xxxx集团
单点登录技术方案
目录
1. xxxx集团系统建设现状 (3)
1.1. Web应用系统 (3)
1.2. C/S应用系统 (4)
1.3. SSL VPN系统 (4)
2. xxxx集团单点登录系统需求 (5)
2.1. 一站式登录需求 (5)
3. SSO（单点登录）技术简介 (6)
3.1. 修改应用程序SSO方案 (6)
3.2. 即插即用SSO方案 (7)
3.3. 两种SSO方案比较 (7)
3.4. 惠普SSO (8)
3.4.1. 惠普SSO开发背景 (8)
3.4.2. 惠普SSO的功能 (8)
3.4.3. 惠普SSO的特点 (10)
3.4.4. 惠普SSO结构 (11)
4. xxxx集团单点登录技术方案 (12)
4.1. 应用系统中部署惠普SSO单点登录 (12)
4.1.1. 解决全局的单点登录 (13)
4.1.2. 应用系统的整合 (14)
4.1.3. 用户如何过渡到使用单点登录 (15)
4.1.4. 管理员部署业务系统单点登录功能 (15)
4.1.5. 建立高扩展、高容错单点登录环境 (17)
4.1.6. 建立稳定、安全、高速网络环境 (17)
4.2. 定制工作 (18)
4.2.1. SSL VPN结合 (18)
4.2.2. 密码同步 (18)
5. 项目实施进度 (19)
5.1. 基本安装配置 (19)
5.2. 配置认证脚本 (19)
5.3. 总体进度 (20)
6. 硬件清单 (21)
7. 软件清单 (22)
1.xxxx集团系统建设现状
xxxx集团有限责任公司（以下简称集团公司）管理和运营省内11个民用机场，以及20多个关联企业（全资子公司、控股企业、参股企业）。现有的信息系统主要有生产运营系统和管理信息系统，其中生产运营系统包括机场生产运营管理系统、中小机场生产运营管理系统、离港系统、航显系统、广播系统、安检信息管理系统、控制区证件管理系统等，管理信息系统主要有财务系统、OA系统、邮件系统、资产管理系统、决策支持系统、网站信息发布审批系统、视频点播系统等。这些信息系统的用户包括集团公司所有机场以及关联企业。
各信息系统都有独立的用户组织体系，采用“用户名+密码”的方式来实现身份认证和授权访问。从而与众多企业一样存在如下一些主要问题：1、终端用户需要记住多个用户名和密码；2、终端用户需要登录不同的信息系统以获取信息；3、系统管理员难以应付对用户的管理；4、难以实施系统使用安全方面的管理措施。
1.1. Web应用系统
xxxx集团现有的Web应用系统包括：办公自动化系统（OA）、邮件系统、资产管理系统、内部网站信息发布审批系统、决策支持系统、视频点播系统等。这些系统基本上是各自独立开发的、或者购买的商业软件。每个应用系统都有自己的用户管理机制和用户认证机制，彼此独立。每个应用系统用户名、口令可能各不相同。
1.2. C/S应用系统
xxxx集团目前的C/S应用只有一个：财务系统，金蝶K3财务系统。
1.3. SSL VPN系统
xxxx集团有一套SSL VPN系统，集团局域网之外的用户（包括各地州机场、部分关联企业、用户自己家住房、出差旅馆、无线上网等）是通过SSL VPN系统进入集团局域网的，通过SSL VPN系统进入集团局域网访问的系统包括：OA系统、邮件系统、资产管理系统、决策支持系统、网站信息发布审批系统及内部网站等。用户经过SSL VPN系统进入集团局域网需要经过身份认证。
2.xxxx集团单点登录系统需求
现在信息系统建设的重要内容之一是信息门户建设，利用门户集成技术建立一个完整有效的内部信息门户，通过提供资源的管理和应用开发的支撑功能，把各业务系统的不同功能有效地组织起来，给用户提供一个统一的信息服务功能入口，集成现有的业务系统信息资源，减少信息孤岛的存在并降低重复投资，为用户提供更加完善的信息服务。
2.1. 一站式登录需求
由于目前各应用系统独立设计、自成体系，不同系统采用不同的用户管理机制，所以进入每个应用系统均需独立的认证和登录，导致用户使用麻烦，无法体现以用户为中心的服务理念，无法给用户提供简单、方便、快捷、使用的信息服务。
xxxx集团要实现为各类专业应用系统（办公自动化系统、企业邮件系统、资产管理系统等）提供应用集成，必须首先解决各系统互联互通，资源共享需求所带来的统一身份认证需要。
应根据“统一规划，分步实施”，“需求主导，共建共享”，“先进实用，开放扩展”，“统一标准，保障安全”的四个指导原则，先期在信息系统中提供先进安全可靠的、符合国际标准的、高性能大规模的单点登录整体解决方案（“一站式登录Single Sign-On，SSO）”，以降低用户和密码管理成本，提高安全性，并提高用户的系统使用效率，为各系统的无缝集成打下坚实的基础。
3.SSO（单点登录）技术简介
SSO就是通过一次登录自动访问所有授权的应用系统，从而提高整体安全性，而且用户无需记录多种登录过程、ID或口令。需要部署SSO的原因：
◆口令越多，安全风险越大
◆需要简化用户访问
◆需要简化用户帐号和口令的系统管理
◆使用单点登录可以集中地提高整个系统的安全性
◆为企业提供统一的、集中的信息资源管理手段
◆提高应用系统数据信息的安全从而保护企业核心财产
目前单点登录技术主要分为两类，分别修改应用程序SSO技术方案和不修改应用程序SSO技术方案（即插即用）。
3.1. 修改应用程序SSO方案
在这种方案中，SSO解决方案包括的组件为：认证服务器、各种API（Java、C/C++、.Net、JSP、ASP、PHP等）、各种代理Agent。这种解决方案需要用户改造以前的应用系统，采用方案提供的API或Agent对应用系统进行修改。改变原有应用系统的认证方式、采用认证服务器提供的技术进行身份认证。这种解决方案，一般要求用户先统一所有应用系统的用户数据库。把用户的信息统一后，才可实现单点登录功能。
在修改应用的技术方案中，每个应用服务器中都需要安装一个代理程序完成用户的身份认证工作。当用户访问目标应用服务器时，代理程序向SSO服务器询问该用户是否已经登录，如果是，则代理程序从SSO服务器中取得该用户的用户信息自动登录该应用系统。登录成功后，用户直接访问该目标服务器。如果未曾
登录过任何应用服务器，则该应用要求用户进行身份认证，认证结束后，代理程序将认证结果发送给SSO服务器。
这种方案的优点是不用在单点登录服务器上保存各个应用系统的用户名/口令信息。
3.2. 即插即用SSO方案
即插即用解决方案，不需要用户修改应用程序。即插即用解决方案包括的组件为：认证服务器、SSO客户端或浏览器控件（C/S结构的应用需要，B/S应用不需要）。这种解决方案在认证服务器上保存用户所有应用系统的用户名/口令信息列表。针对每个应用系统，在这种方案中都有一个对应的配置文件，这个配置用来代理用户登录应用系统。
即插即用解决方案工作的基本原理：首先针对每个应用系统进行配置，产生一个配置文件；用户登录到单点登录服务器上；用户访问应用系统时，单点登录服务器调用对应于该应用的配置文件，将对应该应用的用户认证信息（用户名/口令）取出，代理用户登录应用系统；登录成功后，用户可以访问应用系统。
这种方案的特点是在单点登录服务器上保留各个应用的用户名/口令信息对应列表。
3.3. 两种SSO方案比较
修改应用系统的SSO方案和即插即用SSO方案各有优缺点，先比较如下：
表3.1 两种SSO方案比较
3.4. 惠普SSO
3.4.1.惠普SSO开发背景
近年来，随着信息化进一步发展，企业的应用系统越来越多。部署这些应用面临双重的安全挑战。首先，必须保证只有合法的用户才能访问相应的应用资源。其次，实施安全保护措施时应尽量避免增加用户的负担。随着业务系统的增加，每个用户需要记住多个口令，访问不同的应用系统采用不同的口令。这虽然能够保证用户对应用资源的合法访问，但增加了用户的负担。一方面，为了方便记忆，用户会采用简单的口令或将口令记录下来，这大大降低了应用系统的安全性；另一方面，用户每访问一个应用资源都需要登录一次，这大大降低了工作效率。惠普SSO应用软件系统正是在这种背景下开发的。
