CN107835165B - 一种单点登录的***及方法 - Google Patents

Abstract

本发明涉及一种单点登录的***及方法。其中，所述单点登录的***包括：至少两个登录***，使用者可以通过每个所述登录***认证登录；还包括：两个以上SSO服务平台，用于存储及共享使用者的登录信息；信任中心，用于所述登录***之间的信任判断；且所述登录***与所配置于的所述SSO服务平台之间能够进行信息通信，所述信任中心与所述SSO服务平台和/所述登录***之间能够进行信息通信。其在两个以上SSO服务平台之前增加信任中心层，在保留了SSO便捷登录，良好技术支持的优势基础上，兼顾了统一SSO和独立配置两方面需求。而且技术方案实现简单，兼容性高。

Description

一种单点登录的***及方法

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种单点登录的***及方法。

背景技术

单点登录(SSO，SingleSignOn)是指在多个应用***中，用户只需要从某一个***登录一次就可以访问所有相互信任的应用***。它可以将这次主要的登录映射到其他应用***中用于同一个用户的登录。在各大型网站尤其是由多个子***支撑完成完整运作的大型网站普遍使用。传统业务中，在使用SSO服务时，所有关联的***均配置到一个SSO服务平台，由SSO服务凭条提供单点登录服务。但是这种单点登录***的设置，难以对配置其上的多个子***(公司)独立进行权限设置。不利于公司的管理，对整个单点登录***的安全性也埋下了隐患。

发明内容

基于此，有必要针对上述问题，提供一种能够对SSO服务平台上配置的各子***进行单独权限管理控制的单点登录的***及方法。

为实现本发明目的提供一种单点登录的***，包括：

至少两个登录***，使用者可以通过每个所述登录***认证登录；

还包括：

两个以上SSO服务平台，用于存储及共享使用者的登录信息；

信任中心，用于所述登录***之间的信任判断；

所述登录***与所配置于的所述SSO服务平台之间能够进行信息通信，所述信任中心与所述SSO服务平台和/所述登录***之间能够进行信息通信。

其中一个实施例的单点登录的***，所述信任中心的数量为一个。

其中一个实施例的单点登录的***，配置于同一SSO服务平台的所述登录***登录权限相同；

配置于不同SSO服务平台的所述登录***之间的登录权限经由所述信任中心设置。

其中一个实施例的单点登录的***，所述SSO服务平台上配置的登录***的变更不影响信任中心的数据及设置。

其中一个实施例的单点登录的***，所述信任中心中存储有所述SSO服务平台之间的信任关系，当需要对于连接于所述信任中心的所述SSO服务平台进行修改时，修改所述信任中心中与要修改的SSO服务平台对应的部分。

其中一个实施例的单点登录的***，所述信任中心用于配置于不同的SSO服务平台的登录***之间的信任判断。

其中一个实施例的单点登录的***，当配置于第一SSO服务平台的登录***在信任中心中设置为信任配置于第二SSO服务平台的登录***时，经第二SSO服务平台认证的使用者可以自动登录配置于第一SSO服务平台的登录***；当配置于所述第一SSO服务平台的登录***在信任中心中设置为不信任配置于第二SSO服务平台的登录***时，经第二SSO服务平台认证的使用者登录配置于所述第一SSO服务平台的登录***，需要经所述第一SSO服务平台再次认证。

基于同一发明构思的一种单点登录的方法，设置有至少两个SSO服务平台，及信任中心，所述信任中心用于配置于不同SSO服务平台的登录***之间的信任判断，包括以下步骤：

当登录配置于第一SSO服务平台的登录***的使用者携带有配置于第二SSO服务平台的登录***的身份信息时，在所述信任中心中验证配置于所述第一SSO服务平台的登录***是否信任配置于所述第二SSO服务平台的登录***；

当配置于所述第一SSO服务平台的登录***信任配置于所述第二SSO服务平台的登录***时，允许所述使用者自动登录所述配置于所述第一SSO服务平台的登录***；

当配置于所述第一SSO服务平台的登录***不信任配置于所述第二SSO服务平台的登录***时，拒绝所述使用者自动登录所述配置于所述第一SSO服务平台的登录***。

其中一个实施例的单点登录的方法，所述当配置于所述第一SSO服务平台的登录***信任配置于所述第二SSO服务平台的登录***时，允许所述使用者自动登录所述配置于所述第一SSO服务平台的登录***，包括：

