CAS整合LDAP实现单点登录学习笔记
SJTU
Crushing Blow ——CAS整合LDAP实现单点登录学习笔记
Solomon leo
solomonleo@https://www.360docs.net/doc/b38034690.html,
8/15/2010
目录
Contents
目录 (1)
1单点登录 (2)
2 CAS (3)
2.1 JA-SIG（CAS）的设计愿景 (3)
2.2 CAS1.0服务架构实现 (3)
2.3 CAS服务的具体实现 (4)
2.4代理认证Proxy Authentication (6)
2.5 CAS2.0代理认证流程 (6)
2.6 CAS2.0凭证 (7)
3 LDAP (8)
4 CAS整合LDAP配置过程 (9)
4.1说明 (9)
4.1 LDAP安装(A) (9)
4.2 配置服务器(A) (10)
4.3 配置客户端（B,业务服务器） (15)
4.4关于CASTestClient和cas的说明 (16)
5参考目录 (19)
1单点登录
什么是SSO（Single Sign On）单点登录？
所谓单点登录是指基于用户/会话认证的一个过程，用户只需一次性提供凭证（仅一次登录），就可以访问多个应用。
目前单点登录主要基于Web的多种应用程序，即通过浏览器实现对多个B/S架构应用的统一账户认证。
2CAS
2.1 JA-SIG（CAS）的设计愿景
CAS（Central Authentication Service –中心认证服务）的目的就是使分布在一个企业内部各个异构系统的认证工作集中在一起，通过一个公用的认证系统统一管理和验证用户的身份。在CAS上认证的用户将获得CAS颁发的一个证书，使用这个证书，用户可以在承认CAS证书的各个系统上自由穿梭访问，不需要再次的登录认证。
打个比方：对于加入欧盟的国家而言，在他们国家中的公民可以凭借着自己的身份证，在整个欧洲旅行，不用签证。对于企业内部系统而言，CAS就是这个颁发欧盟认证的系统，其它系统都是加入欧盟的国家，它们要共同遵守和承认CAS的认证规则。
因此CAS的设计愿景就是：
1。实现一个易用的、能跨不同Web应用的单点登录认证中心；
2。实现统一的用户身份和密钥管理，减少多套密码系统造成的管理成本和安全漏洞；
3。降低认证模块在IT系统设计中的耦合度，提供更好的SOA设计和更弹性的安全策略
2.2CAS1.0服务架构实现
我们以A公司的员工日志管理系统为例，如下图：
图2.1传统的用户认证流程
使用CAS后的用户认证流程：
图2.2使用CAS后的用户认证流程
示意图中，CAS相关部分被标示为蓝色。在这个流程中，员工solomon向日志系统请求进入主页面，他的浏览器发出的HTTP请求被嵌入在日志系统中的CAS客户端（HTTP过滤器）拦截，并判断该请求是否带有CAS的证书；如果没有，员工solomon将被定位到CAS的统一用户登录界面进行登录认证，成功后，CAS将自动引导AT返回日志系统的主页面。
2.3 CAS服务的具体实现
环境假设：用户User要访问业务系统Woolong；Woolong系统部署在WoolongServer上；CAS的系统搭建在服务器CASserver上。
图2.3CAS服务的具体实现
图例说明：
Step1: 用户第一次访问Woolong系统主页http://Woolong/index.jsp;
部署在Woolong系统上的CASFilter发现用户尚未登录，将用户重定向的CAS登录界面：https://CASserver/cas/servlet/login?service=http://Woolong/index.jsp，
同时在重定向的URL上用service参数将用户的目标地址传给CAS服务器。
Step2:用户在CAS的登录页上输入用户名密码登录，CAS服务器认证通过后，生成一个ticket，并带在目标地址的尾部返回客户端的浏览器redirect：http://Woolong/index.jsp?ticket=casticket.
