SSO單點(diǎn)登錄概要設(shè)計(jì)說明書

通用權(quán)限管理概要設(shè)計(jì)說明書V1.0?版權(quán)所有?第11頁共13頁SSO單點(diǎn)登錄概要設(shè)計(jì)說明書SSO單點(diǎn)登錄概要設(shè)計(jì)說明書V1.0

日期版本號(hào)修訂說明修訂人審核人批準(zhǔn)人2011-5-191.0創(chuàng)建孫俊虎

目錄1. 引言 31.1編寫目的 31.1.1描述 31.1.2存在的問題 31.1.3解決技術(shù) 31.2背景 31.3術(shù)語 31.4預(yù)期讀者與閱讀建議 31.5CAS運(yùn)行原理 32. 總體設(shè)計(jì) 42.1設(shè)計(jì)目標(biāo) 42.2運(yùn)行環(huán)境 52.3網(wǎng)絡(luò)結(jié)構(gòu) 52.4總體設(shè)計(jì)思路和處理流程 52.5對(duì)象關(guān)系圖 52.6系統(tǒng)約定 52.7模塊結(jié)構(gòu)設(shè)計(jì) 52.8尚未解決的問題 73. 接口設(shè)計(jì)（暫略） 73.1用戶接口（暫略） 73.2外部接口（暫略） 73.3內(nèi)部接口（暫略） 74. 界面總體設(shè)計(jì) 7

隨著信息化進(jìn)一步發(fā)展和企業(yè)的業(yè)務(wù)運(yùn)營需要，企業(yè)內(nèi)部的應(yīng)用系統(tǒng)越來越多。這些系統(tǒng)往往有著獨(dú)立的用戶認(rèn)證模塊和機(jī)制，用戶不得不記住每一個(gè)系統(tǒng)的登錄帳號(hào)和密碼，在使用不同的系統(tǒng)時(shí)，必須重復(fù)登錄，給用戶的使用造成諸多不便。針對(duì)這種情況，單點(diǎn)登錄(SingleSignOn)[1]模型應(yīng)運(yùn)而生，同時(shí)不斷地應(yīng)用到企業(yè)的業(yè)務(wù)系統(tǒng)中。在單點(diǎn)登錄系統(tǒng)中，用戶只需在登錄時(shí)提供一次用戶認(rèn)證信息，通過認(rèn)證以后，在訪問企業(yè)門戶中的各個(gè)子系統(tǒng)時(shí)無需再重復(fù)登錄。在單點(diǎn)登錄系統(tǒng)的實(shí)現(xiàn)過程中，往往會(huì)碰到如下問題：1)企業(yè)現(xiàn)有的各個(gè)應(yīng)用系統(tǒng)間相互獨(dú)立或者通信狀況是混亂的，對(duì)外接口也不同，這給應(yīng)用系統(tǒng)的集成帶來了極大困難。2)同一個(gè)用戶，擁有多個(gè)應(yīng)用系統(tǒng)的訪問憑證，使用戶信息難以統(tǒng)一管理。3)Cookie不能跨域的限制也使實(shí)現(xiàn)各個(gè)應(yīng)用系統(tǒng)之間Cookie共享成為一個(gè)難題。本文介紹的基于CAS協(xié)議，采用用戶映射機(jī)制設(shè)計(jì)的單點(diǎn)登錄方案，能很好的解決這些問題。軟件系統(tǒng)的名稱：SSO單點(diǎn)登錄系統(tǒng)；對(duì)企業(yè)已有的或要建設(shè)的系統(tǒng)進(jìn)行單點(diǎn)登錄整合。本系統(tǒng)：SSO單點(diǎn)登錄系統(tǒng)；預(yù)期讀者閱讀重點(diǎn)系統(tǒng)設(shè)計(jì)者CAS原理，自定義實(shí)現(xiàn)身份認(rèn)證，方案設(shè)計(jì)我們以A公司的員工日志管理系統(tǒng)為例：a.傳統(tǒng)的用戶認(rèn)證流程b.使用CAS后的用戶認(rèn)證流程示意圖中，CAS相關(guān)部分被標(biāo)示為藍(lán)色。在這個(gè)流程中，員工AT向日志系統(tǒng)請(qǐng)求進(jìn)入主頁面，他的瀏覽器發(fā)出的HTTP請(qǐng)求被嵌入在日志系統(tǒng)中的CAS客戶端（HTTP過濾器）攔截，并判斷該請(qǐng)求是否帶有CAS的證書；如果沒有，員工AT將被定位到CAS的統(tǒng)一用戶登錄界面進(jìn)行登錄認(rèn)證，成功后，CAS將自動(dòng)引導(dǎo)AT返回日志系統(tǒng)的主頁面。a.實(shí)現(xiàn)一個(gè)易用的、能跨不同Web應(yīng)用的單點(diǎn)登錄認(rèn)證中心；b.實(shí)現(xiàn)統(tǒng)一的用戶身份和密鑰管理，減少多套密碼系統(tǒng)造成的管理成本和安全漏洞；c.降低認(rèn)證模塊在IT系統(tǒng)設(shè)計(jì)中的耦合度，提供更好的SOA設(shè)計(jì)和更彈性的安全策略。 通常，企業(yè)應(yīng)用程序基于瀏覽器的B/S模式，這種情況下，系統(tǒng)的用戶憑證（一個(gè)由CAS服務(wù)器生成的唯一id號(hào)，也稱之為ticket）借助cookie和URL參數(shù)方式實(shí)現(xiàn)；在B/S環(huán)境中，大多情況下，我們只需要配置CASFilter或者使用CASTagLibrary就可以輕松實(shí)現(xiàn)的驗(yàn)證客戶