向所述第二SSO服务平台获取所述使用者的身份信息；

在所述第一SSO服务平台存储所述使用者的身份信息；

在浏览器存储所述身份信息并从所述配置到所述配置于所述第一SSO服务平台的登录***登录。

其中一个实施例的单点登录的方法，还包括以下步骤：

判断从所述配置于第一SSO服务平台的登录***登录的使用者是否携带本***的身份信息；

若是，则直接登录；

若否，则定向到所述第一SSO服务平台进行认证，并进一步判断所述使用者是否携带配置于第二SSO服务平台的登录***的身份信息；

若是，则执行所述在所述信任中心中验证配置于所述第一SSO服务平台的登录***是否信任配置于所述第二SSO服务平台的登录***的步骤；

若否，则经所述第一SSO服务平台进行全新认证。

本发明的有益效果包括：本发明提供的一种单点登录的***，在两个以上SSO服务平台之前增加信任中心层，在保留了SSO便捷登录，良好技术支持的优势基础上，兼顾了统一SSO和独立配置两方面需求。而且技术方案实现简单，兼容性高。

附图说明

图1为本发明一种单点登录的***的一具体实施例的机构示意图；

图2为本发明一种单点登录的***的另一具体实施例的机构示意图；

图3为本发明一种单点登录的方法的一具体实施例的流程图；

图4为本发明一种单点登录的方法的一具体实施例的实施过程示意图；

图5为本发明一种单点登录的方法的另一具体实施例的流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图对本发明的单点登录的***及方法的具体实施方式进行说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

如图1所示，本发明其中一个实施例的单点登录的***，包括一个信任中心，两个SSO服务平台，为能够区分说明将两个SSO服务平台分别命名为第一SSO服务平台和第二SSO服务平台。需要说明的是，此处第一、第二只是为了区分说明两个不同的SSO服务平台，不代表先后顺序，也没有其他特殊含义。其中第一SSO服务平台为甲公司的单点登录服务平台，第二SSO服务平台为乙公司的单点登录服务平台。如图所示，本实施例中每个SSO服务平台配置有两个登录***，分别为甲公司A***、甲公司B***和乙公司A***和乙公司B***。

其中，每个登录***均可以与所配置的SSO服务平台进行信息通信，可以进行双方向的数据传输。如甲公司A***及甲公司B***均能够与第一SSO服务平台进行信息通信，在第一SSO服务平台与登录***自身之间进行数据传输。同样，乙公司A***与乙公司B***也均可以与所配置的第二SSO服务平台之间进行信息通信。

如图1所示，第一SSO服务平台与第二SSO服务平台均与信任中心通信连接，即两个服务平台能够与信任中心之间进行信息通信，能够进行双向的数据传输。所述信任中心最主要的功能是进行信任信息的验证，用于配置于不同的SSO服务平台的登录***之间的信任判断，如用于乙公司是否信任甲公司认证信息，或者甲公司是否信任甲公司认证信息的验证。在具体实施过程中需要事先在所述信任中心中对是否彼此信任进行设置，如可以设置乙公司的两个***(乙公司A***和乙公司B***)信任甲公司的认证信息，即在第一SSO服务平台输入并存储的认证信息携带者可以自动从乙公司A***和乙公司B***登录。

此处还需要说明的是，本实施例中所描述的SSO服务平台包括第一SSO服务平台和第二SSO服务平台完全具备常规单点登录服务平台功能，配置与同一SSO服务平台的多个登录***之间自动登录，如甲公司A***和甲公司B***之间，及乙公司A***和乙公司B***之间。但是本***中不同的SSO服务平台之间的登录***之间是否自动登录需要经过信任中心设置验证。

更具体的，在具体实例中，在一个集团公司可以对每个子公司设置一个SSO服务平台，并由子公司自己进行维护，而信任中心可以由总公司进行维护，根据公司总体业务需求设置甲公司使用者是否可以自动登录乙公司***调用乙公司资源进行查询或者提供技术支持。