Step3:客户端浏览器获得CAS服务器的认证应答，取得凭证ticket后，使用重定向的链接http://Woolong/index.jsp?ticket=casticket访问Woolong服务
Step4: WoolongServer上的CASFilter再次过滤访问请求，并获得ticket凭证。Filter将使用该凭证通过URL https://CASserver/cas/servlet/validate?service=http://Woolong/index.jsp&ticket=casticket向CAS认证中心确认对应的服务请求和凭证是否有效。
根据CAS服务器返回的结果，如果凭证有效，则CASFilter允许用户进入http://Woolong/index.jsp 所指向的页面；否则，再次重定向到https://CASserver/cas/servlet/login?service=http://Woolong/index.jsp上要求用户进行认证。
2.4代理认证Proxy Authentication
假设有一下这样的应用场景：用户solomon 早晨来到公司，他的第一件事就是进入泓浩公司的WooLong 系统浏览一天的新咨询，如股票信息、天气情况、业界新闻。他通过CAS 的身份认证登录了门户系统，看到了他订制的信息。之后，他要访问WooLong 中的邮件信息，看看有没有新的邮件。这时候WooLong 系统必须访问他的IMAP 服务器，这需要他的私人密码。我们知道WooLong 是通过CAS 对solomon 进行认证的，因此WooLong 上没有solomon 的个人密码信息。这时，我们发现，WooLong 需要代表solomon 的身份向IMAP 服务器提交身份认证，而这正是Proxy Authentication 的作用。
图2.4代理认证流程
其中蓝色线表示HTTP 或HTTPS 的请求；红色线表示应答；黑色线表示来自CAS server 端的回调操作。
2.6 CAS2.0凭证
在CAS系统中，各方通过凭证(Ticket)对用户身份进行验证。CAS系统中设计了5种凭证:TGC、ST、PGT、PGTIOU、PT。
TGC(Ticket-Granting Cookie):存放用户身份认证凭证的cookie，在浏览器和CAS间通讯时使用，并且只能基于安全通道传输，是CAS用来明确用户身份的凭证；
ST(Service Ticket):服务的惟一标识码。由CAS Server发出，通过客户端浏览器到达业务服务器端。一个特定的服务只能有一个惟一的ST；
PGT(Proxy-Granting ticket):由CAS Server颁发给拥有ST凭证的服务。PGT绑定一个用户的特定服务，使其拥有向CAS Server申请，获得PT的能力；
PGTIOU(Proxy-Granting Ticket IOU):作用是将通过凭证校验时的应答信息由CAS Server返回给CAS Client，同时，与该GTIOU对应的PGT将通过回调链接传给Web应用。Web应用负责维护PGTIOU与PGT之间映射关系的内容表；
PT(Proxy Ticket):是应用程序代理用户身份对目标程序进行访问的凭证。PT保存有代理及代理们进行逐级访问过程的信息。
3 LDAP
LDAP是轻量目录访问协议，英文全称是Lightweight Directory Access Protocol，一般都简称为LDAP。它基于X.500标准，并可以根据需要定制。与X.500不同，LDAP支持TCP/IP，这对访问Internet是必须的。
简单说来，LDAP是一个得到关于人或者资源的集中、静态数据的快速方式。
LDAP与关系数据库相似，是具有描述性的基于属性的记录集合，但它的数据类型主要是字符型，为了检索的需要添加了BIN（二进制数据）、CIS（忽略大小写）、CES（大小写敏感）、TEL（电话型）等语法（Syntax），而不是关系数据库提供的整数、浮点数、日期、货币等类型，同样也不提供象关系数据库中普遍包含的大量的函数，它主要面向数据的查询服务（查询和修改操作比一般是大于10:1），不提供事务的回滚（rollback）机制，它的数据修改使用简单的锁定机制实现All-or-Nothing，它的目标是快速响应和大容量查询并且提供多目录服务器的信息复制功能。
LDAP最大的优势是：可以在任何计算机平台上，用很容易获得的而且数目不断增加的LDAP的客户端程序访问LDAP目录。而且也很容易定制应用程序为它加上LDAP的支持。
4 CAS整合LDAP配置过程4.1说明
A
CAS验证服务器
ip地址：192.168.1.30
B
CAS客户端，WooLong业务系统
ip地址：192.168.1.46
（不再对图进行编号，太累）
4.1 LDAP安装(A)
如果不使用LDAP进行账号存储，此过程可跳过。
安装LDAP数据库：
数据库服务器
apacheds-1.5.6-setup
数据库客户端
ApacheDirectoryStudio-win32-1.5.2.v20091211
开启服务ApacheDirectory
导入OnlineStore_backup.ldif
4.2 配置服务器(A)
配置host（c盘下）文件中的域名: 192.168.1.30 casserver
安装tomcat
开启SSL
使用命令提示符进入到Tomcat安装目录：
1. 生成服务端密匙，执行以下命令
keytool -genkey -alias 别名keyalg RSA -keypasschangeit
-storepasschangeit -keystoreserver.keystore
例：keytool -genkey -alias casserver -keyalg RSA -keypasschangeit -storepasschangeit -keystoreserver.keystore
导入cas
拷贝cas文件夹到tomcat webapps(A)目录下，cas是验证服务器端测试验证程序。
检测SSL
打开浏览器，输入:https://localhost:8443/cas
4.3 配置客户端（B,业务服务器）
配置host（c盘下）文件中的域名
安装tomcat
连接服务器
>javac InstallCert.java
>java InstallCert.java ldapserver:8443
然后输入1，确认即可生成jssecacerts文件
copycacerts
jssecacerts(InstallCert生成的)改名为cacerts
copy到$java_home/jre/lib/security目录下（这里目标目录原则和cas验证服务器端相同）