3.4.2.惠普SSO的功能
通过组合简单的访问控制和SSO功能，惠普SSO为客户提供一个即插即用的SSO解决方案。用户无须修改应用系统（包括WEB应用系统和C/S结构应用系统），自由选择前置代理和后置代理或组合使用方式。只需简单的配置，即可使用SSO 应用功能。惠普SSO系统主要功能包括：
单点登录：用户只需登录一次，即可通过单点登录系统（SSO）访问后台的多个应用系统，无需重新登录后台的各个应用系统。后台应用系统
的用户名和口令可以各不相同，并且实现单点登录时，后台应用系统无需任何修改。
◆即插即用：通过简单的配置，无须用户修改任何现有B/S、C/S应用系统，
即可使用。解决了当前其他SSO解决方案实施困难的难题。
◆多样的身份认证机制：同时支持基于PKI/CA数字证书和用户名/口令身
份认证方式，可单独使用也可组合使用；
◆可无缝集成Windows域认证模式，登录的域用户访问惠普SSO服务器
无须再次身份认证；
◆基于角色访问控制：根据用户的角色和URL实现访问控制功能
◆基于Web界面管理：系统所有管理功能都通过Web方式实现。网络管
理人员和系统管理员可以通过浏览器在任何地方进行远程访问管理。此外，可以使用HTTPS安全地进行管理。
◆全面的日志审计：精确地记录用户的日志，可按日期、地址、用户、资
源等信息对日志进行查询、统计和分析。审计结果通过Web界面以图表的形式展现给管理员。
◆双机热备：通过双机热备功能，提高系统的可用性，满足企业级用户的
需求。
◆集群：通过集群功能，为企业提供高效、可靠的SSO服务。可实现分布
式部署，提供灵活的解决方案。
◆传输加密：支持多种对称和非对称加密算法，保证用户信息在传输过程
中不被窃取和篡改。
◆防火墙：基于状态检测技术，支持NAT。主要用于加强SSO本身的安全，
也适用于网络性能要求不高的场合，以减少投资。
◆分布式安装：对物理上不在一个区域的网络应用服务器可以进行分布式
部署SSO系统
◆后台用户数据库支持：LDAP、Oracle、DB2、Win2k ADS、Sybase等。
可以无缝集成现有的应用系统的统一用户数据库作为SSO应用软件系统的用户数据库。
◆领先的C/S单点登录解决方案：无需修改任何现有的应用系统服务端和
客户端即可实现C/S单点登录系统。
3.4.3.惠普SSO的特点
同其他SSO产品相比，惠普SSO具有如下特点：
◆即插即用：惠普SSO以完全独立于应用系统的方式工作，应用系统完全
感觉不到惠普SSO的存在。
◆高可扩展性：企业新部署应用系统通过简单的配置即可纳入SSO系统。
◆应用无关性：同应用系统的平台、开发环境、结构、编程语言以及脚本
无关。支持所有的TCP/IP协议的应用环境，能够满足各种Web应用开
发环境。
◆无客户端化：通过配置，对于C/S的应用，可以通过插件的方式来实现
单点登录，无需安装惠普单点登录客户端。
◆满足企业级应用的需求：通过双机热备、集群等功能解决大型企业对应
用系统高可靠性和高带宽需求。
◆用户认证信息多样化：支持Web的BA和Form认证方式，Web应用系
统的用户名口令可各不相同，支持数字证书认证、支持用户已有的用户
数据库等。通过定制开发也可支持动态口令等认证方式。
3.4.4.惠普SSO结构
C/S用户数据库
图3.1 惠普SSO体系结构
4.xxxx集团单点登录技术方案
4.1. 应用系统中部署惠普SSO单点登录
xxxx集团的单点登录需求特点是：已经实现了多个应用系统，而且为异构系统（不同的平台上，使用不同的应用服务器建立不同的业务系统），没有独立的单点登录门户。单点登录系统想作为企业的门户使用。在单点登录技术领域，惠普抛弃了系统综合集成、应用大包大揽的整合、以及异构系统异构解决（插件方式）等实现方法。而是将重点放在已有应用系统的单点登录的无缝集成上，着重实现具有“即插即用”、“应用无关”、“不知不觉中的单点登录”等功能。
为了更好的保护已有投资，使单点登录系统具有更好的扩展性。在xxxx集团应用系统的单点登录规划中我们推荐惠普SSO单点登录产品。
下面各个章节里将详细描述惠普SSO单点登录系统如何无缝解决企业的单点登录需求。
4.1.1.解决全局的单点登录
图4.1 xxxx集团部署单点登录系统网络结构图
上图为xxxx集团部署惠普SSO单点登录系统的示意图，为了保证系统高可用性，可采取SSO系统的双机热备部署方案。部署完成后，xxxx集团用户登录业务系统将不在面临分散式登录方式，用户只需登录惠普SSO系统一次即可。用户在访问某个业务系统时，惠普SSO单点登录系统会截获用户信息，并对用户进行安全可靠的身份认证（登录SSO服务器，只需一次），登录成功后（假定用户身份正确）用户再使用其他业务系统时将不再需要身份认证，惠普SSO单点登录系统会自动代理该用户完成必要的认证过程，并且确保该用户的正确性、合法性和安全性。
4.1.2.应用系统的整合
在提供SSO单点登录方案时，应尽量避免修改原有的应用系统，不要修改应用系统结构和设计。
对Web应用，惠普SSO同应用系统的操作系统平台、应用开发平台、开发语言、开发脚本、Web服务器和应用服务器的类型完全无关。这样可以确保惠普SSO 系统支持所有的Web应用系统。
对于C/S结构的应用，采用惠普SSO的单点登录客户端或浏览器插件，可以方便的实现C/S结构应用系统的单点登录功能，无需用户修改应用程序。以透明的方式实现，达到“不知不觉”地实现单点登录的功效。
惠普SSO最大限度地避免用户修改已有的应用系统，为项目的顺利实施提供了可靠的保证。一方面，因无需定制开发，修改应用程序，避免了部门协调的麻烦；另一方面，可以在短时间内完成项目的部署，避免因实施周期长带来的不必要的麻烦。
图4.2 单点登录主页面
根据xxxx集团的实际需求，对于C/S的应用我们建议用户采用浏览器插件的方式进行管理。采用浏览器插件的用户不需要安装客户端，使用比较方便。上图是默认配置下，用户登录到惠普SSO服务器后显示的页面。点击主页面上的所有应用，用户都可以直接进入该系统，不需要用户再次输入密码。
4.1.3.用户如何过渡到使用单点登录
部署惠普SSO单点登录系统应用后，企业用户访问和使用原有的业务系统时，其使用方式不进行任何变动，这主要是惠普SSO单点登录系统使用了透明转发技术，也就是说，单点登录系统的使用在用户看来是透明的。
其中企业用户能看到的变化如下：
●一次性登录到SSO服务器后，访问任何业务系统不用进行身份认证；
●企业用户需要在SSO服务器上维护自己用户名/口令列表。每个用户维
护自己的列表，管理员无法干预，也无需干预。
4.1.4.管理员部署业务系统单点登录功能
系统管理员通过管理控制台对单点登录系统进行管理。惠普SSO单点登录系统自身携带图形化的基于Web界面的管理控制台，通过Web界面管理单点登录系统。惠普SSO无需配置修改其他业务系统，最大化的减少了同各个业务系统管理部门之间的协调工作，保证项目的顺利部署。其管理界面如下：
图3.2 管理控制台截图
每个需要单点登录的业务系统在惠普SSO单点登录系统中都需要进行配置，主要配置内容包括：
●网络地址，子网掩码等等相关信息进行配置
●业务系统名称
●业务系统IP
●业务系统开放的端口
●用户管理
●用户授权
这些配置完成后用户即可使用单点登录，针对单点登录的管理配置相当简单、明确。在配置和使用开始后，管理员的管理工作变得非常少，只剩下用户管理和日志查询审计工作，对用户的管理包括增、删、改等，而日志审计有非常直观的图形化界面可用，其截图如下：
图3.3 惠普SSO单点登录系统日志报表截图
日志审计部分是全局统一审计的，图形化报表审计日志对管理员非常直观外，企业决策层进行系统分析和数据采样也是非常适合的。
4.1.
