期刊：门户网站的统一认证与单点登录技术

门户网站的统一认证与单点登录技术

运营与维护O P E R AT I O N A N D电信工程技术与标准化

MAINTENANCE

门户网站的统一认证与单点登录技术董昭北京 100080) (中国移动通信集团设计院有限公司

摘要随着中国移动门户网站以及面向公众的各业务平台的发展，用户对门户网站和各业务系统互联网访问越来越频繁。为了提高用户的感知，需实现在两级门户网站、门户网站与各级业务平台进行统一认证鉴权，实现用户的单点登录。本文介绍了门户网站的统一认证与单点登录的关键技术、组网结构、业务流程等。关键词单点登录 Diameter SSL CA

1

引言目前中国移动对外提供业务和服务的网站包括一级

用户体验，又能通过收敛认证点达到数据安全性保证的目的。授权部分由网站自行管理可以提高灵活性，满足业务需求。 2.2单点登录的说明单点登录是门户的重要功能，用户在登录到归属省级门户后，访问一级门户、归属省级业务平台和全网业务平台；以及用户在登录到一级门户后，访问归属省级门户、归属省级业务平台和全网业务平台时，在用户身份凭证有效期内，都不需要再次进行认证。中国移动门户网站系统要求实现用户访问一级门户和 31个省级门户以及众多的全网业务平台和省级业务平台的单点登录，例如北京移动的用户(门户网站UR L: )访问全网业务平台 不再需要重新认证，因此门户网站需要支持多域的单点登录功能。实现单点登录后，用户可以省去多次输入用户名和密码的繁琐操作，有效提高用户体验。另一方面，单点登录可以提高用户对中国移动各类网站的认知度和使用率。

门户和 31个省级门户以及众多的全网业务平台(包括 12580、中央音乐平台、积分平台等)和省级业务平台。随着中国移动门户网站以及面向公众的各业务平台的发展，用户对门户网站和各业务系统互联网访问越来越频繁。但目前各网站之间未实现单点登录和统一认证，用户在门户网站和业务平台间互访，需要多次认证，用户感知较差。为了提高用户的感知，有效整合门户网站资源，目前迫切需要实现在两级门户网站、门户网站与各级业务平台进行统一认证鉴权，实现用户的单点登录。

2

业务需求

2.1统一认证的说明用户访问门户网站或业务平台时，其用户身份信息由统一认证中心进行验证。统一认证中心采用省 BOSS数据源进行用户身份认证。考虑到用户规模和目前各省独立运营的现状，统一认证建议只包括认证鉴权部分，不包括授权部分，用户授权仍由各网站仍自行管理。认证统一后，

认证数据源是集中管理的，这样既能避免各网站自行管理用户数据带来的数据不一致性从而提升

3

系统架构

3.1系统架构门户网站的统一认证和单点登录技术架构采用“两级

·2010年第4期·

59

门户网站的统一认证与单点登录技术

运营与维护O P E R AT I O N A N D MAINTENANCETELECOM ENGINEERING TECHNICS AND S TA N D A R D I Z AT I O N

架构”,即包括一级认证枢纽和各省的省级认证中心。为避免网站和认证中心之间出现网状交互关系，方便管理维护，本架构中，一级认证枢纽负责收敛一级网站的登录和认证需求，省级认证中心负责收敛省级网站的登录和认证需求。一级认证枢纽和各省级认证中心进行交互实现一二级系统间的互通，呈现“星状”网络结构模式。一级认证枢纽与省级认证中心均由登录服务模块和认证服务模块组成。 3.1.1登录服务模块登录服务模块的主要功能是提供用户登录页面、处理用户登录请求、维护用户会话、完成单点登录的后台处理，是对外提供服务的模块。登录服务模块所在的服务器，也可称为登录服务器。 3.1.2认证服务模块认证服务模块提供用户身份验证的功能。认证服务模块是一个独立的功能模块，不仅可以用于统一认证功能的实现，而且可以为其他系统提供认证服务，认证服务功能可根据未来业务需要进行不断扩充。认证服务模块所在的服务器，也可称为认证服务器。在统一认证和单点登录过程中，门户网站和业务平台具有同等角色。整体的系统架构图如图 1所示。本架构的主要接口的功能是： (1)网站与统一认证中心之间的接口处理网站(包括一级门户网站、业务平台和省级门户网站、业务平台)与统一认证中心之间的信息交互，以完成网站的登录、登出