导入CASTestClient
拷贝CASTestClient文件夹到tomcat webapps(B)目录下
检测单点登录
打开浏览器，输入:http://localhost:8080/CASTestClient，此时，客户端重定向到cas验证服务器端登录界面，一旦完成验证，则重定向到WooLong业务系统主页。不关闭浏览器，打开新标签输入http://localhost:8080/CASTestClient，则无需验证，直接到达WooLong业务系统主页。
4.4关于CASTestClient和cas的说明
cas是验证服务器的最简单的验证服务，用户名和密码一样时即可通过验证。
CAST estClient是一个简单的web应用，主要需要对其web.xml加入CAS Filter。
如果想用ldap的数据进行账号验证，则需要在验证服务器的cas应用中加上一定的修改。修改步骤如下：
1. 添加“spring-ldap-1.3.0.RELEASE-all.jar”可以在spring的官方网站上找到，添加
“cas-server-support-ldap-3.3.2.jar”可以在cas官网下载的cas-server-3.3.2目录
cas-server-3.3.2\modules下找到。（此处两个jar包在附带的文件下均已存在）
2. 打开目录Tomcat6\webapps\cas\WEB-INF 找到配置文件“deployerConfigContext.xml”，我们要将
“SimpleTestUsernamePasswordAuthenticationHandler”替换成“FastBindLdapAuthenticationHandler”，分两步完成：
a) 添加一个contextSource
b)替换掉原有的Handler
5参考目录
LDAP Authentication Handler（cas整合ldap，官方材料，权威，英文比较浅显易懂）https://https://www.360docs.net/doc/b38034690.html,/display/CASUM/LDAP
使用CAS 在Tomcat 中实现单点登录（cas启蒙，很好的一篇介绍，IBM）
https://www.360docs.net/doc/b38034690.html,/developerworks/cn/opensource/os-cn-cas/index.html
JA-SIG（CAS）学习笔记2（cas文献和主要逻辑图参考）
https://www.360docs.net/doc/b38034690.html,/blog/165310
LDAP百度百科（ldap文献参考）
https://www.360docs.net/doc/b38034690.html,/view/159263.htm?fr=ala0_1
Central Authentication Service（CAS）之三（LDAP）（ldap的支持jar包版本与该文章一致）https://www.360docs.net/doc/b38034690.html,/arlen_ye/archive/2009/10/13/4665796.aspx
CAS 配置（基于tomcat 6）（包含了登出功能）
https://www.360docs.net/doc/b38034690.html,/tianlincao/archive/2010/03/13/5376208.aspx
让CAS支持客户端自定义登陆页面（cas进阶，可自定义登录页面）
https://www.360docs.net/doc/b38034690.html,/fallenlord/blog/item/b031e83e87159cca7c1e7127.html
LDAP与CAS单点登录集成（sso高手，贴代码流，可以在拿不定的时候看看，文字较少）https://www.360docs.net/doc/b38034690.html,/five00/blog/category/Ldap/index/1
CAS_SSO单点登录实例详细步骤
CAS SSO单点登录实例详细步骤 原创作者：孙俊财
第一步 1、用keytool生成证书： 命令： keytool -genkey -alias sjc -keyalg RSA -keysto re c:/store/mykey 说明: 这里-alias sjc 是表示生成的这个证书的别名叫sjc，-keyalg RSA 指的是采用的RSA算法，-keystore c:/store/mykey是指生成的证书存储的位置。回车后会提示你输入keystore password，这可以自己定(这里输入sunjuncai,下面配tomcat时要用的)，然后是一些个人信息及组织信息，可以轻松搞定。 注意：密码输入后，会让你输入其他信息，记得这里第一个姓名必须是服务器的域名这里我输入的是完整计算机名称：gaofeng.nmc.hamcc 这里要注意如果不这样写就会报如下异常： java.io.IOException: HTTPS hostname wrong: should be
您的名字与姓氏是什么？ [Unknown]：gaofeng.nmc.hamcc 您的组织单位名称是什么？ [Unknown]：上海神洲数港 您的组织名称是什么？ [Unknown]：网络优化 您所在的城市或区域名称是什么？ [Unknown]：郑州 您所在的州或省份名称是什么？ [Unknown]：河南 该单位的两字母国家代码是什么 [Unknown]：ZH CN= gaofeng.nmc.hamcc, OU=上海神洲数港, O=网络优化, L=郑州, ST=河南, C=ZH 正确吗？ [否]：y 输入
LDAP配置
LDAP 中的访问控制列表 本节介绍Senior Level Linux Professional (LPIC-3) 301 考试的303.2 主题的内容。此主题的权值是2。 在本节中，学习如何： ?计划LDAP 访问控制列表 ?了解访问控制语法 ?授予和撤消LDAP 访问权限 LDAP 树中可以存储各种数据，包括电话号码、出生日期和工资表信息。其中一些数据可能是公开的，一些数据可能只能由由特定的人访问。根据用户的不同，同样的信息可能有不同的限制。例如，也许只有记录的所有者和管理员可以更改电话号码，但是每个人都可以读取这些号码。访问控制列表(ACL) 处理这些限制的配置。 计划LDAP 访问控制列表 在开始编写配置之前，应该确定要实现的目标。树的哪部分包含敏感信息？哪些属性需要保护，保护其不被谁访问？如何使用树？ ACL 的组件 ACL 条目提供三条信息： 1.ACL 指定what条目和属性 2.ACL 应用于who 3.授予的access级别