本领域技术人员可以理解，对于一个信任中心所连接的SSO服务平台的数量可以根据需求进行设置，图1中所示设置了两个SSO服务平台，在其他实施例中可以设置更多数量，如设置三个、四个等。并可以在信任中心中设置各SSO服务平台之间身份信息的信任关系。但是还需要说明的是，所述信任中心中不是必须包含所有SSO服务平台之间的信任关系，或者说不必须存储所有登录***之间的信任关系，而只设置部分需要进行认证信息信任的登录***之间的信任关系。如假设图1中的信任中心还连接有第二SSO服务平台和第三SSO服务平台，可在所述信任中心中只设置所有配置于第三SSO服务平台的登录***信任所有配置于第一SSO服务平台的登录***，即携带有第一SSO服务平台认证通过的身份信息的使用者可以自动从配置于第三SSO服务平台的登录***登录。而对于其他两两SSO服务平台之间是否存在信任关系可在信息中心中不做处理，默认为不信任。相互之间不信任的不能自动登录。

而对于信任中心的数量，需要说明的是，一个单点登录***也可以包含三个以上信任中心，多个信任中心分层设置，并设置有一个最高级信任中心作为总信任中心。如图2所示，上层信任中心可设置下层信任中心之间的相互信任关系。适合于集团公司分层管理设置。

本实施例的单点登录***通过增加信任中心层，在保留了SSO便捷登录，良好技术支持的优势基础上，兼顾了统一SSO和独立配置两方面需求。而且技术方案实现简单，兼容性高。

另外需要强调的是，配置于同一SSO服务平台的登录***登录权限相同，也即认证的身份信息互通共享，登录***彼此之间默认自动登录。而配置于不同SSO服务平台的登录***之间的登录权限经由信任中心设置。此为提前设置，提前设置为彼此信任，则各登录***登录时自动登录，如不提前设置为彼此信任，则登录时不能自动登录。具体携带有其他有关联的登录***的身份信息的使用者，不自动登录时，如何进行处理可根据具体设置进行处理，如可在当前SSO服务平台进行再次登录认证，也可设置为直接拒绝其登录。

在其中一个实施例中，当配置于第一SSO服务平台的登录***在信任中心中设置为信任配置于第二SSO服务平台的登录***时，经第二SSO服务平台认证的使用者可以自动登录配置于第一SSO服务平台的登录***；当配置于第一SSO服务平台的登录***在信任中心中设置为不信任配置于第二SSO服务平台的登录***时，经第二SSO服务平台认证的使用者登录配置于第一SSO服务平台的登录***，需要经第一SSO服务平台再次认证。

另外，如图1所示，各SSO服务平台由各分公司独立维护，各分公司可更具需求更改所配置的登录***，如乙公司在第二SSO服务平台增加配置乙公司C***。在信任中心中设置第一SSO服务平台所有配置的登录***信任所有第二SSO服务平台配置的登录***，此时乙公司对第二SSO服务平台配置信息的修改不影响信任中心的数据信息。

但是如图1所示，信任中心中的信息是与相连接的SSO服务平台直接关联的，当需要修改SSO服务平台的信息时，则同时需要修改信任中心中与要修改的SSO服务平台对应的部分。如删除某一SSO服务平台时，相应删除信任中心中包含该SSO服务平台的信息，避免信任中心中信息过于混乱，降低出错率，同时也减少信任信息验证时数据处理量，提高处理效率，提高自动登录效率。当然，如果增加了新的SSO服务平台，则在必要时需要增加该SSO服务平台与其他SSO服务平台之间的信任信息。

基于同一发明构思，还提供一种单点登录的方法，由于此方法解决问题的原理与前述一种***功能相似，或者该方法的实施可通过借助前述的单点登录的***实现，而前述***的具体实施过程可参照本方法执行，彼此重复之处不再赘述。

如图3所示，一种单点登录的方法，通过计算机程序实现，尤其可通过浏览器在网页端实现。本方法的实现设置有至少两个SSO服务平台，至少一个信任中心，信任中心用于配置于不同SSO服务平台的登录***之间的信任判断。具体包括以下步骤：

S100，当登录配置于第一SSO服务平台的登录***的使用者携带有配置于第二SSO服务平台的登录***的身份信息时，在信任中心中验证配置于第一SSO服务平台的登录***是否信任配置于第二SSO服务平台的登录***。