5.建立高扩展、高容错单点登录环境
惠普SSO单点登录系统无需修改应用程序，因此新上线的应用系统，通过配置即可纳入单点登录系统。系统具有良好的扩展性。
惠普SSO单点登录系统不修改应用系统，采用旁路工资模式。因此，当单点登录系统出现故障时，除了无法使用单点登录功能外，不影响原有业务系统的正常运行，保证了系统的高容错功能。这是同修改应用程序实现单点登录功能解决方案的一个重要区别。采用修改应用程序的方法，一旦单点登录系统出现问题，整个业务系统也会受到影响，可能无法正常工作。
4.1.6.建立稳定、安全、高速网络环境
在企业的业务系统中增加单点登录系统后首要的问题是要稳定、安全、高速，
然后在这个基础上进行单点登录。
惠普SSO单点登录系统采用双机热备、集群技术，这些技术保证SSO服务器不会影响业务系统的数据处理，可以适应任何流量压力下的正常数据传输。
安全方面，惠普SSO单点登录系统采用专用内核，并且自身携带安全的防火墙模块，保证单点登录系统自身安全性和稳定性。
4.2. 定制工作
4.2.1.SSL VPN结合
xxxx集团有一套SSL VPN系统，采用的艾克斯通的SSL VPN系统。惠普SSO 系统可以和艾克斯通SSL VPN无缝集成。通过配置，用户登SSL VPN后访问惠普SSO系统，无须再次输入密码。
移动办公用户的最终感觉是：登录SSL VPN，输入一次口令，然后访问其他应用系统时，无须再输入口令。
4.2.2.密码同步
xxxx集团现有一个基于LDAP用户数据库，现有的Web应用系统（OA、资产管理、企业邮件、网站发布、决策支持）和SSL VPN都使用该数据库。有的直接使用，有的同步使用。同步使用时出现同步周期太长问题。为了解决这个问题，通过定制，用户以后修改口令，统一经过惠普SSO进行修改，由惠普SSO将修改后的口令同步到各个应用系统中。
5.项目实施进度
5.1. 基本安装配置
惠普SSO安装需要一台专用服务器（裸机）。惠普SSO系统是自成体系的系统，自带操作系统、数据库。
安装完毕后，首先进行SSO系统基本参数配置，包括：
●IP地址
●默认路由
●域名服务器
5.2. 配置认证脚本
每个需要单点登录的业务系统在惠普SSO单点登录系统中需要进行配置，主要配置内容包括：
●业务系统名称
●业务系统IP或域名
●业务系统使用的端口
●配置业务系统认证脚本
这些配置完成后，用户即可使用认证脚本完成该业务系统的单点登录功能。
5.3. 总体进度
xxxx集团的网络应用相对比较规范，按照平均一天2－3个应用系统的实施速度，应用系统实施大概需要2天时间；对管理员需要1天管理培训；如果需要定制显示首页面，需要1天时间；集成SSL VPN需要1天时间。总共需要5天时间。
基础支撑平台
第一章统一身份认证平台 一、概述 建设方案单点登录系统采用基于Liberty规范的单点登录ID-SSO系统平台实现，为数字化校园平台用户提供安全的一站式登录认证服务。为平台用户以下主要功能： 为平台用户提供“一点认证，全网通行”和“一点退出，整体退出”的安全一站式登录方便快捷的服务，同时不影响平台用户正常业务系统使用。用户一次性身份认证之后，就可以享受所有授权范围内的服务，包括无缝的身份联盟、自动跨域、跨系统访问、整体退出等。 提供多种以及多级别的认证方式，包括支持用户名/密码认证、数字证书认证、动态口令认证等等，并且通过系统标准的可扩展认证接口（如支持JAAS），可以方便灵活地扩展以支持第三方认证，包括有登录界面的第三方认证，和无登录界面的第三方认证。 系统遵循自由联盟规范的Liberty Alliance Web-Based Authentication 标准和OASIS SAML规则，系统优点在于让高校不用淘汰现有的系统，无须进行用户信息数据大集中，便能够与其无缝集成，实现单点登录从而建立一个联盟化的网络，并且具有与未来的系统的高兼容性和互操作性，为信息化平台用户带来更加方便、稳定、安全与灵活的网络环境。 单点登录场景如下图所示：
一次登录认证、自由访问授权范围内的服务 单点登录的应用，减轻了用户记住各种账号和密码的负担。通过单点登录，用户可以跨域访问各种授权的资源，为用户提供更有效的、更友好的服务；一次性认证减少了用户认证信息网络传输的频率，降低了被盗的可能性，提高了系统的整体安全性。 同时，基于联盟化单点登录系统具有标准化、开放性、良好的扩展性等优点，部署方便快捷。 二、系统技术规范 单点登录平台是基于国际联盟Liberty规范（简称“LA”）的联盟化单点登录统一认证平台。 Liberty规范是国际170多家政府结构、IT公司、大学组成的国际联盟组织针对Web 单点登录的问题提供了一套公开的、统一的身份联盟框架，为客户释放了使用专用系统、不兼容而且不向后兼容的协议的包袱。通过使用统一而又公开的 Liberty 规范，客户不再需要为部署多种专用系统和支持多种协议的集成复杂度和高成本而伤脑筋。 Liberty规范的联盟化单点登录SSO（Single Sign On）系统有以下特点： (1). 可以将现有的多种Web应用系统联盟起来，同时保障系统的独立性，提供单点 登录服务；
第20卷哈尔滨师范大学自然科学学报 Vol.20,No.12004 第1期 NATURAL SCIENCES JOURNAL OF HARBIN NORMAL UNIVERSITY 一个Web 应用单点登录系统的设计和实现 陈重威 (上海市静安区业余大学) 摘要 作者在分析借鉴三种Web 单点登录产品和技术的基础上,设计并实现了一个Web 单点登录系统,该系统适用于企业内部Intranet 应用环境,可以跨多个In ternet 域,可以支持常见的几种操作系统和Web 应用服务器.本文介绍了此系统的设计思路和关键技术,并给出了部分关键代码. 关键词:Web;HTTP;单点登录;身份验证 收稿日期:2003-12-28 陈重威,(1948-),男,上海静安区业余大学计算机系副教授,主要研究方向:计算机网络、数据库 0 引言 经过多年的建设,我国企业中建立起来了一些基于Web 的应用系统,这些系统运行在多种操作系统和应用服务器上面,由不同的技术人员在不同的时期采用不同的技术建立,采用多种相互独立的用户管理、身份验证系统.在当前企业有限的经费预算条件下,如何使用户可以只登录企业信息系统一次就可以访问到企业中多种Web 应用一直是一种挑战.本文在分析三种具有代表性的Web 应用单点登录系统的基础上,针对中小型企业对Web 应用单点登录的要求、其Intranet 环境的特点,给出一个适应于中小型企业Intranet 内常见Web 应用的单点登录系统的设计框架及基于J2EE 的系统实现要点. 1 用户要求和现有产品 1 1 用户环境和要求 企业中基于Web 的应用系统种类繁多,有基于微软Internet Information Server 的运行在Windows 平台上的信息系统,有基于J2EE 应用服务器平台 的业务系统,有基于Lotus Domino 的办公自动化 系统,也有SAP 、ORAC LE 那样的ERP 系统或者财 务系统,这些系统各有各的用户数据库(关系型数据库、Domino 文档数据库、LDAP 服务器等).企业员工在不同应用系统中有不同的帐户!!!用户名和口令,他们需要牢记这些帐户.企业员工特别希望只登录一次就可以透明地访问其他各种应用系统,不再需要在各种应用系统的登录页面中多次输入不同的用户名和口令. 从用户的角度看,Web 应用单点登录系统的使用方法如下: 1 用户访问Web 单点登录系统,服务器返回登录页面,提示用户输入用户名和口令等认证信息; 2 用户登录系统,登录系统返回一个该用户有权访问的应用的列表; 3 自此以后,用户访问其他应用的时候,在用户看来,他不必进行身份验证就可以访问其他Web 应用了; 4 当用户退出一个应用系统,而没有退出?单点登录系统#,他仍然可以访问其他没有退出登录的应用系统.
