cas整合ldap实现单点登录学习笔记

《cas整合ldap实现单点登录学习笔记》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、CAS整合LDAP实现单点登录学习笔记SJTUCrushingBlow——CAS整合LDAP实现单点登录学习笔记Solomonleosolomonleo@gmail.com8/15/2010Solomonleo2010年8月15日，七夕前一日。忧来其如何？凄怆摧心肝。SJTUPage19of20CAS整合LDAP实现单点登录学习笔记目录Contents目录11单点登录22CAS32.1JA-SIG（CAS）的设计愿景32.2CAS1.0服务架构实现32.3CAS服务的具体实现42.4代理认证Prox

2、yAuthentication62.5CAS2.0代理认证流程62.6CAS2.0凭证73LDAP84CAS整合LDAP配置过程94.1说明94.1LDAP安装(A)94.2配置服务器(A)104.3配置客户端（B,业务服务器）154.4关于CASTestClient和cas的说明165参考目录19Page19of20CAS整合LDAP实现单点登录学习笔记1单点登录什么是SSO（SingleSignOn）单点登录？所谓单点登录是指基于用户/会话认证的一个过程，用户只需一次性提供凭证（仅一次登录），就

3、可以访问多个应用。目前单点登录主要基于Web的多种应用程序，即通过浏览器实现对多个B/S架构应用的统一账户认证。Page19of20CAS整合LDAP实现单点登录学习笔记2CAS2.1JA-SIG（CAS）的设计愿景CAS（CentralAuthenticationService–中心认证服务）的目的就是使分布在一个企业内部各个异构系统的认证工作集中在一起，通过一个公用的认证系统统一管理和验证用户的身份。在CAS上认证的用户将获得CAS颁发的一个证书，使用这个证书，用户可以在承认CAS证书的各个系统

4、上自由穿梭访问，不需要再次的登录认证。打个比方：对于加入欧盟的国家而言，在他们国家中的公民可以凭借着自己的身份证，在整个欧洲旅行，不用签证。对于企业内部系统而言，CAS就是这个颁发欧盟认证的系统，其它系统都是加入欧盟的国家，它们要共同遵守和承认CAS的认证规则。因此CAS的设计愿景就是：1。实现一个易用的、能跨不同Web应用的单点登录认证中心；2。实现统一的用户身份和密钥管理，减少多套密码系统造成的管理成本和安全漏洞；3。降低认证模块在IT系统设计中的耦合度，提供更好的SOA设计和更弹性的安全策略2

5、.2CAS1.0服务架构实现我们以A公司的员工日志管理系统为例，如下图： 图2.1传统的用户认证流程使用CAS后的用户认证流程：Page19of20CAS整合LDAP实现单点登录学习笔记图2.2使用CAS后的用户认证流程示意图中，CAS相关部分被标示为蓝色。在这个流程中，员工solomon向日志系统请求进入主页面，他的浏览器发出的HTTP请求被嵌入在日志系统中的CAS客户端（HTTP过滤器）拦截，并判断该请求是否带有CAS的证书；如果没有，员工solomon将被定位到CAS的统一用户登录界面进行登录

6、认证，成功后，CAS将自动引导AT返回日志系统的主页面。 2.3CAS服务的具体实现  环境假设：用户User要访问业务系统Woolong；Woolong系统部署在WoolongServer上；CAS的系统搭建在服务器CASserver上。Page19of20CAS整合LDAP实现单点登录学习笔记图2.3CAS服务的具体实现图例说明： Step1:用户第一次访问Woolong系统主页http://Woolong/index.jsp;部署在Woolong系统上的CASFilter发现用户尚未登录，将用

7、户重定向的CAS登录界面：https://CASserver/cas/servlet/login?service=http://Woolong/index.jsp，同时在重定向的URL上用service参数将用户的目标地址传给CAS服务器。 Step2:用户在CAS的登录页上输入用户名密码登录，CAS服务器认证通过后，生成一个ticket，并带在目标地址的尾部返回客户端的浏览器redirect：http://Woolong/index.jsp?ticket=casticket. Step3:客户端浏

8、览器获得CAS服务器的认证应答，取得凭证ticket后，使用重定向的链接http://Woolong/index.jsp?ticket=casticket访问Woolong服务 Step4:WoolongServer上的CASFilter再次过滤访问请求，并获得ticket凭证。Filter将使用该凭证通过URLhttps://CASserver/cas/servlet/validate?service=http://Woolong/index.jsp&ticket=