SergeyPopov Apr 20 2012 at 19:52

Единая авторизация (SSO) средствами JASIG CAS. Часть 1

5 min

22K

Comments 6

aNDREIQA Apr 20 2012 at 21:57

Спасибо. планируется ли будущем использование OTP, как CAS c этим справляется?
В боевой версии ключи буду хранится на машинах или будет выделен HSM? Как CAS дружит с HSM?

SergeyPopov Apr 23 2012 at 15:06

Если я правильно понял, под OTP понимается, One Time Pass. Вообще говоря CAS концептуально не очень подходит для этой цели. Можно конечно попробовать использовать ST в качестве OTP, но я не вижу в этом особого смысла.

SergeyPopov Apr 23 2012 at 15:33

Для того что бы CAS подружился с HSM нужно найти реализацию CAS клиента, которая умеет использовать ключи из HSM. Например стандартный java CAS client устанавливает соединение с помощью HttpsUrlConnection. Если использовать имплементацию HttpsUrlConnection, которая умеет доставать ключи из HSM, то все должно получиться).

atolmachev Jul 14 2012 at 00:37

1. Что насчет дополнительной аутентификации операции? Например, по OTP SMS?
2. Возможна ли двухфакторная аутентификация?

grossws Jul 19 2012 at 14:22

Из коробки CAS имеет несколько более-менее стандартных вариантов аутентификации (файл, JpaStore, LDAP, JAAS, RADIUS и т. д.). Эти вещи описаны тут.

Кроме того, добавление новых способов аутентификации не является чем-то особо сложным, достаточно реализовать следующий интерфейс:

код

public interface AuthenticationHandler {
    /**
     * Method to determine if the credentials supplied are valid.
     * 
     * @param credentials The credentials to validate.
     * @return true if valid, return false otherwise.
     * @throws AuthenticationException An AuthenticationException can contain
     * details about why a particular authentication request failed.
     */
    boolean authenticate(Credentials credentials)
        throws AuthenticationException;

    /**
     * Method to check if the handler knows how to handle the credentials
     * provided. It may be a simple check of the Credentials class or something
     * more complicated such as scanning the information contained in the
     * Credentials object.
     * 
     * @param credentials The credentials to check.
     * @return true if the handler supports the Credentials, false othewrise.
     */
    boolean supports(Credentials credentials);
}

grossws Jul 19 2012 at 14:23

И добавить этот хэндлер в спринговый конфиг.

Рано отправил, извиняюсь.