問題タブ [single-sign-on]

BizTalk Adapter Pack (BTS 2006 R2 用の WCF ベース) の Oracle アダプターを使用しています。「solicit-response」送信ポートの構成では、Oracle のユーザー名とパスワードを使用してデータベースに接続しました。

ここで、それを変更して SSO を使用したいと思います。ここまでで、アフィリエイト アプリケーションを作成し、BTS ホスト インスタンスの「ユーザー ID」を Oracle データベース ユーザーの詳細にマッピングしました。

アプリケーションを実行すると、「チケットを引き換えることができません。メッセージにチケットがありません」というエラーが常に表示されます。

BTS のドキュメントを読んでいると、"ms-help://MS.BTS.2006/BTS06CoreDocs/html/c7bf755c-c37d-4b19-9817-a7f42e1e9656.htm" で次のことがわかりました。オーケストレーションが送信アダプターを呼び出すシナリオでは、 BizTalk メッセージ エンジンはメッセージをメッセージ ボックス データベースに送信します。オーケストレーションでは、チケットを含むメッセージのSSOTicketコンテキスト プロパティとMicrosoft.BizTalk.XLANGs.BTXEngine.OriginatorSIDコンテキスト プロパティの両方が維持されるようにする必要があります。アダプターは、メッセージ ボックス データベースからこのメッセージを受信すると、暗号化されたチケットを使用して RedeemTicket メソッドを呼び出し、SSO ストアからバックエンド資格情報を取得します。オーケストレーションを設計するユーザーは、このプロパティをメッセージに具体的にコピーする必要があります。

しかし、SSO チケットを持たない SQL 統合接続を介してメッセージを受け取ります。

この問題の解決を手伝ってください。

シングル サインオンが必要なサイト (Asp.Net) がいくつかあります...

ユーザーが Site1 にアクセスし、Site1 が中央のシングル サインオン サーバー (SSS) に接続するようにします。

次に、SSS は、ユーザーがログオンしていないと判断し (方法がわからない)、ユーザーをログオン画面にリダイレクトします (まだ SSS 上にあります)。

認証された場合、ユーザーは Site1 にリダイレクトされます。

Site1 はこの到着を新規として扱い、ユーザーがログオンしているかどうかを SSS に問い合わせる可能性があります。今回は、問題のユーザーが実際にログオンしていたことを SSS が示唆します。したがって、Site1 は、将来の参照のためにこの事実をセッションに保存できます (おそらく、適切なタイムアウトを使用して)。

Site1 には、ユーザーがたどることを選択できる Site2 へのリンクが含まれます。

Site2 に到着すると、Site2 によるユーザー認証の試行がトリガーされます。

サイト 2 に到着したユーザーを、サイト 1 に既にアクセスした同じユーザーとして識別し、再度ログインする必要がないように、ユーザーが既に認証されていることを確認するにはどうすればよいですか?

注: SSS は、私がアカウントの作成を制御するプライベート システムである必要があります。残念ながら、外部の OpenID サーバーに依存することはできません。

更新: 現時点では、Site1、Site2、および SSS が同じドメイン内にあることを保証できません。

ワンクリック URL ベースの認証を保護するのに役立つ推奨事項や参考資料はありますか?

基本的に、この状況は、認証情報 (un、pw、authkey など) を提供するブラウザを介して HTTPS リクエストを受け入れるサードパーティ システムです。サービスは、提供された資格情報を認証すると、ログイン アクセスを許可または拒否します。ポイントは、誰かがリンクをクリックすると、このサードパーティ システムへのアクセスが自動的に許可されるということです。

現在、プロセス全体を取り巻くセキュリティはそれほど多くありません (製品がまだ生産されていないため、大したことではありません)。サードパーティは、これを少しでも保護するためにいくつかの変更を加えることをいとわない. .