指定 “what” 子句时，可以选择根据对象的区分名（distinguished name ，DN ）、LDAP 风格的查询筛选器、属性列表或以上三者的 组合来进行筛选。最简单的子句允许一切内容，但也可以有很多限制。 根据 DN 筛选允许您指定精确匹配，比如 ou=People,dc=ertw,dc=com 或正则表达式 （参阅 “正则表达式”） 查询筛选器可以匹配特定的 objectClass 或其他属性。属性列表中的属性名称用逗号分隔。更复杂的匹配条件可以是 “身份是管理员的 ou=People,dc=ertw,dc=com 下的所有密码条目”。 可以灵活地确定将 ACL 应用于 who 。用户一般由绑定到树上的 DN 来识别，这称为 bindDN 。每个 LDAP 条目可以具有一个 userPassword 属性，用于对特定的用户进行身份验证。在一些上下文中，您可以将当前登录的用户称为自己， 这有利于允许用户编辑自己的详细信息。 如果用户没有绑定，则被视为匿名用户。默认情况下，匿名用户可以 读取树，所以您必须决定是否需要更改此行为。可以通过 IP 地址或 用于连接的方法（比如明文和加密的方法）来对匿名用户（或任何用户）进行分割。 一旦确定了 what 和 who ，必须确定访问级别。访问权限可以是无 一直到写 访问。还可以指定用户可以验证条目，但不可以读取；或可以允许用户读取、搜索和比较访问。 无论如何配置您的 ACL ，任何已配置的 rootDN 用户可以完全控制其数据库。不可以对此进行更改，除非将 rootDN 配置从 slapd.conf 中移除。 了解访问控制语法 ACL 的基本格式使用 Backus-Naur Form 表示，也就是： access to
简单的单点登录实现过程及效果展示
一、实现过程 从用到的jar包文件夹的cas-server-3.3.1modules中找出cas.war放到tomcat/webapps下面(cas-server-webapp-3.3.1.war重命名即可)。 现在cas默认的server端已经有了，下面自己写2个客户端测试一下 MyEclipse里面新建web project:sso 新建类HelloWorldExample package servlet; import java.io.IOException; import java.io.PrintWriter; import java.util.Enumeration; import javax.servlet.ServletException; import javax.servlet.http.HttpServlet; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; public final class HelloWorldExample extends HttpServlet { public void doGet(HttpServletRequest request, HttpServletResponse response) throws IOException, ServletException { response.setContentType("text/html");
PrintWriter writer = response.getWriter(); writer.println(""); writer.println("
"); writer.println(""); writer.println("![](\"images/tomcat.gif\") "); writer.println(" | "); writer.println(""); writer.println("Sample Application Servlet"); writer.println("This is the output of a servlet that is part of"); writer.println("the Hello, World application."); writer.println(" | "); writer.println("
LDAP认证方式
LDAP认证方式，https加密传输 他们用的是WSS3.0 + LDAP认证方式，https加密传输，主要用于做文档管理，没有任何自己开发的代码在其中。 首先是关于崩溃问题（笔记记载如下）： 前两天出了一点小故障，问题描述要比解决方案复杂得多。。 开始可以出现登录页面，但是登录上去就抱错，说找不到default页面，然后看到winows update里面有个sharepoint的升级，就运行了。重启了机器后sharepoint的务就挂了。。。 唯一能想到的修复方法就是运行那个sharepoint配置向导，但是第9步会说spadmin服务没有起，十分伤心。就扔下不管了。 今天有人要用了，只好硬着头皮看看，发现这次配置向导竟然通过了。唉，微软的东西就是搞不懂，不过网站还是起不来，就乱改了一通iis配置，然后又用配置向导修复了好几次，终于可以出现登录页面了，但总说我登录不上。研究了半天估计是ldap配置出了问题，果然一检查是把上面2的web.config给覆盖了，于是恢复了就好了。。。 现在想一想当初可能就是升级后把一些配置给我覆盖了吧。。 然后是关于WSS3.0如何使用LDAP认证的问题： 基本按照网上的一些步骤配置，不过有些改动，详细内容可以参考这个网页： https://www.360docs.net/doc/b38034690.html,/helloitsliam/archive/2006/08/15/10027.aspx 这里只说一下具体做法 1. 从一个装了moss2007的机器上copy一个microsoft.office.server.dll文件放在桌面上，在 C:\Program Files\Common Files\Microsoft Shared\web server extensions\12\ISAPI目录，然后将这个文件拖进c:\WINDOWS\assembly目录，注意一定要拖进。。 2. 修改sharepoint管理中心网站和web网站的web.config文件，默认在 c:\Inetpub\wwwroot\wss\VirtualDirectories\80(和另一个管理端口) 在
CAS单点登录配置全过程
