单点登陆(Single Sign-On,SSO)介绍（翻译）

    随着 IT 系统所支撑的业务程序的激增，用户和系统管理者都面对同一个日益复杂的，进行作业功能操作的界面。典型情况下，用户不得不在多个系统上进行登陆，这将迫使同一个登陆对话框多次出现，每个系统都调用不同的用户名和验证信息。而系统管理者则面临在每个系统管理用户帐号，并为了以一种协同的方式访问而维持完整的强制安全策略。对于用户这种采用遗传方式登陆到多系统的说明如下：

    
                                    采用遗传方式的用户登陆多系统

    在历史上，一个分布式计算机系统由各个组件作为独立安全域装配而成。这些组件由包含关联操作系统和应用程序的独立平台组成。
   
    这些组件作为官能上的独立域，终端用户必须自己独立辨别和验证他想要交互的那些域。该场景在上图已有说明。终端用户最初通过和主域（Primary Domain）交互来建立会话。在上图中被称做主域登陆（Primary Domain Sign-On），并且需要终端用户提供一组可用的用户信息，例如用户名和密码。主域会话典型的由操作系统会话外壳在代表终端用户环境的终端用户机器上运行获得的（比如：程序属性，环境变量和根目录）。通过主域会话外壳，用户可以调用其他的域服务，比如平台或应用程序。
   
    要调用二级域（Secondary Domain）服务，终端用户需要进行二级域登陆（Secondary Domain Sign-on）。并要求终端用户再次提供用户信息，终端用户不得不引导一个独立的登陆对话框进行验证。二级域会话是典型的操作系统外壳或程序外壳，再一次代表终端用户环境。从管理的角度上看，采用遗传方式需要独立的管理每个域，而且是多用户帐户管理界面。权衡可用性和安全上的考量，需要在企业中为多个不同域部署一种协同机制以及可集成的用户登陆功能以及用户帐号管理功能。提供这种协同和集成的服务有益于为企业提供真实的开销，通过：
   
    减少用户登陆到独立域花费的操作时间，同时也降低了进行登陆操作时失败的机率。
    通过减少必要的用户句柄和记住多组认证消息，增强了安全性。
    减少了时间的花费，改善了响应，通过系统管理员为系统增加、删除、修改用户访问权。
    通过增强系统管理员维护用户帐号配置的完整性，来改善安全。采用协同一致的方式禁止或取消独立用户访问所有系统资源。

                                           单用户登陆到多用户

    这种服务被称做单点登陆（Single Sign-On）。不管怎样，该服务对于终端用户和管理方面都同样重要。这种方式在上图中有所体现。在单点登陆方式，系统必须从用户收集数据，作为主登陆的一部分，所有的身份和用户信息必须提供给用户验证系统，以便每个二级域进行潜在的交互。
   
    这些信息由终端用户作为主域登陆过程的一部分提供，可在下面几个方面为二级域提供登陆：
   
    直接方式，用户提供的信息直接作为二级域的第二次登陆的一部分。
    间接方式，用户提供的信息被用于找回存储在单点登陆管理数据库上的其他用户的标识和用户信息。取回的信息接着被用于基本的二级域登陆操作。
    立即方式，与二级域建立会话作为初始会话的确立。意味着程序的客户将在第一次登陆操作时同时自动调用并建立通信。
    临时存储或缓存，应用于终端用户偶尔请求二级域服务的情况。
   
    从管理的角度来看，单点登陆模式提供一种单一用户管理界面，所有的组件域将以协同和同步的方式管理。
   
    单点登陆模式在安全方面的重要意义在于：
   
    二级域与主域的信任关系：
   
        正确地断言终端用户的身份和验证信息。
        保护为使用未经许可的二级域而验证终端用户身份的验证信息。
       
    当主、从域之间通讯受到威胁，比如中途拦截或丢失（eavsdropping）引起可能的伪装攻击，验证信息应被保护起来。

 

（请注意！引用、转贴本文应注明原译者：Rosen Jiang 以及出处：http://blog.csdn.net/rosen）