以及用户身份凭证的获取。 (2)一级认证枢纽与省级认证中心之间的接口处理统一认证中心两级架构间的信息交互，在用户认证和单点登录的过程中完成认证信息、身份凭证以及登出通知的转发。 (3)登录服务与认证服务之间的接口处理统一认证中心内部登录服务与认证服务之间的信息交互，完成用户的认证。 (4)省级认证中心与省 BOSS之间的接口处理省级认证中心与省 BOSS之间的信息交互，完成用户的认证。 3.2一级认证枢纽建设方案门户网站的单点登录统一认证系统的一级认证枢纽包括登录模块和认证模块两大核心模块，并且该系统还要给为各一级网站提供认证访问入口，通过 iFrame的方式嵌入一级门户和一级业务平台。一级认证枢纽的功能结构图如图 2所示。单点登录是门户的重要功能，用户在登录到一级门户后，访问归属省级门户、归属省级业务平台和全网

业务平台时，在用户身份凭证有效期内，都不需要再次进行认证。登录服务模块的主要功能是提供用户登录页面，处理用户登录请求，维护用户会话，完成单点登录的后台处理，是对外提供服务的模块。认证服务模块提供用户身份验证的功能。用户访问门户网站或业务平台时，其用户身份信息由统一认证中心进行验证，统一认证中心采用省 BOSS数据源进行用户身份认证。一级认证枢纽的认证服务模块实现一级网站登录时

图1

统一认证和单点登录技术架构

60

·2010年第4期·

门户网站的统一认证与单点登录技术

运营与维护O P E R AT I O N A N D电信工程技术与标准化

MAINTENANCE

级认证枢纽或者省级认证中心，而不会多处存在。单点登录会话的有效期建议设置为 2h,用户每登录一个网站，有效期进行相应的更新。当用户主动退出时，登录服务器应注销单点登录会话，并通知所有登录过的网站做登出处理。如果单点登录会话超时后，用户再次要求单点登录时，登录服务器应提示用户重新登录。图2一级认证枢纽的功能结构

4.2用户业务会话的管理要求网站从对应登录服务器获取用户身份凭证后，创建用户业务会话，用于保存用户身份信息。用户后续访问本网站时，网站根据用户业务会话识别用户的身份。设置用户业务会话的目的是避免频繁访问登录服务器，造成登录服务器负荷过重。用户业务会话的有效期建议设置为 30min,网站根据用户的访问进行有效期的更新。当用户主动退出时，网站应根据登录服务器的通知，注销用户业务会话。如果用户业务会话超时，用户再次访问网站时，网站应按照单点登录处理，将请求转接到登录服务器处理。用户由于关闭浏览器等任何原因导致客户端 Cookie丢失，则会话中断，必须重新登录。

发出的认证请求的响应，将认证请求转发到用户对应省分的统一认证中心，并且接受省分认证中心返回的认证结果。

4

会话管理会话管理是指对 Web服务器对应用端的 HTTP

Session会话的管理。根据服务器和会话功能的不同，会话分为单点登录会话和用户业务会话两种。单点登录会话是一级认证枢纽或省级认证中心维护的会话，其功能在全网要求实现单点登录的范围内(包括一级门户网站、省级门户网站、全网业务平台和省级业务平 …… 此处隐藏：2764字，全部文档内容请下载后查看。喜欢就下载吧 ……