CAS配置全过程 软件工具： 1.cas-server-3.3.5-release.zip（CAS服务端） 2.cas-client- 3.1.10-release.zip（CAS客户端） 3.apache-tomcat-7.0.40 https://www.360docs.net/doc/b38034690.html,mons-dbcp-all-1.3-r699049.jar 5.mysql-connector-java-5.1.18-bin.jar 6.cas-server-jdbc-3.0.5-rc2.jar 写在前面的话 此配置是根据当前系统，当前的版本，仅供参考，如果有什么其他的问题可以一起研究。 第一节：先走通技术障碍 第一步：环境部署 1.在Tomcat 根目录下创建一个cas目录。 2.下载CAS服务器并解压，打开cas-server- 3.3.5\modules，将cas-server-webapp-3.3.5.war复制到刚刚在Tomcat创建的cas目录下，并重命名为ROOT.war 3.修改host文件（C:\Windows\System32\drivers\etc）添加 127.0.0.1 https://www.360docs.net/doc/b38034690.html, 注意：如果想在一台PC机上模拟这个单点登录，就必须域名重定向，如果是多台ＰＣ机，
可以不配置此项，下文有用到https://www.360docs.net/doc/b38034690.html,，可以用相应ＰＣ机的ＩＰ代替 4.修改Tomcat文件下的server.xml（apache-tomcat-7.0.40\conf\server.xml） 添加内容：
LDAP协议
目录服务 目录服务就是按照树状模式组织信息，实现信息管理和服务接口的一种方式。目录服务中一般包括两个方面的内容：第一个组成部分是：数据库，这种数据库有别于日常所用到的关系型数据库，它是一种分布型的数据库，并且需要一个描述数据的规则；第二个组成部分是：访问和处理数据库的相关的协议。 目录服务和关系数据库不同，目录服务不支持批量更新事务处理能力，目录一般只执行简单的更新操作，适合于进行大量数据的检索；目录具有广泛的复制信息的能力，从而在缩短响应时间的同时，提高了可用性和可靠性；目前，目录服务技术的国际标准有两个，即较早的X.500标准和近年迅速发展的LDAP标准。 X.500虽然是一个完整协议群组，但是其目录访问协议DAP这种应用层的协议是严格按照复杂的ISO七层协议模型制定的，对相关层协议环境要求过多，主要运行在unix机器上，在许多小系统上，如PC和Macintosh（苹果机）上无法使用，因此没有多少人按照DAP开发应用程序，TCP/IP协议体系的普及，更使得这种协议越来越不适应需要。 LDAP协议 LDAP全称为Light Directory Access Protocol，轻量级目录访问协议，LDAP 协议从1993年批准，有了V1版本，1997年发布了第三个版本LDAP v3，使得LDAP协议不仅仅做为X.500的简化版，同时提供了LDAP协议许多自有功能特性，LDAP V3协议也不是一个单一的协议，而是一个协议群组，包括内容如下： RFC2251－LDAP V3协议核心协议，定义了LDAP V3协议的基本模型和操作；RFC2252－定义了LDAP V3基本数据模式(Schema)以及标准的系统数据模式,Schema包括语法、匹配规则、属性类型和对象类； RFC2253－定义了LDAP V3中的分辨名(Differentiate Name, DN)表达方式；RFC2254－定义了LDAP V3中过滤器的表达方式； RFC2255－定义了LDAP V3中统一资源地址格式； RFC2256－定义了在LDAP V3中使用X.500的Schema列表； RFC2829－定义了LDAP V3的认证方式； RFC2830－定义了LDAP V3如何通过扩展使用TLS服务； RFC1823－定义了C的关于LDAP V3客户端开发接口； RFC2847－定义了LDAP数据导入、导出的文件接口LDIF； 在这些协议中，主要定义了LDAP的内容，同时定义了信息模型，确定了LDAP 目录中所存储的信息的格式和字符集，如何表示目录信息（定义对象类、属性、匹配规则和语法等模式）。 一个命名空间：确定对信息进行的组织方式即就是目录信息树DIT，以DN和RDN 为基础的命名方式，以及LDAP信息的Internet表示方式； 一个功能模型：确定可以在信息上执行的操作的通讯协议以及在客户端尽心这些操作的API接口； 一个安全框架：保证目录中信息的安全，匿名、用户名/密码、SASL等多种认证方式以及与TLS结合的通讯保护框架； 一个操作模型：分布式的操作模型，基于Referral方式的分布式操作框架； 一个LDAP扩展框架：基于控制和扩展操作的LDAP扩展框架。
CAS单点登录
CAS单点登录总结 一、服务端搭建 1．安装JDK。 2．安装Tomcat。安装版本Tomcat7.0. 3．在Tomcat上配置SSl （1）生成证书。在C盘根目录下建立子文件夹“Keys”，用于存放证书。在 JDK安装文件夹下的bin文件夹（C:\Program Files\Java\jre1.8.0_60\bin）下打开“命令窗口”。 （2）执行命令“keytool -genkey -alias tomcat -keyalg RSA -storepass changeit -keystore c:\keys\.keystore -validity 3600”创建证书。 （3）将证书导入的JDK的证书信任库中 第一步：导出证书。 执行命令“keytool -export -trustcacerts -alias tomcat -file c:\keys\tomcat.cer -keystore c:\keys\.keystore -storepass changeit”将证书导出到Keys文件夹。 第二步：将证书导入到JDK证书信任库。 执行命令“keytool -import -trustcacerts -alias tomcat -file c:\keys\tomcat.cer -keystore "C:\Program Files\Java\jre7\lib\security\cacerts" -storepass changeit”。系统询问 是否信任此证书，回答“y” 4、配置server.xml文件 用文本编辑器管理员身份运行，打开Tomcat7.0下的server.xml文件（C:\Program
CAS认证实现单点登录
