SSO单点登录原理及相关开源框架解析
一、SSO单点登录原理
1、基本概念
图片来源于网络，如有侵权联系删除
- SSO（Single Sign - On）单点登录是一种身份验证机制，它允许用户使用一组凭据（如用户名和密码）登录到多个相关的应用程序或系统中，而无需在每个应用程序中单独进行登录操作。
2、工作流程
用户发起请求：当用户首次访问一个受SSO保护的应用程序（称为服务提供商SP，Service Provider）时，SP会检测到用户未经过身份验证，用户打开公司内部的多个业务系统中的一个，如项目管理系统。
重定向到身份提供商：SP会将用户重定向到一个专门的身份验证中心（称为身份提供商IdP，Identity Provider），这个重定向过程通常会携带一些参数，如SP的标识、请求的来源等，在企业环境中，企业的统一身份验证平台就是IdP。
用户身份验证：在IdP处，用户需要提供自己的登录凭据（如用户名和密码），IdP会验证这些凭据的有效性，如果验证成功，IdP会创建一个包含用户身份信息的会话（Session）。
生成令牌（Token）：IdP会为用户生成一个令牌，这个令牌可以是基于各种技术实现的，如JSON Web Token（JWT），JWT是一种紧凑的、URL安全的方式，用于在各方之间安全地传输信息，令牌中包含了用户的身份标识、权限信息等相关数据。
重定向回SP并传递令牌：IdP会将用户重定向回最初请求的SP，并将生成的令牌作为参数传递给SP，通过URL中的查询字符串或者HTTP头信息传递。
SP验证令牌并建立本地会话：SP接收到令牌后，会验证令牌的有效性，它会使用IdP提供的公钥（如果是基于加密签名的验证方式）或者其他验证机制来确保令牌是由合法的IdP颁发的并且没有被篡改，如果验证成功，SP会根据令牌中的用户身份信息在本地创建一个会话，从而使用户能够访问SP的资源，此后，用户在访问其他受该SSO系统保护的应用程序时，整个流程会类似，只是由于已经在IdP处有了有效的会话，所以验证过程会更加快捷。
3、涉及的关键技术
会话管理：无论是IdP还是SP，都需要有效地管理用户会话，在IdP处，要确保用户登录后的会话安全，并且能够在适当的时候终止会话，例如用户注销或者会话超时，在SP处，要根据从IdP获取的令牌正确地创建和维护本地会话。
加密与签名：为了保证令牌在传输过程中的安全性，防止被窃取或篡改，通常会采用加密和签名技术，如使用非对称加密算法对令牌进行加密，使用私钥进行签名，在SP端使用公钥进行验证。
跨域通信：在实际的企业环境中，IdP和SP可能位于不同的域名下，这就涉及到跨域通信的问题，可以采用CORS（Cross - Origin Resource Sharing）等技术来实现跨域的请求和数据传输。
图片来源于网络，如有侵权联系删除
二、SSO单点登录开源框架
1、CAS（Central Authentication Service）
架构特点
- CAS是一个流行的开源SSO框架，它采用了集中式的身份验证服务，CAS Server是身份提供商，负责验证用户身份并颁发票据（Ticket），CAS Client则集成在各个服务提供商（SP）的应用程序中，CAS Server和Client之间通过特定的协议进行通信。
票据机制
- CAS使用Ticket来实现身份验证的传递，当用户在CAS Server登录成功后，会得到一个Ticket - Granting Ticket（TGT），这类似于前面提到的会话标识，当用户访问SP时，CAS Client会向CAS Server请求一个Service Ticket（ST），ST是针对特定SP的临时票据，SP使用ST向CAS Server验证用户身份，从而实现单点登录。
安全性
- CAS支持多种安全机制，如SSL/TLS加密传输，确保票据在网络传输过程中的安全性，CAS Server可以与企业的LDAP（Lightweight Directory Access Protocol）目录服务集成，利用LDAP中的用户信息进行身份验证，提高了身份验证的准确性和安全性。
2、Keycloak
功能丰富性
- Keycloak是一个功能强大的开源身份和访问管理解决方案，支持SSO单点登录，它提供了一个直观的管理控制台，管理员可以方便地管理用户、角色、权限等，Keycloak支持多种身份验证方式，包括用户名/密码、基于社交账号（如Facebook、Google等）的登录。
集成能力
图片来源于网络，如有侵权联系删除
- Keycloak具有很强的集成能力，可以轻松地与各种企业应用程序集成，它提供了丰富的客户端适配器，适用于不同的编程语言和框架，如Java、JavaScript、.NET等，对于Java应用程序，可以使用Keycloak的Java适配器将应用程序快速集成到Keycloak的SSO系统中，Keycloak还支持OpenID Connect和SAML 2.0等标准协议，使得它能够与其他遵循这些协议的系统进行互操作。
多租户支持
- 在企业环境中，可能存在多个不同的租户或部门，Keycloak提供了多租户支持，每个租户可以有自己独立的用户管理、身份验证设置和权限策略，这为企业提供了灵活的身份管理解决方案。
3、Shibboleth
基于SAML协议
- Shibboleth是一个基于SAML（Security Assertion Markup Language）协议的开源SSO解决方案，SAML是一种用于在不同安全域之间交换身份验证和授权数据的XML - based标准，Shibboleth IdP和SP通过SAML协议进行通信。
适用于教育和科研领域
- Shibboleth在教育和科研领域得到了广泛的应用，在大学环境中，它可以用于整合学校内部的各种学术资源系统，如图书馆系统、课程管理系统等，实现学生和教师使用学校的统一账号进行单点登录，Shibboleth提供了对不同身份源的支持，如LDAP、数据库等，可以根据学校的现有身份管理基础设施进行灵活配置。
SSO单点登录通过其独特的原理和借助开源框架的强大功能，为企业和组织提供了高效、安全的用户身份管理和访问控制解决方案，大大提高了用户体验并降低了管理成本。
评论列表