S200，当配置于第一SSO服务平台的登录***信任配置于第二SSO服务平台的登录***时，允许使用者自动登录配置于第一SSO服务平台的登录***。

所述配置于第一SSO服务平台的登录***信任配置于第二SSO服务平台的登录***，即配置于第一SSO服务平台的登录***承认第二SSO服务平台认证的身份信息。且所述身份信息在所述第二SSO服务平台进行存储。

S300，当配置于第一SSO服务平台的登录***不信任配置于第二SSO服务平台的登录***时，拒绝使用者自动登录配置于第一SSO服务平台的登录***。

所述配置于第一SSO服务平台的登录***不信任配置于第二SSO服务平台的登录***，即配置于第一SSO服务平台的登录***不承认第二SSO服务平台认证的身份信息，则使用第二SSO服务平台认证的身份信息不能登录配置于第一SSO服务平台的登录***。其中，信任中心中的信任信息可以采用信任列表的形式存储。如可以对每个SSO服务平台对应建立一个信任列表，在列表中的则信任，不在列表中的则不信任。前述的***中信任中心也可以采用相同的方式进行设置。

本方法设置有信任中心，依靠信任中心进行不同SSO服务平台之间身份信息的共享设置。保留了SSO服务统一、快捷登录特点的同时，使不同SSO服务平台自身能够进行独立，便于集团化管理。且程序设置简单，兼容性好。

在其中一个实施例中，当配置于第一SSO服务平台的登录***信任配置于第二SSO服务平台的登录***时，所述允许使用者自动登录配置于第一SSO服务平台的登录***，具体包括以下步骤：

S210，向第二SSO服务平台获取使用者的身份信息。当然，所述第二SSO服务平台会返回所存储的身份信息，则继续执行步骤S220。

S220，在第一SSO服务平台存储使用者的身份信息。

S230，在浏览器存储身份信息并从配置到配置于第一SSO服务平台的登录***登录。

参见图4，下面以一个具体实例说明从甲公司A***登录认证的使用者登录乙公司A***的过程。

1.使用者访问(登录)甲公司A***；

2.甲公司A***没找到身份信息，重定向到第一SSO服务进行认证；

3.使用者输入用户名密码，认证通过后身份信息保存在第一SSO服务平台；

4.身份信息存储在浏览器并定向回甲公司A***；

5.使用者带着甲公司A***的身份信息访问乙公司A***；

6.乙公司A***没找到本***的身份信息，重定向到第二SSO服务进行认证；

7.由于用户带着甲公司的身份信息，去信任中心检查甲公司是否在信任列表中；

8.信任中心返回结果：在信任列表；

9.向第一SSO服务平台获取使用者身份信息；

10.从第一SSO服务平台返回之前第3步中保存下来的身份信息；

11.将身份信息保存在第二SSO服务平台；

12.身份信息存储在浏览器并定向回乙公司A***。

如图5所示，在另一单点登录的方法的实施例中，在步骤S100之前还包括以下步骤：

S010，判断从配置于第一SSO服务平台的登录***登录的使用者是否携带本***的身份信息。

若是，S020，则直接登录；

若否，S030，则定向到第一SSO服务平台进行认证，并进一步判断使用者是否携带配置于第二SSO服务平台的登录***的身份信息。

此处需要说明的是，在本方法中，当进行登录的使用者携带非本登录***的其他信息时，对所携带的信息进行排查，查看其是否携带了同一信任中心下的其他登录***的身份信息。本领域技术人员可以理解，在生成所述身份信息时，会包含所处信任中心，所属SSO服务平台，以及认证的登录***等必要信息，其他登录***可以通过这些信息判断使用者及其身份信息来源。

若是，则执行在信任中心中验证配置于第一SSO服务平台的登录***是否信任配置于第二SSO服务平台的登录***的步骤，即步骤S100。

若否，则执行步骤S100’，经第一SSO服务平台进行全新认证，即使用第一SSO服务平台对使用者进行登记认证。符合登录条件，则允许登录，并会将登录的身份信息存储在SSO服务平台，不符合登录条件则拒绝登录。

