成都心情

    隨著 IT 系統所支撐的業務程序的激增，用戶和系統管理者都面對同一個日益復雜的，進行作業功能操作的界面。典型情況下，用戶不得不在多個系統上進行登陸，這將迫使同一個登陸對話框多次出現，每個系統都調用不同的用戶名和驗證信息。而系統管理者則面臨在每個系統管理用戶帳號，并為了以一種協同的方式訪問而維持完整的強制安全策略。對于用戶這種采用遺傳方式登陸到多系統的說明如下：

    
                                    采用遺傳方式的用戶登陸多系統

    在歷史上，一個分布式計算機系統由各個組件作為獨立安全域裝配而成。這些組件由包含關聯操作系統和應用程序的獨立平臺組成。
   
    這些組件作為官能上的獨立域，終端用戶必須自己獨立辨別和驗證他想要交互的那些域。該場景在上圖已有說明。終端用戶最初通過和主域（Primary Domain）交互來建立會話。在上圖中被稱做主域登陸（Primary Domain Sign-On），并且需要終端用戶提供一組可用的用戶信息，例如用戶名和密碼。主域會話典型的由操作系統會話外殼在代表終端用戶環境的終端用戶機器上運行獲得的（比如：程序屬性，環境變量和根目錄）。通過主域會話外殼，用戶可以調用其他的域服務，比如平臺或應用程序。
   
    要調用二級域（Secondary Domain）服務，終端用戶需要進行二級域登陸（Secondary Domain Sign-on）。并要求終端用戶再次提供用戶信息，終端用戶不得不引導一個獨立的登陸對話框進行驗證。二級域會話是典型的操作系統外殼或程序外殼，再一次代表終端用戶環境。從管理的角度上看，采用遺傳方式需要獨立的管理每個域，而且是多用戶帳戶管理界面。權衡可用性和安全上的考量，需要在企業中為多個不同域部署一種協同機制以及可集成的用戶登陸功能以及用戶帳號管理功能。提供這種協同和集成的服務有益于為企業提供真實的開銷，通過：
   
    減少用戶登陸到獨立域花費的操作時間，同時也降低了進行登陸操作時失敗的機率。
    通過減少必要的用戶句柄和記住多組認證消息，增強了安全性。
    減少了時間的花費，改善了響應，通過系統管理員為系統增加、刪除、修改用戶訪問權。
    通過增強系統管理員維護用戶帳號配置的完整性，來改善安全。采用協同一致的方式禁止或取消獨立用戶訪問所有系統資源。

                                           單用戶登陸到多用戶

    這種服務被稱做單點登陸（Single Sign-On）。不管怎樣，該服務對于終端用戶和管理方面都同樣重要。這種方式在上圖中有所體現。在單點登陸方式，系統必須從用戶收集數據，作為主登陸的一部分，所有的身份和用戶信息必須提供給用戶驗證系統，以便每個二級域進行潛在的交互。
   
    這些信息由終端用戶作為主域登陸過程的一部分提供，可在下面幾個方面為二級域提供登陸：
   
    直接方式，用戶提供的信息直接作為二級域的第二次登陸的一部分。
    間接方式，用戶提供的信息被用于找回存儲在單點登陸管理數據庫上的其他用戶的標識和用戶信息。取回的信息接著被用于基本的二級域登陸操作。
    立即方式，與二級域建立會話作為初始會話的確立。意味著程序的客戶將在第一次登陸操作時同時自動調用并建立通信。
    臨時存儲或緩存，應用于終端用戶偶爾請求二級域服務的情況。
   
    從管理的角度來看，單點登陸模式提供一種單一用戶管理界面，所有的組件域將以協同和同步的方式管理。
   
    單點登陸模式在安全方面的重要意義在于：
   
    二級域與主域的信任關系：
   
        正確地斷言終端用戶的身份和驗證信息。
        保護為使用未經許可的二級域而驗證終端用戶身份的驗證信息。
       
    當主、從域之間通訊受到威脅，比如中途攔截或丟失（eavsdropping）引起可能的偽裝攻擊，驗證信息應被保護起來。


請注意！引用、轉貼本文應注明原譯者：Rosen Jiang 以及出處：http://www.tkk7.com/rosen