xxxx集团 单点登录技术方案
目录 1. xxxx集团系统建设现状 (4) 1.1. Web应用系统 (4) 1.2. C/S应用系统 (4) 1.3. SSL VPN系统 (4) 2. xxxx集团单点登录系统需求 (5) 2.1. 一站式登录需求 (5) 3. SSO（单点登录）技术简介 (6) 3.1. 修改应用程序SSO方案 (6) 3.2. 即插即用SSO方案 (7) 3.3. 两种SSO方案比较 (7) 3.4. 惠普SSO (7) 3.4.1. 惠普SSO开发背景 (7) 3.4.2. 惠普SSO的功能 (8) 3.4.3. 惠普SSO的特点 (9) 3.4.4. 惠普SSO结构 (10) 4. xxxx集团单点登录技术方案 (11) 4.1. 应用系统中部署惠普SSO单点登录 (11) 4.1.1. 解决全局的单点登录 (12) 4.1.2. 应用系统的整合 (12) 4.1.3. 用户如何过渡到使用单点登录 (13) 4.1.4. 管理员部署业务系统单点登录功能 (14) 4.1.5. 建立高扩展、高容错单点登录环境 (15) 4.1.6. 建立稳定、安全、高速网络环境 (15) 4.2. 定制工作 (16) 4.2.1. SSL VPN结合 (16)
4.2.2. 密码同步 (16) 5. 项目实施进度 (17) 5.1. 基本安装配置 (17) 5.2. 配置认证脚本 (17) 5.3. 总体进度 (17) 6. 硬件清单 (19) 7. 软件清单 (20)
1.xxxx集团系统建设现状 xxxx集团有限责任公司（以下简称集团公司）管理和运营省内11个民用机场，以及20多个关联企业（全资子公司、控股企业、参股企业）。现有的信息系统主要有生产运营系统和管理信息系统，其中生产运营系统包括机场生产运营管理系统、中小机场生产运营管理系统、离港系统、航显系统、广播系统、安检信息管理系统、控制区证件管理系统等，管理信息系统主要有财务系统、OA 系统、邮件系统、资产管理系统、决策支持系统、网站信息发布审批系统、视频点播系统等。这些信息系统的用户包括集团公司所有机场以及关联企业。 各信息系统都有独立的用户组织体系，采用“用户名+密码”的方式来实现身份认证和授权访问。从而与众多企业一样存在如下一些主要问题：1、终端用户需要记住多个用户名和密码；2、终端用户需要登录不同的信息系统以获取信息；3、系统管理员难以应付对用户的管理；4、难以实施系统使用安全方面的管理措施。 1.1.Web应用系统 xxxx集团现有的Web应用系统包括：办公自动化系统（OA）、邮件系统、资产管理系统、内部网站信息发布审批系统、决策支持系统、视频点播系统等。这些系统基本上是各自独立开发的、或者购买的商业软件。每个应用系统都有自己的用户管理机制和用户认证机制，彼此独立。每个应用系统用户名、口令可能各不相同。 1.2.C/S应用系统 xxxx集团目前的C/S应用只有一个：财务系统，金蝶K3财务系统。 1.3.SSL VPN系统 xxxx集团有一套SSL VPN系统，集团局域网之外的用户（包括各地州机场、部分关联企业、用户自己家住房、出差旅馆、无线上网等）是通过SSL VPN 系统进入集团局域网的，通过SSL VPN系统进入集团局域网访问的系统包括：OA系统、邮件系统、资产管理系统、决策支持系统、网站信息发布审批系统及内部网站等。用户经过SSL VPN系统进入集团局域网需要经过身份认证。
单点登录SSO系统 解决方案 ***有限公司 20
文档信息版本历史
目录 1.概述 (5) 1.1.背景 (5) 1.2.目标 (5) 1.3.阅读对象 (5) 1.4.术语和缩略语 (5) 2.SSO概述 (6) 2.1.SSO规范 (6) 2.1.1.名称解释 (6) 3.SSO接口规范 (7) 3.1.SSO接口图 (7) 3.2.SSO接口清单 (7) 3.3.单点登录接口 (8) 3.3.1.登录 (8) 3.3.2.登录状态检查 (10) 3.3.3.用户信息获取 (11) 3.3.4.登录状态查询 (12) 3.3.5.单点登录使用场景 (12) 3.4.组织数据WS同步 (13) 3.4.1.接口说明 (13) 3.4.2.使用场景 (13) 3.4.3.字段说明 (13) 3.4.4.业务规则和逻辑 (14)
3.5.用户数据WS同步 (15) 3.5.1.接口说明 (15) 3.5.2.使用场景 (15) 3.5.3.字段说明 (15) 3.5.4.业务规则和逻辑 (16) 4.实施建议 (17) 4.1.SSO实施(基本认证) (17) 4.1.1.接入流程 (17) 4.1.2.接入准备 (18) 4.1.3.接收数据 (18) 4.1.4.登录状态检查方法 (18) 4.1.5.登录/检查登录状态成功—主体代码（Success URL）编写 (18) 4.1.6.登录失败处理 (19) 4.1.7.状态检查未登录处理 (19) 4.2.组织和用户接收 (19) 4.2.1.开发框架 (19) 4.2.2.开发过程 (19) 5.附录 (20) 5.1.SSO E RROR C ODE (20) 5.2.SSO T OKEN XML (20) 5.3.SSO用户信息 (20) 5.4.SSO获取用户信息失败的状态码 (20)
信息中心总集成及公共服务建设项目 统一内部应用门户 用户测试方案 (V2.0)
目录 用户测试方案 ........................................................................................................... - 1 -第一章文档介绍 . (4) 1.1编写目的 (4) 1.2范围 (4) 1.3读者对象 (4) 1.4测试依据 (5) 1.5术语及缩写 (5) 第二章测试流程 (8) 2.1测试模型 (8) 2.1.1单元测试 (8) 2.1.2集成测试 (8) 2.1.3确认测试 (8) 2.1.4性能测试 (8) 2.1.5系统测试 (8) 2.1.6系统验收测试 (9) 2.2测试阶段 (9) 第三章测试计划 (10) 3.1测试准备计划 (10) 3.2测试进度计划 (10) 3.2.1用户功能测试 (11) 3.2.1.1 功能测试 (11) 3.2.1.2 功能测试清单 (11) 3.3性能测试进度计划 (15) 3.3.1性能需求分析 (15) 3.3.2性能测试 (15) 3.3.3性能测试场景清单 (15) 第四章测试资源 (17) 4.1测试人员配备 (17)
4.2测试环境 (17) 4.2.1软件测试环境 (17) 4.2.2硬件环境 (18) 4.2.3测试场地 (19) 4.3测试工具 (19) 4.4数据准备 (19) 第五章风险分析与规避措施 (20) 第六章测试策略与内容 (21) 6.1功能测试 (21) 6.2接口测试 (21) 6.3用户界面测试 (22) 6.4容错性测试 (22) 6.5性能测试 (23) 6.6文档审查 (24) 第七章缺陷管理 (25) 第八章测试通过准则 (26) 第九章可交付文件 (27)
福建省公安公众服务平台 统一身份认证及单点登录系统建设方案 福建公安公众服务平台建设是我省公安机关“三大战役”社会管理创新的重点项目之一；目前平台目前已经涵盖了公安厅公安门户网 站及网站群、涵盖了5+N服务大厅、政民互动等子系统；按照规划，平台还必须进一步拓展便民服务大厅增加服务项目，电子监察、微博监管等系统功能，实现集信息公开、网上办事、互动交流、监督评议 功能为一体的全省公安机关新型公众服务平台。平台涵盖的子系统众多，如每个子系统都用自己的身份认证模块，将给用户带来极大的不便；为了使平台更加方便易用，解决各子系统彼此孤立的问题，平台 必须增加统一身份认证、统一权限管理及单点登录功能。 一、建设目标 通过系统的建设解决平台用户在访问各子系统时账户、密码不统一的问题，为用户提供平台的统一入口及功能菜单；使平台更加简便易用，实现“一处登录、全网漫游”。同时，加强平台的用户资料、授权控制、安全审计方面的管理，确保用户实名注册使用，避免给群 众带来安全风险；实现平台各子系统之间资源共享、业务协同、互联 互通、上下联动；达到全省公安机关在线服务集成化、专业化的目标。 二、规划建议 统一身份认证及单点登录系统是福建公安公众服务平台的核心 基础系统；它将统一平台的以下服务功能：统一用户管理、统一身份 认证、统一授权、统一注册、统一登录、统一安全审计等功能。系统 将通过标准接口（WebService接口或客户端jar包或dll动态链接库）向各子系统提供上述各类服务；各业务子系统只要参照说明文档，做适当集成改造，即可与系统对接，实现统一身份认证及单点登录， 实现用户资源的共享，简化用户的操作。
