分布式用戶認證為單點登錄護航 上篇
校園網(wǎng)統(tǒng)一身份認證案例描述
某大學現(xiàn)有外網(wǎng)和內網(wǎng)應用系統(tǒng)兩大類。內網(wǎng)應用系統(tǒng)包括各院系、機構的二級部門應用系統(tǒng)，大多采用B/S模式實現(xiàn)，B/S模式的WWW服務器一般采用IIS和Apache實現(xiàn)Web訪問，還有少量Domino。外網(wǎng)系統(tǒng)可以通過互聯(lián)網(wǎng)直接訪問，不需要認證用戶身份。而內網(wǎng)系統(tǒng)需要身份認證才能進行訪問，內網(wǎng)中各個系統(tǒng)的用戶身份標識和口令又不統(tǒng)一，同一用戶訪問多個應用系統(tǒng)時需要輸入不同的用戶名和口令。為了解決身份認證的問題，此大學將身份認證系統(tǒng)作為校園網(wǎng)建設的重要內容之一，從而實現(xiàn)校外用戶訪問校園網(wǎng)內應用系統(tǒng)的身份認證功能。
統(tǒng)一認證需求分析—認證需求
目前校外用戶訪問校園網(wǎng)內的應用系統(tǒng)時，采用反向代理進行訪問控制。現(xiàn)在，我們需要配置一套身份認證系統(tǒng)，當校外用戶訪問校內應用系統(tǒng)時，系統(tǒng)可以對其進行身份認證，從而取消反向代理服務器。主要需求如下：
1. 用戶標識采用統(tǒng)一編碼規(guī)則
校園網(wǎng)內的用戶（包括教師、學生）采用統(tǒng)一的編碼規(guī)則，實現(xiàn)用戶身份的唯一標識(目前校內已有相應的規(guī)范)。
2. 身份認證系統(tǒng)與數(shù)據(jù)中心實時聯(lián)動
學校已經(jīng)建設了數(shù)據(jù)中心，因此身份認證系統(tǒng)中的用戶標識可以從數(shù)據(jù)中心獲得，并能與之實施聯(lián)動。
3. 校內用戶無需身份認證
校園網(wǎng)內的用戶訪問校園網(wǎng)應用系統(tǒng)時，因為已在網(wǎng)絡連接時進行了端口認證，因此，無需再次進行身份認證。
4. 校外用戶需要身份認證
校外用戶訪問校園網(wǎng)業(yè)務系統(tǒng)時需要進行身份認證，用戶通過認證后，再次訪問應用系統(tǒng)時，不需要二次認證。
統(tǒng)一認證需求分析—單點登錄需求
目前用戶在使用校園網(wǎng)內的多個業(yè)務系統(tǒng)時，必須輸入多個用戶名和口令進行多次認證，這給用戶在使用系統(tǒng)時帶來了很多麻煩，同時也增加了系統(tǒng)的維護工作量。因此現(xiàn)在需要有一個系統(tǒng)或機制實現(xiàn)“一次登錄，全網(wǎng)可用”，即實現(xiàn)單點登錄。主要需求如下：
1.整合所有應用系統(tǒng)
校園網(wǎng)內業(yè)務系統(tǒng)大多采用B/S模式，也有少量采用C/S模式，單點登錄系統(tǒng)需要整合所有需要登錄驗證的應用系統(tǒng)。
2.一次認證，多次使用
校園網(wǎng)用戶只需在網(wǎng)絡連接或初始登錄時輸入用戶名/口令進行認證，認證通過后，用戶訪問其他系統(tǒng)也使用同一用戶身份，無需再次認證。
3.用戶資源訪問審計
用戶登錄后對校園網(wǎng)內資源的所有訪問都記入日志，以便事后進行審計。
身份認證系統(tǒng)的總體設計和網(wǎng)絡構架與實現(xiàn)的內容我們將會在下一節(jié)中介紹：分布式用戶認證為單點登錄護航 下篇
【編輯推薦】