CAS认证实现单点登录 一.背景 有几个相对独立的java的web应用系统，各自有自己的登陆验证功能，用户在使用不同的系统的时候，需要登陆不同的系统。现在需要提供一个 统一的登陆/登出界面，而不修改各个系统原来的登陆验证机制。于是采用单点登录系统开源单点登录产品CAS。 随着新的业务网站不断的增加，用户在每个应用系统中都有独立的账号，这样就造成在访问不同的应用系统时，需要记录对应的用户名和密码，多 个用户名密码极易记混，如果忘记或记错了某一个业务网站的用户名或密码就无法进行登录，耽误工作，影响工作效率 允许用户一次性进行认证之后，就访问系统中不同的应用 二.原理 CAS 是一个独立的web 应用, 当前使用Java Servlets 实现，通过HTTPS 协议保证其数据的传输安全性。它通过三个Url 地址进行访问：登录Url、验证URL、注销URL。
三. CAS认证集成 要使用单点登录，需要部署CAS系统，CAS服务端可以直接部署在tomcat下运行，对于CAS服务端来说，所有要集成单点登录的web应用都是它的一个客户端，CAS有客户端jar包，客户端web应用需要引入CAS客户端的jar包，这样CAS系统的服务端和客户端web应用程序端才能通信。 客户端web应用程序的通过配置web.xml，添加CAS需要的各种过滤器，来实现和CAS服务器通信，用户信息验证工作在CAS 服务端统一完成，验证通过后，客户端web应用程序只需要补全自己的Session信息即可。 3.1部署CAS系统服务端 步骤1：准备好以下运行环境 jdk1.6+
tomcat6+ jdk与tomcat的下载、安装、配置在此略过。 步骤2：安装部署cas-server 到官网（https://www.360docs.net/doc/b38034690.html,/cas/cas-server-3.5.0-release.zip）下载cas-server-3.5.0-release.zip。解压缩以后，在其路 径 cas-server-3.5.0\modules 下面找到 cas-server-webapp-3.5.0.war，将其拷贝到 tomcat 的webapps 下，改名为 cas.war, 并修改 war 包中配置文件 cas.properties 里的 cas server name=cas 并启动 tomcat，启动后可在浏览器访 问 http://localhost:8080/cas/login
LDAP使用手册
LDAP使用手册 一、LDAP介绍 LDAP是轻量级目录访问协议的简称(Lightweight Directory Access Protocol).用于访问目录服务。它是目录访问协议的移植，但是简化了实现方法。 二、目录服务与关系数据库之间的区别 a)目录查询操作比关系数据库有更高的效率，但是更新效率比关系数据 库低 b)目录不支持关系数据库那样的复杂查询，比如两个表的连接。 c)目录不支持多操作的事物完整性，没有方式确认一些操作是全部成功 还是全部失败 d)目录能够能好和更灵活的支持子查询和匹配查询 e)目录协议更适合应用于广域网，比如因特网或者大型公司的网络 f)目录的管理，配置，和调试比关系型数据库更简单 g)在使用关系数据库之前，必须首先定义表结构(模式)才可以进行操 作。而目录中所使用的模式是由LDAP定义好的一系列类组成的。对 于目录中的每条记录中必须属于其中的一个类或者多个类。这些类定 义了该记录中可以存储的信息。 h)目录以对象的形式存储数据。信息被组织成树型结构。 i)目录服务支持分布式存储结构，容易实现数据的扩展，能满足大容量 存储的要求。 三、LDAP的优点
1:可以存储在其它条件下很难存储的管理信息 2:数据安全可靠，访问控制粒度细腻。 3:LDAP是一个标准的，开放的协议，具有平台无关性。 4:数据分布广，规模可灵活扩充。 5:LDAP目录服务器可以使任何一种开放源代码或商用的LDAP目录服务器。 四、LDAP模型 LDAP模型是从协议中继承过来的。是LDAP的一个组成部分，用于指导客户如何使用目录服务 LDAP 定义了四个模型，包括信息模型，命名模型，功能模型，安全模型。 信息模型(LDAP information model) LDAP信息模型用于描述LDAP中信息的表达方式。 LDAP信息模型包含三部分Entries Attributes Values Entry:Directry中最基本的信息单元，Entry中所包含的信息描述了现实世界中的一个真实的对象，在目录系统中它可以理解为， 目录树中的一个节点。在目录中添加一个Entry时，该 Entry必须属于一个或多个object class ,每一个object class规定了该Entry中必须要包含的属性，以及允许使 用的属性。Entry所属的类型由属性objectclass规定。 每一个Entry都有一个DN(distinguished name) 用于唯 一的标志Entry在directory中的位置。如下图所示： 根节点DN的命名有多种方法，其中之一就是域名命名法。
CAS实现单点登录(SSO)经典完整教程
一、简介 1、cas是有耶鲁大学研发的单点登录服务器 2、本教材所用环境 ?Tomcat7.2 ?JDK6 ?CAS Service 版本 cas-server-3.4.8-release ?CAS Client版本 cas-client-3.2.1-release 二、生成证书 证书对于实现此单点登录非常之重要，证书是服务器端和客户端安全通信的凭证，本教程只是演示，所有用了 JDK自带的证书生成工具keytool。当然在实际项目中你可以到专门的证书认证中心购买证书。 中文官方网站：https://www.360docs.net/doc/b38034690.html,/cn/ 1、用JDK自带的keytool生成证书 view plain 1.命令：keytool -genkey -alias smalllove -keyalg RSA -keystore D:/keys/smallkey 此命令是生成一个证书，其中smalllove 是证书别名 此命令的执行如图所示：
其中名字与姓氏这一最好写你的域名，如果在单击测试你可以在C:\Windows\System32\drivers\etc\hosts文件中映射一个虚拟域名，注意不要写IP。 2、导出证书 view plain
1.命令：C:\>keytool -export -file d:/keys/small.crt -alias smalllove -keystore d:/keys/smallkey 如图： 密码为上步设置的密码。 3、把证书导入到客户端JDK中。 view plain 1.命令：keytool -import -keystore C:\Java\jdk1.6.0_21\lib\security\cacerts -file D:/keys/small.crt -alias smalllove 此命令是把证书导入到JDK中。 如图：
