CAS框架下配置SSO

CAS框架下配置SSO报告

目录

一、SSO（single sign on）单点登录原理

二、CAS架构和基本原理

三、CAS配置实现SSO

（一）配置环境

（二）添加安全证书

（三）实现sso

四、keytool的介绍

（一）密钥与证书

（二）证书的操作

五、HTTPS和SSL

（一）HTTPS简介

（二）SSL（server socket layer）简介

（三）SSL工作原理

sso（single sign on）单点登录原理

单点登录（Single Sign On），简称为SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

当用户第一次访问应用系统1的时候，因为还没有登录，会被引导到认证系统中进行登录；根据用户提供的登录信息，认证系统进行身份效验，如果通过效验，应该返回给用户一个认证的凭据－－ticket；用户再访问别的应用的时候就会将这个ticket带上，作为自己认证的凭据，应用系统接受到请求之后会把ticket送到认证系统进行效验，检查ticket的合法性。如果通过效验，用户就可以在不用再次登录的情况下访问应用系统2和应用系统3了。

CAS架构和基本原理

CAS官方网站：http：//https://www.360docs.net/doc/8e3887338.html,/https://www.360docs.net/doc/8e3887338.html,/

CAS是（Central Authentication Service）是Yale大学发起的构建Web SSO的Java开源项目。

◇CAS的结构体系

1、CAS Server

CAS Server负责完成对用户信息的认证，需要单独部署，CAS Server能够处理用户名、密码等凭证（Credentials）。

2、CAS Client

CAS Client部署在客户端，对本地Web应用受保护资源的访问请求，并且对请求进行身份认证，重新定向到CAS Server进行认证。

◇CAS框架原理

CAS Client 以过滤器的方式保护Web应用的受保护资源，过滤从客户端过来的每一个Web请求，同时，CAS Client 会分析HTTP请求中是否包含请求Service Ticket，如果没有，则说明该用户是没有经过认证的，CAS Client会重定向用户请求道CAS Server。如果用户提供了正确的认证信息，CAS Server会产生一个随机的Service Ticket，会向User发送一个Ticket Granting Cookie（TGC）给User的浏览器，并且重定向用户到CAS

Client（携带着Ticket），CAS Client和CAS Server之间完成一个对用户的身份核实，用Ticket查到Username，认证成功。

◇CAS实现SSO

当用户访问网站再次被重定到CAS Server会主动获到这个TGC，如果User持有TGC 且还没失效，那么就可以直接访问网站，实现SSO；如果TGC失效，那么用户还是要重新认证。

CAS配置实现SSO

◇配置环境

我们下载apache-tomcat-6.0.20，并将CAS Server 和CAS Client同时放在Tomcat的webapps目录下。下载jdk1.6.0_21，并配置好JDK和Tomcat的环境变量。

配置方法如下：

右键点击我的电脑→属性→高级系统设置→环境变量，在系统变量中添加变量CLASSPATH设置值为

.;%JA V A_HOME%\lib\dt.jar;%JA V A_HOME%\lib\tools.jar;%JA VA_HOME%\lib;%CATAL INA_HOME%\lib（注意在值最前面有一个“.”）

添加一个变量JA V A_HOME，设置值为：

C:\Program Files\Java\jdk1.6.0_21（根据自己安装的jdk的路径填写）

添加一个变量Path，设置值为：

;%JA V A_HOME%\bin;%JA V A_HOME%\jre\bin;%CATALINA_HOME%\bin;C:\Program Files\MySQL\MySQL Server 5.1\bin;C:\Program Files\Microsoft SQL Server\80\Tools\Binn\

配置Tomcat环境变量：

添加变量CATALINA_HOME，设置值为：

C:\Program Files\apache-tomcat-6.0.20

配置完成后，启动tomcat，并输入http://localhost：8080/，此时显示出tomcat的欢迎界面。

从CAS官方网站上下载：cas-server-3.3.3-release.zip

Cas-client-java-2.1.1

Server需要的Jar包：cas-Server-support-jdbc-3.3.3.jar

Mysql-connector-java-5.1.7-bin.jar

Org.springframework.jdbc-3.0.0.M3.jar

Client需要的jar包：casclient-2.1.1.jar

Commons-logging-1.0.4.jar

◇添加安全证书

1、生成server的证书库文件

在dos命令下将默认路径更改到keytool.exe所在的目录下，也就是c:\program files\java\jdk\bin（根据自己的jdk路径更改）。

并在输入如下命令：

Keytool –genkey –alias tomcat –keyalg RSA –keystore keystore-file

输入命令后，会显示“输入keystore密码”（密码为自己设置）。接下来按照系统提示完成相关内容的填写。系统生成的证书文件（.keystore）默认存储在用户目录下，将其复

