Single Sign On [SSO] über verschiedene Domänen hinweg mit Java

Dies können Sie erreichen, indem Sie alle Ihre log-ins geschehen auf dem auth-server. Die anderen Anwendungen, die kommunizieren können, um die auth-server über einen Rückkanal. Das Allgemeine Prinzip ist wie folgt:

1. Benutzer Zugriff auf die Anwendung 1.
2. Anwendung 1 Bedürfnisse der Anwender zu unterzeichnen, so sendet er ein token an die auth-server über den Kanal zurück. Anwendung 1 dann leitet den Benutzer auf die log-in Seite auf dem auth-server mit dem token als parameter in der Anfrage.
3. Benutzers zum auth-server. Auth-server setzt ein cookie, Flaggen der token authentifiziert und verbindet die Benutzer-details. Auth-server leitet dann Benutzer wieder auf die Anwendung 1.
4. Anwendung 1 wird die Anfrage vom Nutzer und ruft auth-server an, über den Kanal zurück, um zu überprüfen, ob der token ist OK. Auth server-Antwort mit den user-details.
5. Anwendung 1 weiß nun, dass der Nutzer ist berechtigt und hat einige grundlegende Benutzer-details.

Nun dies ist, wo das SSO-bit:

1. Benutzer greift auf die Applikation 2.
2. Anwendung 2 muss der Benutzer anmelden, so sendet er ein token an die auth-server über den Kanal zurück. Anwendung 2 und leitet den Benutzer auf die login-Seite auf dem auth-server mit dem token als parameter in der Anfrage.
3. Auth server sieht, dass es ein gültiges log-in-cookie, so dass er sagen kann, dass der Benutzer bereits authentifiziert ist, und weiß, wer Sie sind. Auth server flags der token authentifiziert und verbindet die Benutzer-details. Auth-server leitet dann Benutzer wieder auf die Anwendung 2.
4. Anwendung 2 erhält die Anfrage vom Nutzer und ruft auth-server an, über den Kanal zurück, um zu überprüfen, ob der token ist OK. Auth server-Antwort mit den user-details.
5. Anwendung 2 weiß nun, dass der Nutzer ist berechtigt und hat einige grundlegende Benutzer-details.

Gibt es einige bestehende Implementierungen dieser Methode, zum Beispiel CAS (Central Authentication Service). Beachten Sie, dass CAS ist out of the box unterstützt in Spring Security. Ich würde dir raten, die Verwendung einer vorhandenen Implementierung, wie schreiben Sie Ihre eigenen hart wird. Ich habe vereinfacht die Dinge in meine Antwort und es gibt eine Menge Potenzial für die Einführung von Sicherheitslücken, wenn Sie neu sind.

InformationsquelleAutor der Antwort Qwerky

Die größere Frage ist, wie der Implementierung von single-sign-on. Viele open-source-und proprietären (IBM Tivoli) Angebote Wert Ihr Salz bieten cross-domain-single-sign-on-Fähigkeit. Dies wäre der einfachste und beste Weg für die Implementierung von cross-domain-sso. Konfigurieren Sie die LDAP-server verwenden Sie in der sso-server, den Sie wählen.

Nehmen, zum Beispiel open sso, hier ist ein Artikel zum konfigurieren von cross-domain-single-sign-on
http://docs.oracle.com/cd/E19681-01/820-5816/aeabl/index.html

Konfigurieren von LDAP in open sso,
http://docs.oracle.com/cd/E19316-01/820-3886/ghtmw/index.html

Verweis auf die Ausgabe präsentiert sich in einem ordentlichen Diagramm hier
http://docs.oracle.com/cd/E19575-01/820-3746/gipjl/index.html

Je nachdem, welches Angebot Sie nutzen, können Sie konfigurieren von cross-domain-single-sign-on.

Mit dabei, und Ihr Diagramm wird wie folgt Aussehen, mit der auth-server das Dienstprogramm, um die Interaktion mit der sso-server Ihrer Wahl.

Dass ein auth-server kommuniziert mit sso ist eine Klang-Architektur-Prinzip. Ich würde vorschlagen, telefonieren, sich zu authentifizieren als Rast-und end-Punkte, die genannt werden könnten, die über http von verschiedenen Anwendungen.

InformationsquelleAutor der Antwort Ravi