CAS单点登录配置全过程
CAS配置全过程 说明:这里只是简单的配置了CAS单点登录的过程，并没有加入复杂的验证，也没有做MD5的校验。输入数据库中存在的用户名跟密码就会登录成功 一． 首先需要下载cas-server-3.4.2-release.zip包，这个包里面包含CAS Server服务器的war包。解压之后放到找到cas-server-3.4.2\modules 下的 cas-server-webapp-3.4.2.war , 拷tomcat\webapps\下并改名为cas.war。 启动tomcat后会在webapps下看到cas文件，然后停止tomcat. 二. 配置tomcat以及修改cas server的配置 1.生成证书并导入到jdk的jre中 请直接运行附件中的.bat文件会自动把证书生成在D盘根目录下并导入到jre 中 这是bat脚本内容 keytool -genkey -alias tomcatgecko -keyalg RSA -keystore d:\mykeystore -dname "CN=gecko-4d4611f2e, OU=gecko-4d4611f2e, O=gecko-4d4611f2e, L=SH, ST=SH, C=CN" -keypass changeit -storepass changeit keytool -export -alias tomcatgecko -keystore d:\mykeystore -file d:\mycerts.crt -storepass changeit keytool -import -keystore "%JAVA_HOME%/JRE/LIB/SECURITY/CACERTS" -file d:\mycerts.crt -alias tomcatgecko 这里要注意：证书是要导入到tomcat使用的jdk。不然CAS在跳转时会找不到本地域名脚本中红色的部分是写自己的计算机名称
CAS单点登录系统实操指南
CAS单点登录系统实操指南 CAS单点登录系统实操指南 (1) 1. CAS单点登录介绍 (3) 1.1. 什么是单点登录 (3) 1.2. 什么是CAS (3) 2. CAS服务端部署及配置 (5) 2.1. 基础部署配置 (5) 2.2. 去除https认证 (7) 2.3. 登录数据源设置 (8) 2.3.1 密码未加密处理 (8) 2.3.2 密码MD5加密配置 (9) 2.4. 登录页面的极简改造 (10) 3. CAS客户端搭建 (11) 3.1. 搭建工程并添加依赖 (11) 3.2. 单点登录配置 (12) 3.3. 单点登出配置 (14) 3.3.1 未重定向登出 (14) 3.3.2 重定向地址登出 (15) 3.4. 获取登录用户信息配置 (15) 4. CAS客户端与SpringSecurity集成 (16) 4.1. 搭建工程并添加依赖 (16)
4.2. 修改和创建配置文件 (18) 4.3. 创建Spring-security认证脚本 (22) 4.4. 获取登录名 (22)
1. CAS单点登录介绍 1.1. 什么是单点登录 单点登录（Single Sign On），简称为SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。 我们目前的系统存在诸多子系统，而这些子系统是分别部署在不同的服务器中，那么使用传统方式的session是无法解决的，我们需要使用相关的单点登录技术来解决。 1.2. 什么是CAS CAS 是Yale 大学发起的一个开源项目，旨在为Web 应用系统提供一种可靠的单点登录方法，CAS 在2004 年12 月正式成为JA-SIG 的一个项目。CAS 具有以下特点：
单点登录_尚学堂CAS讲义
一.SSO (Single Sign-on)原理 SSO 分为Web-SSO和桌面SSO。桌面SSO 体现在操作系统级别上。Web-SSO体现在客户端，主要特点是：SSO 应用之间使用Web 协议( 如HTTPS) ，并且只有一个登录入口。我们所讲的SSO，指Web SSO 。 SSO 的体系中，有下面三种角色： ?User（多个） ?Web应用（多个） ?SSO认证中心（一个） SSO 实现模式千奇百怪，但万变不离其宗，包含以下三个原则： ●所有的登录都在 SSO 认证中心进行。 ●SSO 认证中心通过一些方法来告诉 Web 应用当前访问用户究竟是不是通过认证的 用户。 ●SSO 认证中心和所有的 Web 应用建立一种信任关系。 二.CAS 的基本原理 CAS(Central Authentication Service) 是Yale 大学发起的构建Web SSO 的Java开源项目。 1.CAS 的结构体系 ◆CAS Server CAS Server 负责完成对用户信息的认证，需要单独部署，CAS Server 会处理用户名/ 密码等凭证(Credentials) 。 ◆CAS Client CAS Client部署在客户端，当有对本地Web 应用受保护资源的访问请求，并且需要对请求方进行身份认证，重定向到CAS Server 进行认证。 2.CAS 协议 基础协议
上图是一个基础的CAS 协议，CAS Client 以过滤器的方式保护Web 应用的受保护资源，过滤从客户端过来的每一个Web 请求，同时，CAS Client 会分析HTTP 请求中是否包请求Service Ticket( 上图中的Ticket) ，如果没有，则说明该用户是没有经过认证的，CAS Client 会重定向用户请求到CAS Server （Step 2 ）。Step 3 是用户认证过程，如果用户提供了正确的认证信息，CAS Server 会产生一个随机的Service Ticket ，会向User 发送一个Ticket granting cookie (TGC) 给User 的浏览器，并且重定向用户到CAS Client （附带刚才产生的Service Ticket），Step 5 和Step6 是CAS Client 和CAS Server 之间完成了一个对用户的身份核实，用Ticket 查到Username ，认证通过。 3.CAS 如何实现SSO 当用户访问Helloservice2再次被重定向到CAS Server 的时候，CAS Server 会主动获到这个TGC cookie ，然后做下面的事情： 1)如果User 的持有TGC 且其还没失效，那么就走基础协议图的Step4 ，达到了 SSO 的效果。 2)如果TGC 失效，那么用户还是要重新认证( 走基础协议图的Step3) 。 三.实践配置 下面我们以tomcat 5.5 为例进行说明(这里，我将Server和Client同时放在了同一个Tomcat服务器下)。 软件环境：tomcat 5.5 ant-1.6.5, jdk1.5.0_06 下载cas-server-3.0.4.zip和cas-client和cas-server-jdbc-3.0.5-rc2.jar和mysql 5.0.16和tomcat 5.5.15 https://www.360docs.net/doc/b38034690.html,/downloads/cas/cas-server-3.0.4.zip