制到tomcat\conf目录下。

2、导出Server端的证书文件。

输入如下命令：

Keytool –export –file myserver.crt –alias tomcat –keystore .keystore

证书导出到java\jre6\bin目录下。

3、在客户端的JVM里的证书库cacers中导入信任的SERVER的证书

Keytool –import –keystore cacerts –file myserver.crt –alias tomcat

然后将cacerts（在java\jre6\bin目录下）复制到java/jre/lib/security目录下。

实现SSO（这里以tomcat自带的examples为例）

1、将cas-Server-3.3.3-release.zip解压，并将\ cas-Server-3.3.3\modules cas-Server-webapp-3.3.3.war文件拷贝到tomcat\webapps下，并改名为cas.war。

2、将casclient-2.1.1.jar和commons-logging-1.0.4.jar拷贝到examples\web-INF\lib目录下。

3、修改Tomcat配置文件，启用SSL和HTTPS，tomcat/conf/server.xml里取消下面代码的注释：

port="8443" sprotocol="HTTP/1.1" SSLEnabled="true"

maxThreads="150" scheme="https" secure="true"

clientAuth="false" sslProtocol="TLS" />

在其中添加keystorePass="8903239" keystoreFile="/conf/.keystore"

配置好后，代码如下：

port="8443" sprotocol="HTTP/1.1" SSLEnabled="true"

maxThreads="150" scheme="https" secure="true"

clientAuth="false" sslProtocol="TLS"

keystorePass="8903239" keystoreFile="/conf/.keystore"/>

注意：keystorePass="8903239‖,就是再生成证书时设置的密码

keystoreFile="/conf/.keystore"就是证书文件的存放路径

4、在tomcat\webapps\examples\web.xml中增加如下代码：

SSL

/*

CONFIDENTIAL

注释：transport-guarantee元素指定了客户端和服务器的通信关系，有NONE,INTEGRAL,CONFIDENTIAL,NONE表示应用不需要任何传输保障，INTEGRAL 表示数据在客户端到服务器的过程中不能有任何改变。CONFIDENTIAL表示在传输过

程中防止其他传输内容的干扰。在使用SSL是常用的是INTEGRAL和CONFIDENTIAL。

5、修改examples\web-INF\lib中web.xml文件。

在要使用CAS的客户端应用里设置实现SSO。

CASFilter

edu.yale.its.tp.cas.client.filter.CASFilter

edu.yale.its.tp.cas.client.filter.loginUrl

https://Server：port:8443/cas/login

edu.yale.its.tp.cas.client.filter.validateUrl

https:// Server：port/cas/proxyValidate

edu.yale.its.tp.cas.client.filter.serverName

client：port

CASFilter

/*

配置好的例子：

CASFilter

edu.yale.its.tp.cas.client.filter.CASFilter

edu.yale.its.tp.cas.client.filter.loginUrl

https://wu-PC:8443/cas/login

edu.yale.its.tp.cas.client.filter.validateUrl

https://wu-PC:8443/cas/proxyValidate

edu.yale.its.tp.cas.client.filter.serverName

wu-PC:8443

CASFilter

/*

（wu-pc为主机名）

6、测试。

在internet浏览器上输入http：//主机名:8443/examples

链接到cas登录界面进行测试。

7、注销功能

CAS Single Sign Out Filter

org.jasig.cas.client.session.SingleSignOutFilter

CAS Single Sign Out Filter

/*

org.jasig.cas.client.session.SingleSignOutHttpSessionListener

！注意：这段代码要写在casfiler的前面，否则运行时会报错。

Keytool的介绍

1、密钥与证书

keytool 是个密钥和证书管理工具。它使用户能够管理自己的公钥/私钥对及相关证书，用于（通过数字签名）自我认证（用户向别的用户/服务认证自己）或数据完整性以及认证服务。它还允许用户储存他们的通信对等者的公钥（以证书形式）。

证书是来自一个实体（个人、公司等）的经数字签名的声明，它声明某些其它实体的公钥（及其它信息）具有某一的特定值（参见证书）。当数据被数字化签名后，校验签名即可检查数据的完整性和真实性。完整性的意思是数据没有被修改或损坏过，真实性的意思是数据的确是来自声称创建了该数据和对它进行了签名的实体。

keytool 将密钥和证书储存在一个所谓的密钥仓库中。缺省的密钥仓库实现将密钥仓库实现为一个文件。它用口令来保护私钥。

jarsigner 工具利用密钥仓库中的信息来产生或校验Java 存档(JAR) 文件的数字签名（JAR 文件将类文件、图象、声音和/或其它数字化数据打包在一个文件中）。jarsigner 用JAR 文件所附带的证书（包含于JAR 文件的签名块文件中）来校验JAR 文件的数字签名，然后检查该证书的公钥是否―可信任‖，即是否包括在指定的密钥仓库中。

请注意：keytool 和jarsigner 工具完全取代了JDK 1.1 中提供的javakey 工具。这些新工具所提供的功能比javakey 提供的多，包括能够用口令来保护密钥仓库和私钥，以及除了能够生成签名外还可以校验它们。新的密钥仓库体系结构取代了javakey 所创建和管理的身份数据库。可以利用-identitydb keytool 命令将信息从身份数据库导入密钥仓库。

