基于Saml的统一身份认证和跨域单点登录的设计与实现

论文摘要

单点登录（Single Sign On）,简称为SSO,是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中,用户只需要登录一次就可以访问所有相互信任的应用系统。传统的单点登录模型缺少标准化的支持,且只能用在内网资源做SSO,很少能实现跨域。本文研究了基于Liberty-FF1.2身份联盟和认证管理框架,在最新SAML2.0、SOAP1.1、WS-Security1.1等规范的基础上,针对现存的跨域多次登录、异构系统交互难、不同运行平台无法通信等问题,提出了改进Saml模型的混合推拉模式。它不仅极大地简化了Saml模型中IDP和SP的通信流程,而且使联邦中IDP和SP交互性能显著提升;且针对IDP和SP交互的安全性考虑,提出了XML安全中间件引擎平台,为XML信息交换提供了多维一体的安全隧道;同时平台针对目前多种认证方式难以集成问题,提出了基于改进pam的可扩展热插拔统一认证平台,不仅解决了已有的多种身份认证的集成,而且对于新接入的认证形式也提供了扩展接口;此外,平台通过在客户端安装代理Agent来实现C/S架构整合和与统一认证中心的交互;最后,平台的一些常用功能如线程调度、内存分配、模块管理、日志机制、出错管理等模块的开发和研究主要通过在Apache web服务器此类功能模块的基础上进行改进;因此,基于上述四点分析,提出了基于SAML的统一身份认证和跨域单点登录管理平台,实现了集跨域SSO、多种认证统一、消息安全隧道为一体的更安全、高效、稳定、方便的一体化架构,以集中管理和控制、模块松散耦合并用的方式,灵活、高效地解决了目前其它身份认证管理项目中安全保护能力弱、用户授权访问控制粒度粗放、资源权限细粒度划分、流程交互复杂等问题,同时符合不同级别的环境部署需要,为系统构建了良好的可升级、易集成的软总线架构。在先进性方面,归纳如下:（1）根据**省电信的业务现状,提出了基于改进Saml模型的推拉混合模式,大大简化了Saml模型中IDP和SP的交互流程,充分提高了信息交互的安全性,使联邦中IDP和SP交互的效率得到显著提升。（2）针对现有**省电信认证形式单一的情况,提出了基于改进Pam的可扩展热插拔的统一认证平台,改善了pam框架只支持本地多种认证方式的应用局限,为远程认证平台提供了接入接口。（3）统一认证平台不仅能整合B/S系统使之实现联盟单点登录,同时也提出了支持扩展C/S架构的接口,通过在客户端安装代理Agent即可接入统一认证中心,同时可以和其它系统实现单点登录。（4）开发了基于XML引擎的安全基础平台,为SP和IDP的交互提供了安全保障。

论文目录

• 中文摘要
• Abstract
• 第一章 绪论
• 1.1 课题背景
• 1.2 研究现状
• 1.2.1 国内研究现状
• 1.2.2 国外研究现状
• 1.2.3 典型单点登录模型的研究
• 1.2.3.1 基于网关单点登录
• 1.2.3.2 基于经纪人单点登录单点登录
• 1.2.3.3 基于代理单点登录
• 1.2.3.4 基于统一客户端单点登录
• 1.2.3.5 基于saml单点登录
• 1.2.4 几种模型的对比总结
• 1.3 论文主要工作和创新成果
• 1.4 论文结构及内容安排
• 1.5 总结
• 第二章 基于Saml集成认证架构和单点登录模型设计
• 2.1 模型面临的问题和解决思路
• 2.1.1 面临的问题
• 2.1.2 解决的思路
• 2.2 系统架构总体设计
• 2.2.1 网络架构设计
• 2.2.2 系统架构设计
• 2.3 安全设计
• 2.4 整体数据交互流程设计
• 2.5 业务流程设计
• 2.5.1 省内业务系统单点登录流程
• 2.5.2 集团与省单点登录流程
• 2.5.3 省与集团单点登录流程
• 2.5.4 省与省之间单点登录流程
• 2.6 小结
• 第三章 集成认证平台设计
• 3.1 SP框架设计
• 3.1.1 认证墙
• 3.1.1.1 安全过滤
• 3.1.1.2 请求管理（Guard）
• 3.1.1.3 CA数字证书管理
• 3.1.2 管理中心
• 3.1.2.1 单点登录模块
• 3.1.2.2 单点登出模块
• 3.1.2.3 用户注册模块
• 3.1.2.4 账户关联模块
• 3.1.2.5 取消关联模块
• 3.1.2.6 会话管理模块
• 3.1.2.7 服务管理模块
• 3.1.3 SP Saml引擎
• 3.1.4 SP接入管理模块
• 3.2 IDP框架设计
• 3.2.1 统一认证框架
• 3.2.1.1 统一认证集成
• 3.2.1.2 功能描述
• 3.2.1.3 具体实现
• 3.2.2 IDP Saml引擎
• 3.2.3 IDP协同服务管理
• 3.3 业务代理Agent
• 3.3.1 业务代理Agent
• 3.3.1.1 Agent功能介绍
• 3.3.1.2 Agent用于整合C/S系统
• 3.4 IDP与SP交互流程设计
• 3.4.1 IDP与SP两种交互流程分析
• 3.4.2 基于pull和push的混合推拉模型
• 3.4.2.1 模型改进思路
• 3.4.2.2 Pull改进后模型
• 3.4.2.3 Push改进后模型
• 3.5 统一认证平台数据流程设计
• 3.5.1 单点登录流程
• 3.5.2 单点登出流程
• 3.5.3 注册修改流程
• 3.5.4 密码修改流程
• 3.5.4.1 修改业务系统帐号密码
• 3.5.4.2 修改统一客户标识密码（统一客户标识用户可见）
• 3.5.5 账户关联流程
• 3.5.6 解除关联关系流程
• 3.6 总结
• 第四章 XML引擎设计
• 4.1 系统架构
• 4.2 功能模块
• 4.2.1 基础平台
• 4.2.2 XML格式驱动
• 4.2.3 流程控制
• 4.2.4 XML加/解密和签名/验证
• 4.2.5 内容过滤
• 4.3 接口设计
• 4.3.1 内部接口
• 4.3.2 外部接口
• 4.4 总结
• 第五章 系统应用环境与部署和测试
• 5.1 系统应用环境
• 5.2 系统部署
• 5.2.1 局域网部署
• 5.2.2 广域网部署
• 5.3 系统测试
• 5.3.1 测试总体环境
• 5.3.2 测试说明
• 5.3.2.1 XML引擎平台测试
• 5.3.2.2 统一认证平台测试
• 5.4 总结
• 第六章 课题研究工作总结
• 6.1 主要工作的先进性
• 6.2 不足
• 6.3 进一步研究思路
• 参考文献
• 致谢
• 攻读硕士学位期间的研究成果