有对SSO有研究的吗?

09-09-15 wildfox
    

公司有很多应用,一部分是在weblogic平台的JEE应用,一部分是.net平台的,比如基于sharepoint,还有第三方的很多也是.net的应用。我需要在所有这些平台实现单点登录。

起先,我采用了Sun OpenSSO 的解决方案, 那时候,基于.net的应用都是在IIS6上发布,而且这些应用都需要windows集成认证,而opensso IIS6 agent 可以支持Basic认证,因此可以实现SSO.

接下来,所有.net的应用都要发布在IIS7上,而opensso IIS7的policy agent暂时还不支持Basic认证,因此.net应用不好通过这种方式实现和JEE的应用集成。于是,另外一种方案 OpenSSO + ADFS 可以来实现,但是这个方案有个很大的问题,就是部署比较麻烦,特别是针对ADFS的配置以及在opensso 和ADFS之间实现federation sso, 这部分很难自动化配置,到产品环境后,Service team的人很难掌握相关的知识,而且,CTO是一个忠实的 microsoft 拥护者,不愿意采用非microsoft的解决方案,因此,这个也被枪毙。

现在在考虑kerberos,不知道这个能不能实现,有没有哪位高人有这方面的经验可以分享一下?

    

banq
2009-09-15 17:42

JOSSO - 轻量,独立服务器 simple, very easy to configure, Spring-based with support for many platforms including non J2EE/Java EE compliant ones like: PHP 4.x, PHP 5.x, MS ASP, and MS .NET

从没有网络安全知识的用户角度来看,Kerberos以加大用户参与安全保证的力度(而他们并不具备这方面的知识更没有耐心)来保障通信的安全,这种做法并不可行。

[该贴被banq于2009-09-15 17:52修改过]

wildfox
2009-09-15 18:55

谢谢banq的回复。

当初在选在SSO解决方案的时候,在OpenSSO和JOSSO之间做了些比较,虽然两者都是开源的,但是在文档支持方面,OpenSSO做得比JOSSO好些。我们用的weblogic是10.3的,在JOSSO支持的application server里面,没有看到,只有9.2,10.0.而且,对IIS的支持,我们的服务器有32位的,有64位的,不知道JOSSO的支持怎么样,对IIS7的支持怎样也不清楚,因此就选择了OpenSSO.

到目前为止,OpenSSO的Agent对IIS7只支持匿名认证,如果OpenSSO支持IIS7的Basic认证的话,那么我的问题就很好解决,全部采用OpenSSO的解决方案就可以实现。其实,单独采用ADFS也可以实现,不过weblogic需要有支持ADFS的Agent,而这个有第三方的公司提供,虽然是收费的,但是也会有一个问题,如果我们的应用服务器升级了,很可能还是需要等很长时间他们相应的agent才会出来,这个项目风险比较大。采用OpenSSO + ADFS可以解决这个问题,但是我们的CTO老头比较固执,本来就对非microsoft的东西不感冒,这样为了实现单点登录需要掌握的知识太多了,成本比较高。因此现在在研究看能不能直接采用kerberos来实现跨应用平台的单点登录。但是项目时间比较短,到正式release还有两个多月时间,不知道能不能搞定。

saharabear
2009-09-16 06:45

这个问题应用广泛,留名继续看大家讨论。

banq
2009-09-16 10:02

无论有多少SSO流派, 基本模式就是:用户通过 IdP(Identity Provider )授权后,能够拥有权限访问 SP(Service Provider )。

两种主要的SSO模式:

1. SSO based on User-IdP trust relation: 在用户和IdP之间有强烈的信任关系,

2. SSO based on IdP-SPs trust relation 在IdP和SP之间存在强烈的信任关系。

所以,有时你划分信任领域也非常重要。

参考这篇文章,对SSO主流技术有一个比较,篇中大部分观点我赞同:

杂谈单点登陆以及相关技术

1.kerberos源于微软,源于局域网,是古老的技术了。SAML是比较推荐的。

2.SAML是一个定义良好的规范,概念清晰,分层合理,扩展性良好,一切都很棒,但是有一点不好,就是曲高和寡!

2.Open ID是WWW万维网的一个模式,其实我在另外一篇REST文章说了,互联网都把世界上所有信息整合了,企业信息就不能整合?为什么不能借鉴互联网的理念呢?在SSO这个问题上,我还是相当看好Open ID的,大部分著名网站系统已经进入实用。

现在就是开放互联网领域比由少数IT企业巨头垄断的企业IT领域发展更快,作为IT使用者利益的代表,身为架构师的我们,更不应该局限于个别厂商的解决方案。

[该贴被banq于2009-09-16 10:04修改过]

2Go 1 2 下一页