大数据平台建设方案 （项目需求与技术方案） 一、项目背景 “十三五”期间，随着我国现代信息技术的蓬勃发展，信息化 建设模式发生根本性转变,一场以云计算、大数据、物联网、移动应用等技术为核心的“新IT”浪潮风起云涌，信息化应用进入一个“新常态”。***（某政府部门）为积极应对“互联网+”和大数据时代的机遇和挑战，适应全省经济社会发展与改革要求，大数据平台应运而生。 大数据平台整合省社会经济发展资源，打造集数据采集、数据处理、监测管理、预测预警、应急指挥、可视化平台于一体的大数据平台，以信息化提升数据化管理与服务能力，及时准确掌握社会经济发展情况，做到“用数据说话、用数据管理、用数据决策、用数据创新”，牢牢把握社会经济发展主动权和话语权。 二、建设目标 大数据平台是顺应目前信息化技术水平发展、服务政府职能改革的架构平台。它的主要目标是强化经济运行监测分析，实现企业信用社会化监督，建立规范化共建共享投资项目管理体系，推进政务数据共享和业务协同，为决策提供及时、准确、可靠的信息依据，提高政务工作的前瞻性和针对性，加大宏观调控力度，促进经济持
续健康发展。 1、制定统一信息资源管理规范，拓宽数据获取渠道，整合业务信息系统数据、企业单位数据和互联网抓取数据，构建汇聚式一体化数据库，为平台打下坚实稳固的数据基础。 2、梳理各相关系统数据资源的关联性，编制数据资源目录，建立信息资源交换管理标准体系，在业务可行性的基础上，实现数据信息共享，推进信息公开，建立跨部门跨领域经济形势分析制度。 3、在大数据分析监测基础上，为政府把握经济发展趋势、预见经济发展潜在问题、辅助经济决策提供基础支撑。 三、建设原则 大数据平台以信息资源整合为重点，以大数据应用为核心，坚持“统筹规划、分步实施，整合资源、协同共享，突出重点、注重实效，深化应用、创新驱动”的原则，全面提升信息化建设水平，促进全省经济持续健康发展。
统一用户认证和单点登录解决方案 本文以某新闻单位多媒体数据库系统为例，提出建立企业用户认证中心，实现基于安全策略的统一用户管理、认证和单点登录，解决用户在同时使用多个应用系统时所遇到的重复登录问题。 随着信息技术和网络技术的迅猛发展，企业内部的应用系统越来越多。比如在媒体行业，常见的应用系统就有采编系统、排版系统、印刷系统、广告管理系统、财务系统、办公自动化系统、决策支持系统、客户关系管理系统和网站发布系统等。由于这些系统互相独立，用户在使用每个应用系统之前都必须按照相应的系统身份进行登录，为此用户必须记住每一个系统的用户名和密码，这给用户带来了不少麻烦。特别是随着系统的增多，出错的可能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低。针对于这种情况，统一用户认证、单点登录等概念应运而生，同时不断地被应用到企业应用系统中。 1 统一用户管理的基本原理 一般来说，每个应用系统都拥有独立的用户信息管理功能，用户信息的格式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用户信息同步问题。用户信息同步会增加系统的复杂性，增加管理的成本。 例如，用户X需要同时使用A系统与B系统，就必须在A系统与B系统中都创建用户X，这样在A、B任一系统中用户X的信息更改后就必须同步至另一系统。如果用户X需要同时使用10个应用系统，用户信息在任何一个系统中做出更改后就必须同步至其他9个系统。用户同步时如果系统出现意外，还要保证数据的完整性，因而同步用户的程序可能会非常复杂。 解决用户同步问题的根本办法是建立统一用户管理系统（UUMS）。UUMS 统一存储所有应用系统的用户信息，应用系统对用户的相关操作全部通过UUMS 完成，而授权等操作则由各应用系统完成，即统一存储、分布授权。UUMS应具备以下基本功能：
SSO解决方案大全Single Sign-On for everyone 前段时间为我们的系统做SSO(单点登录)参考了很多资料,其中包括博客园二级域名的登录.翻译本文是由于作者的一句话:思想都是一样的,只不过实现起来需要创造性思维. Single Sign-On (SSO)是近来的热门话题. 很多和我交往的客户中都有不止一个运行在.Net框架中的Web应用程序或者若干子域名.而他们甚至希望在不同的域名中也可以只登陆一次就可以畅游所有站点.今天我们关注的是如何在各种不同的应用场景中实现SSO. 我们由简到繁,逐一攻破. 1.虚拟目录的主应用和子应用间实现SSO 2.使用不同验证机制实现SSO (username mapping) 3.同一域名中,子域名下的应用程序间实现SSO 4.运行在不同版本.NET下的应用程序间实现SSO 5.两个不同域名下的Web应用程序间实现SSO 6.混合身份验证方式模式(Forms and Windows)下实现SSO 1. 虚拟目录的主应用和子应用之间实现SSO 假设有两个.Net的Web应用程序-Foo和Bar,Bar运行在Foo虚拟目录的子目录().二者都实现了Forms认证.实现Forms认证需要我们重写Application_AuthenticateRequest,在这个时机我们完成认证一旦通过验证就调用一下FormsAuthentication.RedirectFromLoginPage.这个方法接收的参数是用户名或者其它的一些身份信息.在https://www.doczj.com/doc/504853181.html,中登录用户的状态是持久化存储在客户端的cookie中.当你调用RedirectFromLoginPage时就会创建一个包含加密令牌FormsAuthentication Ticket的cookie,cookie名就是登录用户的用户名.下面的配置节在Web.config定义了这种cookie 如何创建:
统一用户认证和单点登录解决方案 总队版的互联网服务平台想要通过网站上的链接直接连接到公司开发的增值平台，并且希望从总队版互联网服务平台登录的用户链接到公司的增值平台后不需要二次登录，针对这一需求我们可以采用同一用户认证和单点登录的方式来实现，下面介绍了统一用户的基本原理和单点登录的一些解决方案。 统一用户管理的基本原理 一般来说，每个应用系统都拥有独立的用户信息管理功能，用户信息的格式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用户信息同步问题。用户信息同步会增加系统的复杂性，增加管理的成本。例如，用户X 需要同时使用A系统与B系统，就必须在A系统与B系统中都创建用户X，这样在A、B任一系统中用户X的信息更改后就必须同步至另一系统。如果用户X需要同时使用10个应用系统，用户信息在任何一个系统中做出更改后就必须同步至其他9个系统。用户同步时如果系统出现意外，还要保证数据的完整性，因而同步用户的程序可能会非常复杂。 解决用户同步问题的根本办法是建立统一用户管理系统（UUMS）。UUMS统一存储所有应用系统的用户信息，应用系统对用户的相关操作全部通过UUMS完成，而授权等操作则由各应用系统完成，即统一存储、分布授权。UUMS应具备以下基本功能: 1．用户信息规范命名、统一存储，用户ID全局惟一。用户ID犹如身份证，区分和标识了不同的个体。 2．UUMS向各应用系统提供用户属性列表，如姓名、电话、地址、邮件等属性，各应用系统可以选择本系统所需要的部分或全部属性。 3．应用系统对用户基本信息的增加、修改、删除和查询等请求由UUMS处理。4．应用系统保留用户管理功能，如用户分组、用户授权等功能。 5．UUMS应具有完善的日志功能，详细记录各应用系统对UUMS的操作。
