的统一单点登录解决方案，提供非侵入性的单点登录服务，可解决用户日益增多的账号和密码的记录问题。采用满足行业及安全规范的最新登录行为技术，帮助云服务提供商实现CS、BS、云应用系统的单点登录功能。凭借内嵌的安全场景认证模型、数据安全存储及传输技术、集中审计等核心功能，帮助客户解决在面对单点登录体系时所遇到的认证安全弱、系统改造难、客户端系统无法接入、云应用无法接入等问题。
1.多种登录类型和登录场景的全支持
友户通单点登录平台支持Web单点登录、移动单点登录、PC端应用单点登录和第三方认证中心单点登录，提供支持主流的身份协议 （如CAS、OAuth），为云和移动应用程序提供单点登录功能。单点登录平台使员工、消费者、客户和合作伙伴一次登录便可实现跨多个运营平台（包括移动设备）访问企业和云的应用程序。多种单点登录相结合，可支持单点登录到Web端、非Web 端和基于云的应用。
企业应用单点登录，支持传统软件基于PC端应用单点登录，支持对web、非web应用程序无缝集成，实现从Web端到PC端以及从PC端到Web端的正、反双向单点登录。这种方法需要在用户的桌面上安装PC端单点登录器（如UClient、友空间PC端）。
在技术形式上，可以用Cookie作为凭证媒介，通过页面跳转机制实现登录，也提供了基于jsonp的登录服务，支持跨域的身份服务管理，同时，还提供了基于SDK的身份集成机制。
跨端的双向单点登录示意图
PC端单点登录器，可以作为应用的统一入口使用，用户可以自助的添加多个应用到登录器中。用户首先在登录器登录，然后再打开内部的应用时，无需再次登录，打开Web应用时，同样无需登录。登录器登录时，与云端认证服务器建立安全连接，进行身份认证，登录成功后，登录器获取到云端颁发的登录令牌，保存在内存中。访问应用时，点击登录器里的对应的应用图标，登录器根据当前登录的用户，向应用服务器请求获取该应用的登录票据，并对票据进行签名，然后使用签名的票据启动应用客户端，应用服务验证签名后即可进入到应用系统中。访问云端的服务时，登录器基于保存的登录令牌，生成登录凭证，包含登录凭证的请求，可以直接实现单点登录，进入到云端Web服务。
PC端单点服务器服务流程示意图
2.对多种类型的第三方认证中心的完善集成
（一）集成企业自建的用户中心。有些企业有自己的用户中心，如AD/LDAP类型的用户中心，企业内的很多应用，像OA系统，连接在这些用户中心上，这些数据中心已经存在了一段时间，所以存留了大量的用户，企业在使用云服务时，希望能够使用现有的这些用户及口令直接漫步云端，上云的过程对用户无感知无影响。友户通很好地支持了这种场景，允许使用企业现有目录账户和认证服务进行认证，并且自动、自助的绑定云端用户，无缝地登录到云端应用。
（二）集成第三方公有云用户生态系统。目前消费互联网领域的认证，已经非常普及和流行，如微信认证、QQ认证、微博认证等，很多用户已经习惯于使用这些账号，来作为网络身份认证的标识。友户通支持使用行业标准技术和主流的协议进行认证，支持类OpenID的认证服务机制，支持基于OATH授权服务，支持SAML的用户集成/被集成机制。
（三）集成非标准的用户中心。有的企业使用了多个信息系统，例如客户购买了NCERP系统、U8系统、OA系统以及其它的生态应用，这些应用的用户体系是相互隔离的，没有统一的用户中心，随着体统增多，用户账号越来越多，管理越来越复杂。在这种场景下，友户通可以作为一种用户中心的网关，将各个系统的用户中心连接起来，形成用户中心的联邦，打通各个系统的用户账号体系。
（四）被伙伴应用集成实现单点登录。用友云的生态伙伴，在各自的用户中心登录后，访问用友云服务时，自动实现单点登录。友户通可以授权信任的生态伙伴应用，授权后，生态应用使用自己的登录凭证，访问用友云服务，友户通会校验伙伴的登录凭证的有效性，并颁发友户通的登录凭证，实现单点登录。
3.包含多因子认证能力的高安全性
从技术手段上讲，用户名和口令这种方式，很容易被破解或窃取，而且无法追溯使用者的真实身份，更无法进行责任定位与追究。基于PKI体系的数字证书认证，特别是使用物理介质存储的证书，使得系统的安全性得到极大的保障。但其局限性也是明显的：牺牲了系统的用户体验，首先，Ukey需要随身携带，并且要妥善保管好；另外，因为需要对硬件Ukey进行识别，往往对系统环境有特定的要求，而且一般需要单独安装驱动，所以对客户端的兼容性是个问题。
针对企业服务还存在如下问题，在一个大型企业、公司、事业单位、政府部门中的多个信息应用系统，并不是每个应用都需要数字证书认证的，而对身份及其敏感的业务，如资金转账系统，则必须使用数字证书。即使是同一个系统，对不同的角色而言，对证书的要求也是不一样的，如医疗系统中，患者使用口令登录，而医生使用数字证书认证身份。
多因子身份认证能力是友户通的单点登录系统的高安全性突出体现。多因子身份认证是在传统口令认证的基础上，支持UKey数字证书认证、人脸登录、动态密码等多种认证，对认证的安全性的强化，并支持针对不同应用系统，不同的用户，设置不同的认证因子组合策略。例如，对于普通安全级别的系统，可以只用口令认证，可以保持单点会话，无需多次登录。而访问高级别要求的系统时，则提示补充更多的认证因子。这样，既保持了单点登录的优点，又保证了系统的安全性。支持绑定手机作为身份认证设备，充分利用移动设备的便携性、边缘计算能力和生物特征智能识别能力，实现安全、方便的多因子身份认证。
多因子认证流程示意图
3.友户通方案的技术总结
1.统一账户体系，一个账号访问所有的应用系统。单点登录，访问其它应用时无需再次登录，显著提高了办公效率。
2.提供基于 Web 的用户自助服务设施，以使用户能够执行应用程序注册、密码恢复和密码重置等服务。
3.全面的单点登录解决方案，Web单点登录，第三方认证中心单点登录和企业单点登录、移动单点登录可运行在同一后台。
4.内置多步骤、多因素强认证，提高单点登录安全性， 实现多因素高安全身份认证和管理，满足企业信息安全制度要求。
4.友户通的应用案例
支持了大量的基于云的应用程序的 SaaS应用，包括友云采、友报账、友人才等几十个用友云应用以及生态伙伴应用。