[發明專利]一種基于SAML的跨域單點登錄系統及登錄方法

有效

• 申請號: 201410570561.5
• 申請日: 2014-10-23
• 公開（公告）號: CN104301418B
• 公開（公告）日: 2017-12-12
• 發明（設計）人: 朱志祥;王茜;史晨昱;趙偉;劉盛輝;王佩
• 申請（專利權）人: 西安未來國際信息股份有限公司;西安郵電大學
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06
• 代理公司: 西安弘理專利事務所61214
• 代理人: 羅笛

1.一種基于SAML的跨域單點登錄系統，其特征在于，包括跨域訪問中心模塊、域內單點登錄子系統模塊、用戶管理子系統模塊和域內單點登錄控制中心模塊；

跨域訪問中心模塊，用于同步用戶數據、域ID生成、多級域訪問認證接口的管理，包括跨域用戶數據映射同步模塊、多級域域ID生成模塊、多級域訪問認證接口模塊；

跨域用戶數據映射同步模塊為跨域訪問中心發布用戶數據的同步接口，用于將域ID信息與用戶的映射信息進行封裝，一并同步到跨域訪問中心；

多級域域ID生成模塊是用于生成多級域的唯一標識，包括多級域ID的生成；用于給每個參與了跨域的多級域都分配域ID，在多級域部署完成后，管理員使用多級域的域ID生成；

域內單點登錄子系統模塊，用于在用戶進行多級域登錄時對用戶進行認證，并返回用戶可以訪問的若干個多級域；

用戶管理子系統模塊用于用戶在域內訪問應用時，進行域內應用訪問權限的分配，并對用戶的HTTP訪問請求進行攔截，將請求內容與用戶票據中的權限信息進行比對，實現對于用戶訪問權限的控制；

域內單點登錄控制中心模塊是用于配置域內單點登錄的模塊，其包括對多級域ID注冊、域內單點登錄子系統模塊認證源的配置；

多級域訪問認證接口模塊用于提供多級域唯一的統一認證源，包括數據比對、數據解析，用于將多級域的用戶通過用戶數據映射的方式同步到統一認證源中。

2.一種基于SAML的跨域單點登錄方法，其特征在于，采用基于SAML的跨域單點登錄系統，包括跨域訪問中心模塊、域內單點登錄子系統模塊、用戶管理子系統模塊和域內單點登錄控制中心模塊，其中跨域訪問中心模塊包括跨域用戶數據映射同步模塊、多級域域ID生成模塊、多級域訪問認證接口模塊；

跨域單點登錄方法包括以下步驟：

步驟1，跨域認證注冊，詳細步驟如下，

1.1.部署域內單點登錄系統：利用用戶管理子系統模塊分別錄入用戶數據，即用戶名和密碼，錄入的用戶數據需要以用戶的身份證號為唯一標識信息，這樣便于在將用戶數據同步到跨域訪問中心時，提供可依據的用戶映射關系；

1.2.為分布的域內單點登錄系統申請域ID，由域內單點登錄系統管理員利用多級域域ID生成模塊申請該域單點登錄系統SSOID，多級域域ID生成模塊通過跨域訪問中心提供的域ID生成接口，將域ID生成，同時保留在跨域訪問中心和子域的存儲中，便于在提供數據訪問、數據同步過程中，表示用戶數據的來源，域內單點登錄子系統模塊的描述信息；

1.3.由域內單點登錄系統管理員將域內單點登錄子系統模塊的用戶數據進行數據同步，在用戶的映射數據同步過程中，將域ID信息與用戶的映射信息進行封裝，一并同步到跨域訪問中心，這樣就標識了在跨域訪問中心的每個用戶映射數據的數據來源，然后由跨域用戶數據映射同步模塊的數據接口進行接收，處理用戶數據映射關系；

1.4.在域內單點登錄控制中心模塊，將域內的認證模式由域內認證設置為跨域單點登錄；

步驟2，進行跨域認證服務，實現用戶跨域單點登錄，具體步驟如下：

2.1.用戶在域內SSO登錄，輸入用戶名和密碼，域內SSO將首先調用跨域訪問中心的認證服務，對用戶提交的信息進行驗證，驗證成功后，將該用戶的所有已授權的域訪問列表返回；

2.2.用戶選擇需要訪問的子域，跨域訪問中心模塊帶領用戶去子域進行驗證，當子域驗證用戶已經跨域登陸成功后，調用子域權限管理模塊的方法獲取用戶權限信息，將權限信息進行封裝，頒發用戶子域的憑證信息，并且返回用戶子域的應用列表；

2.3.用戶選擇需要訪問的應用列表，子域SSO代理用戶訪問應用，通過域內單點登錄系統驗證子域憑證的有效性后，便返回應用信息。