某公司号簿平台单点登录系统设计与实现 第一章：绪论 1.1课题背景及意义 “电话导航”是中国联通语音综合信息服务的强势品牌，涵盖通信导航、信息导航、交易导航三层次内涵，在北方以114、116114作为接入号码，在南方以116114作为接入号码。“电话导航”通过整合内外部信息资源，以优质的服务理念向社会公众提供全面、精确、专业的综合信息服务；为政企客户、商务客户搭建高效、快捷的信息公布平台；2008年电话导航定位在“专家”的形象，也确实是使受众感受到116114是我们生活中的专家，不管有我们有哪些方面的关心都能够求助那个专家，并得到最专业的资讯。
电话导航每提供一项业务都需要一项专门的业务支持，这些业务支持是通过导航的业务系统来完成。每多提供一些业务就增加一些业务治理的操作，这些业务治理操作差不多上有各业务子系统提供，假如提供统一登录模块实现治理员、用户一次登录系统完成所有业务治理和配置任务关于电话导航平台这类综合业务是一个特不重要的情况，同时随着业务的不断增加如何实现业务系统的快速接入，接入后如何以统一标准的方式提供服务。 单点登录系统为电话导航平台提供一个统一标准的认证平台，所有业务系统、门户、治理系统只要是按照这种标准方式进行登录处理都能够实现一次登录治理所有有权限治理的业务功能。关于终端使用者来讲认为只是使用电话导航功能，而不是使用电话导航的A功能、电话导航B功能，完全不存在区不。 1.2国内外研究现状对比分析 1.3目标及研究内容 依照Web应用请求应答服务的方式和无状态特点，如何实现跨系统的状态保持是本论文研究的要紧内容。
研究目标： 1）单点登录不同系统之间相互切换 2）系统访问操纵 3）系统单点故障屏蔽 4）压力情况下的安全与稳定 1.4论文的组织结构 第二章：需求分析 2.1业务现状 “电话导航”是中国联通语音综合信息服务的强势品牌，涵盖通信导航、信息导航、交易导航三层次内涵，在北方以114、116114作为接入号码，在南方以116114作为接入号码。“电话导航”通过整合内外部信息资源，以优质的服务理念向社会公众提供全面、精确、专业的综合信息服务；为政企客户、商务客户搭建高效、快捷的信息公布平台；并以开放、共赢的原则欢迎商业合作伙伴加入到电话导航产业链中来。2008年电话导航定位在“专家”的形象，也确实是使受众感受到116114是我们生活中的专家，不管有我们有哪些方面的关心都能够求助那个专家，并得到最专业的资讯。
单点登录技术方案
xxxx集团 单点登录技术方案
目录 1. xxxx集团系统建设现状........................................... 错误!未定义书签。 1.1. Web应用系统 ................................................. 错误!未定义书签。 1.2. C/S应用系统 ................................................... 错误!未定义书签。 1.3. SSL VPN系统.................................................... 错误!未定义书签。 2. xxxx集团单点登录系统需求 ................................... 错误!未定义书签。 2.1. 一站式登录需求.............................................. 错误!未定义书签。 3. SSO（单点登录）技术简介..................................... 错误!未定义书签。 3.1. 修改应用程序SSO方案.................................. 错误!未定义书签。 3.2. 即插即用SSO方案.......................................... 错误!未定义书签。 3.3. 两种SSO方案比较.......................................... 错误!未定义书签。 3.4. 惠普SSO .......................................................... 错误!未定义书签。 3.4.1. 惠普SSO开发背景 ................................. 错误!未定义书签。 3.4.2. 惠普SSO的功能 ..................................... 错误!未定义书签。 3.4.3. 惠普SSO的特点 ..................................... 错误!未定义书签。 3.4.4. 惠普SSO结构 ......................................... 错误!未定义书签。 4. xxxx集团单点登录技术方案 ................................... 错误!未定义书签。 4.1. 应用系统中部署惠普SSO单点登录 .............. 错误!未定义书签。 4.1.1. 解决全局的单点登录.............................. 错误!未定义书签。 4.1.2. 应用系统的整合 ..................................... 错误!未定义书签。 4.1.3. 用户如何过渡到使用单点登录 .............. 错误!未定义书签。 4.1.4. 管理员部署业务系统单点登录功能 ...... 错误!未定义书签。
一、背景需求 随着企业移动化转型，员工及各类终端在企业网络间进进出出，传统以防火墙为核心的边界防护已不在安全。企业需要建立更小单位的、可控的安全管理方案——以身份为核心的统一管理方案（IAM）。 1、效率驱动：随着企业的不断壮大，本地及SAAS应用的数量也在不断增加，为提高员工办公效率，减少在各应用间登录切换的次数及频率，企业需要统一应用门户，即用户一次登录，即可访问权限内所有应用——多应用系统统一单点登录（SSO）。 2、安全保障：在多应用统一门户建成后，单点登录的账号安全比某个应用的安全认证更为重要。一旦账号密码泄漏将造成用户权限内多业务系统的信息泄漏。为防止弱密码、僵尸账号、账号密码泄漏等安全隐患，多因子认证（MFA）成为单点登录的标配。 二、金蝶云K3对接方案 1、金蝶云K3商业应用库对接方案 正常情况下，企业在用的应用系统数十到上百不等的B/S、C/S 架构的应用，有些是商业应用，有些则是自己研发的应用系统，因此面向不同的应用系统，提供不同的对接协议及对接方案。 提供OAuth2、SAML、OIDC、Easy SSO、表单代填等多种对接协议及API工具供用户选择。面向自研应用，开发Easy SSO 对接协议实现快速连接；面向商业应用则通过建立商业应用库的方式供用
户选择。客户在部署统一身份及单点登录认证服务器（DKEY AM）后，在商业应用库中选择对应应用操作系统即可一键实现对接。 金蝶云K3作为企业常用的办公工具，已完成商业应用库对接。为节省对接流程及周期，建议使用商业应用库快速实现应用对接，以提高部署效率。 2、多因子安全认证 提供手机令牌、硬件Token、短信挑战码等动态令牌形式，同时提供企业微信/钉钉“扫一扫”免密认证以确保单点登录的安全认证。
单点登录平台管理软件 设计方案
目录 一、项目概述 (1) 二、项目目标 (1) 三、必要性分析 (1) 四、定义 (2) 五、项目需求 (3) 1.概述 (3) 2.功能需求分析 (4) 2.1.系统实现结构图 (5) 2.2.系统实现层次结构 (6) 2.3.功能需求 (6) 2.4.流程逻辑 (11) 3.数据库设计 (15) 4.服务器与成员接口规 (18)
