开源认证组件汇总 Kerberos和CAS

1、Kerberos

1.Kerberos原理和工做机制
概述：Kerberos的工做围绕着票据展开，票据相似于人的驾驶证，驾驶证标识了人的信息，以及其能够驾驶的车辆等级。
1.1 客户机初始验证
 

1.2获取对服务的访问
 

2.kerberos中的几个概念

2.1 KDC：密钥分发中心，负责管理发放票据，记录受权。
    2.2 域：kerberos管理领域的标识。
    2.3 principal：当每添加一个用户或服务的时候都须要向kdc添加一条principal，principl的形式为 主名称／实例名@领域名。
    2.4 主名称：主名称能够是用户名或服务名，还能够是单词host，表示是用于提供各类网络服务（如ftp，rcp，rlogin）的主体。
    2.5 实例名：实例名简单理解为主机名。
    2.6 领域：Kerberos的域。
---------------------
版权声明：本文为CSDN博主「波波happy」的原创文章，遵循CC 4.0 by-sa版权协议，转载请附上原文出处连接及本声明。
原文连接：https://blog.csdn.net/lovebomei/article/details/80004277

2、CAS 统一认证中心

CAS是Central Authentication Service的缩写，中央认证服务，一种独立开放指令协议。CAS 是 Yale 大学发起的一个开源项目，旨在为 Web 应用系统提供一种可靠的单点登陆方法，CAS 在 2004 年 12 月正式成为 JA-SIG 的一个项目。

特色

编辑

一、开源的企业级单点登陆解决方案。

二、CAS Server 为须要独立部署的 Web 应用。

三、CAS Client 支持很是多的客户端(这里指单点登陆系统中的各个 Web 应用)，包括 Java, .Net, PHP, Perl, Apache, uPortal, Ruby 等。

四、CAS属于Apache 2.0许可证，容许代码修改，再发布（做为开源或商业软件）。

原理和协议

编辑

从结构上看，CAS 包含两个部分： CAS Server 和 CAS Client。CAS Server 须要独立部署，主要负责对用户的认证工做；CAS Client 负责处理对客户端受保护资源的访问请求，须要登陆时，重定向到 CAS Server。图1 是 CAS 最基本的协议过程：

CAS Client 与受保护的客户端应用部署在一块儿，以 Filter 方式保护受保护的资源。对于访问受保护资源的每一个 Web 请求，CAS Client 会分析该请求的 Http 请求中是否包含 Service Ticket，若是没有，则说明当前用户还没有登陆，因而将请求重定向到指定好的 CAS Server 登陆地址，并传递 Service （也就是要访问的目的资源地址），以便登陆成功事后转回该地址。用户在第 3 步中输入认证信息，若是登陆成功，CAS Server 随机产生一个至关长度、惟1、不可伪造的 Service Ticket，并缓存以待未来验证，以后系统自动重定向到 Service 所在地址，并为客户端浏览器设置一个 Ticket Granted Cookie（TGC），CAS Client 在拿到 Service 和新产生的 Ticket 事后，在第 5，6 步中与 CAS Server 进行身份核实，以确保 Service Ticket 的合法性。

在该协议中，全部与 CAS 的交互均采用 SSL 协议，确保，ST 和 TGC 的安全性。协议工做过程当中会有 2 次重定向的过程，可是 CAS Client 与 CAS Server 之间进行 Ticket 验证的过程对于用户是透明的。

另外，CAS 协议中还提供了 Proxy （代理）模式，以适应更加高级、复杂的应用场景，具体介绍能够参考 CAS 官方网站上的相关文档。