企业门户应用整合中单点登录的实现和应用.docx

《企业门户应用整合中单点登录的实现和应用.docx》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、企业门户应用整合中单点登录(SSO)的技术实现与应用作者：    时间：2009-06-21    来源:        1引言企业在信息化建设过程中，由于经常采用逐步信息化的方式，因此会造成企业内部各个应用系统的用户目录不完全兼容，各应用系统相互孤立，形成“信息孤岛”。信息孤岛的存在，使得信息系统用户需要做重复的登录。因此实际中，需要一个统一的用户登录管理系统平台，来实现用户统一身份验证。用户登录到某一应用系统(通常是门户站点，如办公自动化系统)后，当需要访问其他应用系统时，不必登录就可以直接进入应用系统。单点登录系统平台采用统一的用户信息数据库，实现用户统一

2、验证。从用户的角度只需进行一次登录就可实现全局访问；从管理员的角度，能够记录用户登录各个系统的日志信息，方便进行统计分析。2单点登录的实现原理2.1单点登录的一般模型单点登录模型，一般由三部分构成，分别是：用户、身份提供者和服务提供者，如图1所示。(1)用户是指通过浏览器来使用应用服务的个体。(2)身份提供者是指对个体进行身份验证的服务提供者。(3)服务提供者是指为用户进行应用服务的具体应用服务提供者。单点登录的工作原理是：用户首先在身份提供者那里注册身份；当用户进行单点登录时，在身份提供者处登录，进行身份验证，由身份提供者为用户标记登录信息；当访问其他的服务提

3、供者时，被访问的服务提供者首先直接与身份提供者进行交互，确定该用户是否已进行单点登录，从而确定允许该用户来访问自己提供的服务。2.2单点登录的重要概念2.2.1单点登录点理想的情况是用户通过任何应用系统都能进行SSO(SingleSign-on)，这对于基于Web的系统是可行的。这种单一的登录点在整个系统的设计中是惟一认证用户的地方，由登录点将SSOtoken(单点登录标志)(针对不同的C／S，B／S应用可能还需要传递用户名，口令)传递给应用系统，应用系统利用SSOtoken进行用户已认证的验证。将这个单一的登录点称为SSOEntry(单点登录点)。2.2.2对

4、原有应用系统的修改并不是任何系统都能够使用SSO，只有那些符合SSO规范，使用SSOAPI的应用系统才具有SSO的功能。因此，进行单点登录，需要修改已有的应用系统，屏蔽已有的应用系统的用户认证模块，使用单点登录系统提供的SSOAPI来验证用户，以及对用户的操作进行授权。2.2.3建立统一的认证权限信息库建立统一的认证，权限存放库，进行认证与授权管理，将系统的认证、授权信息存贮结构与访问控制逻辑和应用的业务逻辑进行分离，使它们之间成为一种松散的耦合，便于系统的灵活管理。2.3单点登录的工作流程单点登录有三个主体：使用Web浏览器的用户、服务提供者和登录服务器。登录

5、服务器保存着用户的认证信息以及用户的个人信息，服务提供者在得到用户允许的前提下可以到登录服务器上获取用户个人信息。单点登录协议流程如图2所示。首先，当一个用户通过浏览器访问一个服务提供者时，如果该服务提供者需要验证用户的身份，就把该用户的浏览器重定向到登录服务器；登录服务器通过SSL连接为用户提供一个登录页面，用户进行登入；用户登录服务器后，被重定向回服务提供者，此时认证信息被包含在重定向消息中；服务提供者检验认证信息的真实性后，即可认为该用户成功登录。3单点登录系统的体系结构单点登录系统平台主要由系统平台管理模块、应用系统代理模块、数据库三部分组成。3.1管理

6、模块单点登录系统平台的管理模块主要实现各种服务，主要包括：会话管理服务，日志审计服务，身份验证服务，授权服务。会话管理服务单点登录系统平台的基础服务。用户登录单点登录的门户站点后，会话状态通过会话管理服务来管理，实现单点登录；日志审计服务单点登录系统平台的辅助服务。日志审计实现对用户使用单点登录系统平台的详细日志，日志信息包括：登录时间、登录用户身份、登录应用系统、登录时使用的客户机IP地址和MAC地址等；身份验证服务单点登录系统平台的扩展服务，实现对用户身份的验证。身份验证的方式可以多样，不同的应用环境可能采用不同的验证方式，单点登录系统平台能够方便地与现有的

7、身份验证方式兼容，也能进行扩展；授权服务单点登录的扩展服务，能够实现对某些应用系统的授权。不同的用户对同一应用系统的访问权限是不同的，在单点登录系统平台上，可以实现系统级的授权。3.2数据库模块单点登录系统平台的数据库模块主要存储单点登录时的各种数据，主要包括：用户目录数据库、登录日志数据库等。用户目录数据库系统平台使用统一的用户目录数据库，集中进行管理。各个应用系统进行身份验证时，都使用这个集中的数据库。登录日志数据库系统平台能够对用户的身份验证行为进行日志记录，随时把握“何人何时以何种方式访问何种应用系统”。3.3应用系统代理模块目前应用系统代理模块与单点登

8、录系统平台进行通信，实现