基于CAS统一身份认证的设计

（浙江大学城市学院 信息与教育技术中心 浙江杭州 310015）

引言

随着计算机技术和网络技术的迅猛发展，目前高校已经具备了完善的网络环境，但是各系统的用户管理和登录自成系统，通过独立的身份进行登录和管理，这给校园用户和管理员带来了许多的不便，主要体现在不利于进行统一管理，不能够实现对信息资源的整合利用。基于以上原因，提出了单点登陆的概念。所谓单点登陆是指通过同一套用户名密码登陆一次，就能访问其他集成到身份认证平台的系统资源，不用多次登陆认证。高校数字校园的建设需在遵循同一标准与规范的情况下，通过系统的集成与整合，构建一个完整统一、高效稳定、安全可靠的认证系统。[1]

一、设计目标

通过对需求分析，身份认证系统主要实现以下几个功能：1.集中用户管理；2.集中认证管理；3.集中授权管理。集中用户管理主要指身份认证系统的用户账号都存在于一套集中的数据库中，对于账号的维护主要对账户的增删改三种账号异动进行管理。所以我们将从账号的来源、账号在使用过程中的操作、账号销户三个方向对账号做维护，对增删改等操作都将提供相应的接口，便于和其他系统的交互。集中认证主要指对接入统一身份认证平台的系统进行管理，对接入身份认证系统提供安全可靠的认证服务，实现强身份认证服务；实现单点登录功能，通过一个站点登陆可以访问其他站点，无须再次验证；支持web系统认证集成，APP等应用可以进行认证。集中授权主要是在系统中设置相应的角色信息，同时给用户分配不同的角色状态，根据角色来达到区分目的。每个系统都有角色和权限，通过给账号设置不同的权限来达到功能的划分。通过在身份认证平台中设置后返回给接入系统，系统可以直接控制用户权限。

二、系统设计

根据设计目标，系统可以归纳为身份管理、数据存储、身份认证、对外服务等几个主要层次；身份管理主要是管理用户信息；在数据储存层，主要使用Oracle数据库和Redis库，Oracle数据库主要用来储存系统的配置信息，如认证系统的配置，任务调度信息等；根据Redis的特性，我们使用它存储用户信息，作为认证库，提高认证使用感知。在底层服务层我们提供了rest身份认证接口、日志记录等接口。如图3-1系统功能架构图所示：

图3-1 系统功能架构图

同时设计了多种认证模式来实现系统认证，主要为通过API方式、代理模式与Redis接口。API集成模式提供各种开发语言和多环境的身份认证集成。API集成对被集成系统的侵入性强，往往需要理解CAS协议的具体流程，并对集成应用的认证模块进行替换。它在CAS协议中作为CAS的客户端负责与CAS Server进行交互完成认证。代理模式通过简化身份认证集成的流程，降低集成成本，提高集成成功率，通常作为单点登录集成的一种重要的集成手段。Redis接口最大的优点是有极高的性能，但是只能进行认证而不能进行SSO。Redis接口的认证直接使用和Redis服务器交互，不需要处理复杂的CAS协议交互，加Redis服务器性能极高，使得Redis接口在应对高并发应用时也表现出极佳的性能。[2]

结语

统一身份认证平台的建立将为学校信息系统管理者带来更安全便捷的网上用户管理方式，为师生带来更安全、高效的使用环境，达到统一认证、统一管理、单点登陆的效果。同时为校园后续的信息化建设提供支撑。