一、项目概述 单点登录（Single Sign On），简称为SSO，它是一个用户认证的过程，允许用户一次性进行认证之后，就访问系统中不同的应用；而不需要访问每个应用时，都重新输入密码。IBM对SSO有一个形象的解释“单点登录、全网漫游”它是一个用户认证的过程，允许用户一次性进行认证之后，就访问系统中不同的应用；而不需要访问每个应用时，都重新输入密码。IBM对SSO有一个形象的解释“单点登录、全网漫游”。 SSO将一个企业部所有域中的用户登录和用户管理集中到一起，SSO的好处显而易见。 对于部有多种应用系统的企业来说，单点登录的效果是十分明显的。很多国际上的企业已经将单点登录作为系统设计的基本功能之一。 二、项目目标 通过建设与实现SSO，可以达到以下目标： 减少用户在不同系统中登录耗费的时间，减少用户登录出错的可能性。 实现安全的同时避免了处理和保存多套系统用户的认证信息。 减少了系统管理员增加、删除用户和修改用户权限的时间。 增加了安全性：系统管理员有了更好的方法管理用户，包括可以通过直接禁止和删除用户来取消该用户对所有系统资源的访问权限。 三、必要性分析
鉴于单位运营的多个独立（称为成员站点），每个都具有自己的身份验证机制，这样势必造成：生活中的一位用户，如果要以会员的身份访问，需要在每个上注册，并且通过身份验证后，才能以会员的身份访问；即使用户以同样的用户名与密码在每个上注册时，虽然可以在避免用户名与密码的忘记和混淆方面有一定的作用，但是用户在某一段时间访问多个成员站点或在成员站点间跳转时，还是需要用户登录后，才能以会员的身份访问。这样不仅给用户带来了不便，而且成员为登录付出了性能的代价； 如果所有的成员，能够实现单点登录，不仅在用户体验方面有所提高，而且真正体现了平台的一体性。通过这种有机结合，能更好地体现公司大平台，大渠道的理念。同时，这样做也利于成员的相互促进与相互宣传。 正是出于上面的两点，单点登录系统的开发是必须的，是迫在眉睫的。 四、定义 单点登录系统提供所有成员的“单一登录”入口。本系统的实质是含有身份验证状态的变量， 在各个成员间共用。单点登录系统，包括认证服务器(称Passport 服务器)，成员服务器。 会员：用户通过Passport服务器注册成功后，就具有了会员身份。
第三方业务系统单点登陆技术方案 1概述 单点登录简单说，就是通过用户的一次性鉴别登录，即可获得需访问系统和应用软件的授权，在此条件下，管理员无需修改或干涉用户登录就能方便的实施希望得到的安全控制。 2背景 平台负责把各种应用、服务、业务集成，对它们系统的用户信息进行统一管理。只要在平台登录的用户，都可以得到一个由平台颁发的虚拟令牌，这样便可轻松的来回其它不同业务，对所有被授权的网络资源进行无缝访问了。这不仅了提高网络用户的工作效率，降低网络操作的费用，还提高了网络的安全性。 3解决方案 1、工作流程：
2、流程描述 (一)登录Portal 1)用户向Portal请求登陆。 2)Portal获取用户名和密码后，向AAA请求认证。 3)AAA查询用户名、密码，确认用户存在。 4)AAA生成token加密串，和有效时间（当前时间+默认配置时间），保存token。 5)并把token返回给Portal。 6)Portal创建用户会话，并保存token，返回首页。 (二)访问第三方业务 1)当用户在Potal上点击一个业务链接时，系统会访问第三方业务系统，并把当前用 户的token和AAA入口地址时作为请求参数带上。 2)第三方业务系统带上token参数，请求AAA认证身份。 3)AAA认证身份通过后并通知第三方业务系统。
4)第三方业务系统建立用户会话，并保存token。 5)系统跳转到第三方业务系统可操作界面。 6)在第三方业务系统中，操作内部服务，仅仅验证用户会话。 (三)从第三方业务系统返回Portal 1)在第三方业务系统中，Portal的首页的URL应该为：portal_URL+AAA_URL+token。 2)点击Poratl首页，Portal先验证用户会话是否有效，如果有效，返回首页；否则向 AAA请求验证token，验证通过后，Portal重新建立用户会话，并保存token。 3、重点说明 1)在系统内部操作时，验证用户会话。 2)当跳转到其他业务系统时(系统切换)，传递token参数。此时先验证用户会话是否 有效，有效则放行；无效则请求AAA验证token，通过后重新建立用户会话。 3)Token的失效时间配置长点（需要评估），用户在某个业务系统中操作比较长时间 后切换系统，保证token仍然有效。 4提供给第三方业务接口 1、统一用户登录认证接口 1.1接口功能描述 第三方业务系统向AAA进行用户鉴权 1.2接口方向 第三方业务 AAA 1.3接口协议 协议：HTTP 方法：GET URL：http:/IP:PORT/aaa/auth?token=******* 1.4接口返回 协议：JSON 属性定义：resultCode；1表示鉴权成功，0表示鉴权失败。（必填） desc; 描述信息（非必填） 需要用户哪些信息，与AAA约定，让他传递。 示例： { "resultCode": "0", "desc": " token已经失效" } 2、Portal登录接口
UTrust SSO单点登录和门户建设技术方案建议书 北京神州融信信息技术有限公司 https://www.doczj.com/doc/504853181.html,
目录 1.企业应用系统现状 (2) 2.企业单点登录（SSO）需求分析 (3) 3.SSO（SINGLE SIGN ON）单点登录技术 (4) 3.1.后置代理 (5) 3.2.即插即用 (5) 3.3.两种SSO技术比较 (5) 4.UTRUST SSO单点登录系统描述 (6) 4.1.UT RUST SSO系统概述 (6) 4.2.UT RUST SSO系统架构 (7) 4.3.UT RUST SSO系统工作流程 (8) 4.4.UT RUST SSO系统特点 (9) 5.企业门户和单点登录系统建设方案建议 (10) 5.1.UT RUST单点登录解决方案建议 (11) 5.1.1.原系统的整合 (11) 5.1.2.新系统的集成 (12) 5.1.3.统一身份认证 (12) 5.1.4.统一资源授权 (13) 5.1.5.统一安全审计 (13) 5.1.6.统一安全管理 (13) 5.2.统一身份管理 (14) 5.2.1.采用基于标准的统一身份管理架构 (14) 5.2.2.数据集中管理................................................................................... 错误！未定义书签。 5.2.3.委托管理和自注册管理 (16) 5.3.UT RUST SSO门户集成解决方案 (16) 5.3.1.简单门户 (16) 5.3.2.与办公系统集成门户 (17) 5.3.3.与专业Portal系统整合 (18) 5.4.与W INDOWS域结合实现单点登录 (18) 5.5.UT RUST SSO外网接入解决方案 .......................................................... 错误！未定义书签。 5.6.UT RUST 系统的部署 (19) 6.安装环境配置 (21) 7.系统实施建议 (22)
NC单点登录方案 一．登录方案示意图 二．过程说明 1．当客户端用户希望进入NC系统时，首先向外部的认证系统提交请求。 2．由外部认证系统向nc服务器注册客户端的登录信息，这些信息是nc系统所必需的信息。可以通过一个随机的键值key来索引登录信息。 3．客户端将通过该键值来进入nc系统。即客户端将向nc应用服务器提交其键值。nc 服务器将利用该键值从注册中心中获取登录信息（同时注销注册信息）。然后利用这些登录信息登录到NC系统。 4．超时处理：注册的登录信息有其生命期，超过生命期的注册信息将会被清除。客户端只能在超时以前登录nc才有效，否则不能进入nc系统。超时的值在配置文件中进行配置