还需要说明的是，本方法的实施例中第一SSO服务平台、第二SSO服务平台中的第一、第二只是为区分不同SSO服务平台所使用代号，没有实际含义，也不表示顺序。而且本方法中所列举使用的第一SSO服务平台和第二SSO服务平台只是方法实施过程中多个SSO服务平台中的任意两个，表征两个之间的关系，多个SSO服务平台中其他任意两个之间的关系可采用本方法的执行步骤相同处理。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)或随机存储记忆体(RandomAccessMemory，RAM)等。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (9)

1.一种单点登录的***，其特征在于，包括：

至少两个登录***，使用者可以通过每个所述登录***认证登录；

还包括：

两个以上SSO服务平台，用于存储及共享使用者的登录信息；

信任中心，用于所述登录***之间的信任判断；

所述登录***与所配置于的所述SSO服务平台之间能够进行信息通信，所述信任中心与所述SSO服务平台和/所述登录***之间能够进行信息通信；

当配置于第一SSO服务平台的登录***在信任中心中设置为信任配置于第二SSO服务平台的登录***时，经第二SSO服务平台认证的使用者可以自动登录配置于第一SSO服务平台的登录***；

当配置于所述第一SSO服务平台的登录***在信任中心中设置为不信任配置于第二SSO服务平台的登录***时，经第二SSO服务平台认证的使用者登录配置于所述第一SSO服务平台的登录***，需要经所述第一SSO服务平台再次认证。

2.根据权利要求1所述的单点登录的***，其特征在于，所述信任中心的数量为一个。

3.根据权利要求1所述的单点登录的***，其特征在于，

配置于同一SSO服务平台的所述登录***登录权限相同；

配置于不同SSO服务平台的所述登录***之间的登录权限经由所述信任中心设置。

4.根据权利要求1所述的单点登录的***，其特征在于，所述SSO服务平台上配置的登录***的变更不影响信任中心的数据及设置。

5.根据权利要求1所述的单点登录的***，其特征在于，所述信任中心中存储有所述SSO服务平台之间的信任关系，当需要对于连接于所述信任中心的所述SSO服务平台进行修改时，修改所述信任中心中与要修改的SSO服务平台对应的部分。

6.根据权利要求1至5任一项所述的单点登录的***，其特征在于，所述信任中心用于配置于不同的SSO服务平台的登录***之间的信任判断。

7.一种单点登录的方法，其特征在于，设置有至少两个SSO服务平台，及信任中心，所述信任中心用于配置于不同SSO服务平台的登录***之间的信任判断，包括以下步骤：当登录配置于第一SSO服务平台的登录***的使用者携带有配置于第二SSO服务平台的登录***的身份信息时，在所述信任中心中验证配置于所述第一SSO服务平台的登录***是否信任配置于所述第二SSO服务平台的登录***；

当配置于所述第一SSO服务平台的登录***信任配置于所述第二SSO服务平台的登录***时，允许所述使用者自动登录所述配置于所述第一SSO服务平台的登录***；

当配置于所述第一SSO服务平台的登录***不信任配置于所述第二SSO服务平台的登录***时，拒绝所述使用者自动登录所述配置于所述第一SSO服务平台的登录***，需要经所述第一SSO服务平台再次认证。

8.根据权利要求7所述的单点登录的方法，其特征在于，所述当配置于所述第一SSO服务平台的登录***信任配置于所述第二SSO服务平台的登录***时，允许所述使用者自动登录所述配置于所述第一SSO服务平台的登录***，包括：向所述第二SSO服务平台获取所述使用者的身份信息；

在所述第一SSO服务平台存储所述使用者的身份信息；

在浏览器存储所述身份信息并从所述配置到所述配置于所述第一SSO服务平台的登录***登录。

9.根据权利要求7所述的单点登录的方法，其特征在于，还包括以下步骤：判断从所述配置于第一SSO服务平台的登录***登录的使用者是否携带本***的身份信息；

若是，则直接登录；

若否，则定向到所述第一SSO服务平台进行认证，并进一步判断所述使用者是否携带配置于第二SSO服务平台的登录***的身份信息；

若是，则执行所述在所述信任中心中验证配置于所述第一SSO服务平台的登录***是否信任配置于所述第二SSO服务平台的登录***的步骤；

若否，则经所述第一SSO服务平台进行全新认证。

Images