CAS3.5.2单点登录详解
服务端cas： 从网上下载cas：https://www.360docs.net/doc/b38034690.html,/ 在cas下： 在cas-client下： 解压cas-server-3.5.2-release.zip\cas-server-3.5.2\module\cas-server-webapp-3.5.2.war部署到tomcat上， 设置 F:\apache-tomcat-6.0.30\webapps\cas\WEB-INF\cas-servlet.xml(大家取实际情况的路径)
CAS 单点登录操作文档
这人CAS 在 Tomcat 中实现单点登录 1证书生成及导入 1.1Server端证书配置 1.2 JAVA信任证书库 D:\Program Files\Java\jdk1.5.0\jre\lib\security\cacerts cacerts证书库默认密码-storepass changeit 查看证书 1.1.1.2 keytool -list -keystore cacerts -storepass changeit 如果存在则删除 1.1.1.1 keytool -delete -alias tomcatsso -keystore cacerts -storepass changeit 创建证书库 1.1.1.3 keytool -genkey -keyalg RSA -alias tomcatsso -dname "cn=https://www.360docs.net/doc/b38034690.html," -keystore server.keystore -storepass 12345678 导出证书 1.1.1.4 keytool -export -alias tomcatsso -file tomcatsso.crt -keystore server.keystore -storepass 12345678 加入JAVA信任证书库 1.1.1.5 keytool -import -alias tomcatsso -file tomcatsso.crt -keystore ../jre/lib/security/cacerts -storepass changeit 说明：在生成key的过程，"cn=https://www.360docs.net/doc/b38034690.html," 中的https://www.360docs.net/doc/b38034690.html,为Server端的域名(必填)。 1.2.1TOMCAT 配置SSL支持 目录 0. 文档介绍 (2) 0.1文档目的 (2) 0.2文档范围 (2) 0.3读者对象 (2) 0.4参考文献 (2) 0.5术语与缩写解释 (2) 1.概述 (3) 1.1背景 (3) 1.2环境 (3) 1.3下载资源 (3) 2. 配置CAS SERVER (4) 2.1简单配置 (4) 2.2数据库验证配置 (5) 2.3参数配置 (8) 2.4HTTPS验证配置 (10) 2.5自定义页面 (13) 3. 配置JAVA CLIENT (16) 3.1HTTPS验证 (16) 3.2HTTP验证 (18) 4. 配置DOTNET CLIENT (19) 5. 配置PHP CLIENT (23) 6. 如何实现单点注销 (23) 0. 文档介绍 0.1 文档目的 记录使用CAS实现SSO的过程。 0.2 文档范围 使用CAS实现SSO的过程。 0.3 读者对象 任何有兴趣的家伙。 0.4 参考文献 提示：列出本文档的所有参考文献（可以是非正式出版物），格式如下：[标识符] 作者，文献名称，出版单位（或归属单位），日期 大部分都是网络上查询的资料，很多，不列举了。 0.5 术语与缩写解释 1.概述 1.1背景 单点登录是必须的，实现方式颇多，这里就说使用CAS的实现方式。使用CAS实现SSO，网络上说明很多，大部分都是从制作证书开始，而实际上是可以不使用HTTPS 验证，这样更方便。 单点登录的原理是通过拦截你设定的URL，并跳转到你指定的CAS SERVER登录页，当你登录成功后，带着TICKET，返回到你打开的URL。然后你就可以一票在手，畅通无阻。 网上有个家伙用旅游的套票来解释单点登录，非常形象。当你到达一个旅游区门口，你可以买一个套票，套票规定你可以游览N个景点，进入这些景点的时候，你不需要再买票，也就实现了单点登录。 同时，也可以借用这个比喻说明一下单点注销。当你打开一个应用A时，单击了注销按钮，跳转到http://hostname:port/cas/logout或者https://hostname:port/cas/logout，系统显示注销成功。此时，IE窗口没有关闭，你继续打开应用A，仍然没有注销成功，不需要登录。这就相当于你已经在旅游景点内，即使你把套票撕毁了，你仍然可以继续参观这个景点，不会把你驱逐出去。但是，你再也进不了其它的景点了。 那么怎么实现立即生效的注销呢？或者这种方式是否就满足我们的需求呢？ 1.2环境 Windows XP、JDK1.6.03、Tomcat6.0.20 注意：配置好环境变量。 1.3下载资源 服务器端：https://www.360docs.net/doc/b38034690.html,/downloads/cas 当前最新版本是3.3.4，测试安装的版本为3.3.3 cas-server-3.3.3-release.zip 客户端：https://https://www.360docs.net/doc/b38034690.html,/svn/cas-clients/ cas-client-2.0.11.zip JAVA支持单点登录 cas-client-3.1.8-release.zip JAVA支持单点注销 dotnet-client DOTNET支持类 phpcas PHP支持软件工程-使用CAS实现SSO简洁教程