三．url格式 1．注册用的url 外部系统服务器利用此url向nc服务器注册登录信息。 http://localhost/servlet/nc.bs.sm.login2.RegisterServlet?key=111111&workdate=2003-0 7-16&language=simpchn&usercode=1&pwd=1 注：usercode和pwd是必须的。它用于确定用户身份，以保证NC系统的安全。 workdate用于提供登录日期， language用于提供登录的语种。 key值为注册登录信息的键值，必须保证唯一。 http://localhost/service/RegisterServlet?key=111111&accountcode=nc061115&workdate=2003-07 -16&language=simpchn&usercode=1&pwd=1 2．登录用的url 外部系统服务器注册完毕后，返回客户端该url，使客户端重定向到该url，实现登录NC http://localhost/servlet/nc.bs.sm.login2.Login?key=111111 注：其中key的取值和注册时的值一致 http://localhost/login.jsp?key=111111 四，注册用的url后可选的参数为 "accountcode" 帐套编码 "dsname" 数据源名称 "pkcorp" 公司主键 "workdate" 登录时间 "language" 语种 "isencode" 密码是否加密取值为Y/N “height”客户端分辨率的高度值 “width”客户端分辨率的宽度值 五：配置文件ierp\bin\exterior.xml： 该文件用于配置在单点登录中能够注册登录信息的主机ip和注册信息的超时值。这些配置都是出于对安全的考虑，因为只有在该文件中配置的主机才能向nc服务器注册登录信息。 exterior.xml的内容为：
２８６二 ○一二年第十五期 华章 M a g n i f i c e n t W r i t i n g 王炳举，武 静，郑州大学西亚斯国际学院。 作者简介：基于门户单点登录系统的设计与实现 王炳举，武静 （郑州大学西亚斯国际学院，河南新郑451150） ［摘要］本文根据单点登录的特点，实现了一种简单的单点登录方案，阐述了单点登录方案设计、登录流程、数据 库设计等技术细节，并对方案进行了评估分析。 ［关键词］单点登录；凭证加密1、单点登录简介单点登录（Single Sign On ），简称为SSO ，是目前比较流行的企业业务整合的解决方案之一。SSO 的定义是在多个应用系统中，用户只需要进行一次登录就可以访问所有建立了相互信任关系的应用系统。它的目标是方便用户，简化管理，提供统一的一站式服务。 使用单点登录主要有以下几个方面的好处：1.1统一管理、维护用户公共信息、提供多种接口标准，保证其他应用系统通过直接访问或同步复制的方式，从统一用户中心获取一致的用户信息。 1.2方便管理，减少管理员管理多个应用系统用户的压力，管理员只需要维护好统一用户中心的用户信息即可，其他应用系统可按一定的规则从统一用户中心同步用户信息。 1.3为终端用户提供便捷的一站式服务，用户只需要记住一个用户名及密码即可访问其有权限的所有应用系统，也可以减少因用户忘记密码而为管理员增加的工作量。 1.4具有良好的兼容性、可扩展性，一方面能兼容新开发的业务系统也能支撑现有的应用系统的访问；另一方面，系统中用户信息的属性可以扩充，以适应未来业务的变化。 1.5提高开发人员的效率。SSO 为开发人员提供了一个通用的身份验证框架。实际上，如果SSO 机制是独立的，那么开发人员就完全不需要为身份验证操心。他们可以假设，只要对应用程序的请求附带一个用户名，身份验证就已经完成了。 2、单点登录系统设计 本文作者负责一所高校信息门户开发及维护，由于目前所用的门户系统没有单点登录服务，但又经常需要跟其他应用系统之间进行单点登录，因此设计此方案，大致的思路如下： 2.1设计思路。我校的信息门户使用活动目录进行用户管理，通过LDAP 协议进行统一身份验证，因此本方案也使用AD 作为统一用户中心，在门户上建立单点登录服务用于跟其他应用系统之间的单点登录。 用户首先登录门户，SSO 服务获取到用户信息后将用户有权访问的资源列表展现给用户，用户点击到某个应用的链接后自动登录到相应的应用程序；用户点击的链接不包含任何敏感信息，只有应用服务器ID ；SSO 服务会根据应用服务器ID 自动根据凭证生效时间、过期时间、用户ID 、Key （SSO 服务器与应用服务器之间约定的加密字符串）等信息自动生成凭证并将凭证提供给应用服务器验证，当应用服务器收到登录请求后会首先验证用户的合法性，然后到SSO 服务器验证凭证的合法性，验证成功后允许用户登录，且该过程必须要在既定的时间内完成。 该过程中每个应用与SSO 服务器之间约定共同的Key （密匙），根据密匙、用户ID 、用户IP 、凭证生成时间及失效时间根据一定的规则使用Hash 算法生成凭证，因此相同用户在不同时间登录某个应用时生成的凭证是不相同的。 服务器之间通过SSL 协议加密信息传输，用户通过使用https 的方式访问。 SSO 服务器根据单点登录类型判断应用系统中的用户信息与统一用户中心的用户信息是一致的还是需要进行用户映射，如果需要进行用户映射且用户是第一次登录，则将用户重定向到用户映射页面要求用户填写相关信息后进行登录。 SSO 服务器应具有的功能：（1）可以添加多个应用，添加应用时可添加应用服务器名称、 通信密匙、应用服务器单点登录地址等信息。 （2）可将所有应用以合适的方式展现给用户，并能获取用户登录ID ，并根据应用服务器ID 、通信密匙按照一定的加密算法生成凭证信息及凭证信息的Hash 值。 （3）提供用于验证应用服务期凭证的WebService ，该Web-Service 应检查凭证的时效性（是否为过期凭证）及正确性，防止凭证被篡改，同时将校验的结果反馈给应用服务器。 应用服务器功能： （4）应用服务期只需要校验SSO 服务器提供的用户ID 及凭证的有效性即可。 2.2单点登录流程。 2.2.1用户首先登录门户，并打开单点登录（SSO ）应用列表，点击相应的应用系统链接。 2.2.2SSO 服务器根据APPID 找到对应的应用、与应用服务器约定的key ，在SSO 服务器上生成一条包含APPID 、用户ID 、用户IP 、凭证生效时间、凭证失效时间、凭证信息的Hash 值等的记录。凭证信息根据APPID 、用户ID 、用户IP 、凭证生效时间、凭证失效时间及与应用服务期之间约定的key 按照一定的规则生成。 2.2.3SSO 服务器根据步骤2中的信息采用Hash 加密算法生成的凭证信息，并将用户ID 及凭证传递到应用服务器。 2.2.4应用服务器根据SSO 服务器传递过来的用户ID ，校验该用户的有效性，同时调用SSO 服务器提供的WebService 校验凭证的有效性及时效性，如果校验成功，则允许用户登录。 2.2.5如果用户登录的应用系统与统一用户中心使用不同的用户信息，则用户第一次登录时需要首先进行用户映射，第二次登录时执行步骤1到步骤4。 2.2.6用户登录其他应用系统时重新执行以上过程。 从以上流程可以看出，本文设计的单点登录方案跟其他单点登录方案有所不同，用户无论登录那个应用系统均需由SSO 服务器代替用户自动登录。 2.3具体数据表设计。首先我们需要一张表用于存放各种应用服务器的相关信息，包含应用服务器名称、应用服务器单点登录地址等信息，数据表字段及设计说明如下： 除了上面数据表之外我们还需要一张表用于存放用户登录时自动生成的信息，同时这张表中的数据也作为应用服务器向SSO 服务器验证时用。 如果统一用户中心与应用系统使用两套不（下转第288页）