私はすでに情報をハッシュする必要があると判断しており、ブラウザの履歴に情報が表示されないようにするために、おそらく POST 経由で送信することさえあります。しかし、皆さんがこのようなことをどのように処理するかについて、少し意見を述べたいと思います。

[編集: リクエストは HTTPS 経由で送信され続けます。また、以前は HTTPS であった HTTP を変更しました]

私は多くのサイトのコア/マスターであるサイトに取り組んでいます。また、ブランドバナーの下にあるすべてのサイトで認証を処理する責任があります。

クライアントはシングルサインオン操作を含めることを望んでいたため、いずれかのサイトにサインインすると、すべてのサイトにサインインします。メインサイト（私たち）にリダイレクトしてログインを実行することにより、子サイトのサインインを処理しています。

SSOは、画像タグをページに埋め込み、各子サイトのページを呼び出すことで動作することが決定されました。これにより、サイトへのクライアントセッションが開き、Cookieを設定したり、ログインを処理したいことを実行したりできるようになります。

これはほとんどの部分で機能し、IE7、FF 2、3でテストされており、すべて機能します。現在問題となっているブラウザはSafari（およびChrome）です。クライアントセッションで画像が読み込まれているように見えますが、開かれていないようですが、設定された子サイトからCookieを取得していません。問題は、SafariとChromeが問題となっているWebKitベースのブラウザのようです（konquerorも同じ運命をたどる可能性があると思いますが、現時点ではLinuxを自由にインストールできません）。

Safariに外部ホストへの埋め込み画像タグをクライアントコンテキストを開くものとして認識させる方法を知っている人はいますか？または、誰かがASP.NETからASP.NETではないサイトにSSOを実行するためのより良い方法を提供できますか？

注：はい、画像を無効にすることに関して、これまでに行ってきたSSOの概念に問題があることを認識しています。提案された解決策は私のものではなく、私はそれに固執しています。

SharePoint サイトと、別のドメインに存在するカスタム PHP ベースのサイトとの間で SSO を実装する必要があります。PHP サイトにログインするには、SharePoint ユーザー アカウントを使用する必要があります。(PHPソースを完全に制御できます)

これは可能ですか？ヒントとコツはありますか？

SSO について学びたいと思っていて、Sun Access Manager と openSSO(?) について聞いたことがあります。Apache をフロントエンドとして SSO サーバーと連携させるような、SSO を実行する小さなシステムを構築したいと考えています。Sun AM を調査する必要がありますか? openSSO は製品ですか? これらは開発者に無料で提供されますか? ありがとう

集中認証サーバー (CAS) を使用してシングル サインオンを行うアプリケーションがあります。ユーザーが 1 つのアプリケーション (フロントエンド ポータルなど) からログアウトすると、同じシングル サインオン チケットを使用してすべてのアプリケーションからユーザーが自動的にサインアウトされるように、シングル サインアウトを実行したいと考えています。

各アプリケーションは、そのアプリケーションへのログオン時にサインアウト フック (URL) を CAS に登録することが期待されます。CAS は、いずれかのアプリケーションからサインアウト要求を受信すると、SSO チケットを共有するすべてのアプリケーションに対してサインアウト フックを呼び出します。

私の質問はこれです: 別のセッションから InProc セッションを放棄する方法はありますか? HTTP 要求は CAS サーバーから送信されるため、独自のセッションを取得すると思いますが、終了したいのはユーザーのセッションです。別のセッション状態サーバーを使用してこれを行う方法についてはかなり良い考えがありますが、InProc セッション状態を使用してそれが可能かどうか知りたいです。

特定の実装について質問しているわけでも、クロスサイト シングル サインオン メカニズムのグローバルな世界観について質問しているわけでもありません。OpenID の根底にある使いやすさについてコミュニティがどう考えているかを知りたいだけです。実際のユーザー名の代わりに、(技術者ではない観察者にとって) ランダムなプロバイダーの組み合わせによって発行された URL を使用することは、人々が好むものだと思いますか? そうでない場合、誰かがより良いメカニズムを持っていますか? 十分な関心があれば、より一般的な SSO の質問でフォローアップします。

ユーザーが 1 つのドメインで Web サイトにサインインし、同じセッションで他のパートナー ドメインに自動的にアクセスできるようにする宝石、チュートリアル、またはソリューションを知っている人はいますか?

私は 2 つの Rails アプリを実行しています。それらを App-A と App-B と呼びましょう。App-A にはデータベースが関連付けられており、App-A.com での登録とログインを強化しています。App-A.com アカウントを持つすべてのユーザーに、App-B.com への再登録や手動でのログインを個別に行わずに、App-B.com へのアクセスを許可したいと考えています。

助けてくれてありがとう！ - マーク

SSO は、接続されているすべてのアプリケーションへの 1 回限りのログインと理解しています。SSO とそれがどのように実現されているかについて詳しく知りたい