通过keytool –help可以查看它的用法。

每一个证书库是一个文件组成，他有访问密码，在首次创建时，它会自动生成证书

库，并要求指定访问证书库的密码。

在创建证书库的时候，需要填写证书的信息和对应的私用密钥。这些信息包括CN （common name –名字与姓氏）：域名，比如localhost，OU（organization unit –组织单位名称），O（organization 组织名称），L（locality 城市或区域名称），ST（state –州或省份名称），C（country –国家名称）。

☆创建一个证书

指定证书库为D：/keystore/test,创建别名为tomcat的一条证书，它指定用RSA算法生成，且指定密钥长度为1024，证书有效期为1年：

Keytool –genkey –alias Tomcat –keyalg RSA –keysize 1024 –keystore c：/keystore/test –validity 365

显示证书：keytool –list –keystore C：/keystore/test将显示证书库中所有证书的列表。

☆导出证书文件

使用命令：keytool –export –alias tomcat –file C：/keystore/TC.cer –keystore c:/keystore/test将把证书库中的别名为tomcat的证书导出到TC。Cer证书文件中，它包含证书主体的信息及证书的公钥，不包括私钥，可以公开。

导出的证书文件是以二进制编码文件，无法用文本编辑器正确显示，可以加上–rfc 参数以一种可打印的编者编码输出，如;

Keytool –export –alias tomcat –file C:/keystore/TC.cer –keystore c:/keystore/test –rfc

☆查看证书信息

通过命令：keytool –printcert –file D：/keystore/TC.cer可以查看证书文件的信息，也可以在windows资源管理器重双击产生的证书文件查看。

☆删除密钥库中的条目

Keytool –delete –alias tomcat –keystore C：/keystore/test

这条命令将C:/keystore/test库中的tomcat这条证书删除了。

☆修改证书条目口令

Keytool –keypasswd –alias tomcat –keystore c:/keystore/test,可以用交互的方式修改c:/keystore/test证书库中的条目为tomcat的证书。

Keytool –keypasswd –alias tomcat –keypass oldpasswd –new newpasswd –storepass storepasswd –keystore C:/keystore/test这一行命令以非交互的方式修改库中别名为tomcat 的证书的密码为新密码newpasswd，行中的oldpasswd是指该条证书的圆密码，storepasswd是指证书库的密码。

HTTPS和SSL

1、HTTPS简介

HTTPS（Secure Hypertext Transfer Protocol）安全超文本传输协议，它是由Netscape 开发并内置于浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果，HTTPS实际上应用了netscape的完全套接字层（SSL）作为HTTP应用层的子层，（HTTPS 使用端口8443，而不是像HTTP那样使用端口8080来和他、TCP/IP进行通信）。

2、SSL（Server Socket Layer）简介

在网络上信息在源-宿的传递过程中会经过其它的计算机。一般状况下，中间的计算机不会坚挺路过的信息，但在使用网上银行或者进行信用卡交易的时候有可能被监视，从而导致个人隐私的泄露。由于Internet和Intranet体系结构的原因，总有某些人能够读取并替换用户发出的信息。随着网上支付的不断发展，人们对信息安全的要求也越来越高。因此Netscape公司提出了SSL协议，旨在达到在开放网络（Internet）上安全保密地传输信息的目的，这种协议在web上获得了广泛的应用，之后IETF（https://www.360docs.net/doc/8e3887338.html,）对SSL作了标准化，即RFC2246，并将其称为TLS（Transport Layer Security）,从技术上讲，TLS1.0与SSL3.0的差别非常小。

3、SSL工作原理

用户浏览器将其SSL版本号、加密设置参数、与session有关的数据以及其它一些必要信息发送到服务器。服务器将其SSL版本号、加密设置参数、与session有关的数据以及其它一些必要信息发送给浏览器，同时发给浏览器的还有服务器的证书。如果配置服务器的SSL需要验证用户身份，还要发出请求要求浏览器提供用户证书。客户端检查服务器证书，如果检查失败，提示不能建立SSL连接。如果成功，那么继续。客户端浏览器为本次会话生成pre-master secret，并将其用服务器公钥加密后发送给服务器。如果服务器要求鉴别客户身份，客户端还要再对另外一些数据签名后并将其与客户端证书一起发送给服务器。如果服务器要求鉴别客户身份，则检查签署客户证书的CA是否可信。如果不在信任列表中，结束本次会话。如果检查通过，服务器用自己的私钥解密收到的pre-master secret，并用它通过某些算法生成本次会话的master secret。客户端与服务器均使用此master secret生成本次会话的会话密钥(对称密钥)。在双方SSL 握手结束后传递任何消息均使用此会话密钥。这样做的主要原因是对称加密比非对称加密的运算量低一个数量级以上，能够显著提高双方会话时的运算速度。客户端通知服务器此后发送的消息都使用这个会话密钥进行加密。并通知服务器客户端已经完成本次SSL握手。服务器通知客户端此后发送的消息都使用这个会话密钥进行加密。并通知客户端服务器已经完成本次SSL握手。本次握手过程结束，会话已经建立。双方使用同一个会话密钥分别对发送以及接受的信息进行加、解密。