cas 单点登录

目的：使用单点登录系统统一管理各子系统的用户登录登出，并提供一个统一的集成页面，方便用户在各系统之间的快速切换。
环境：cas-server-3.3.1,cas-client-2.0.11

一：配置服务器端的数字证书

    1，生成数字证书

         ./keytool -genkey -alias examplecas -keypass changeit -keyalg RSA -keystore server.keystore
     
    2，导出数字证书

         ./keytool -export -alias examplecas -keypass changeit -file server.crt -keystore server.keystore

    3，将数字证书导入jre的可信区

          ./keytool -import -alias examplecas -file server.crt -keypass changeit -keystore ../jre/lib/security/cacerts
   
    其他的一些命令：
    查看可信证书列表（检查证书是否加入成功）
    ./keytool -list -keystore ../jre/lib/security/cacerts

    常用命令：

 

-genkey 在用户主目录中创建一个默认文件".keystore",还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书
-alias 产生别名
-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中
-keyalg 指定密钥的算法
-validity 指定创建的证书有效期多少天
-keysize 指定密钥长度
-storepass 指定密钥库的密码
-keypass 指定别名条目的密码
-dname 指定证书拥有者信息例如： "CN=firstName,OU=org,O=bj,L=bj,ST=gd,C=cn"
-list 显示密钥库中的证书信息 keytool -list -v -keystore 别名 -storepass ....
-v 显示密钥库中的证书详细信息
-export 将别名指定的证书导出到文件 keytool -export -alias 别名 -file 文件名.crt
-file 参数指定导出到文件的文件名
-delete 删除密钥库中某条目 keytool -delete -alias 别名 -keystore sage
-keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 别名 -keypass .... -new .... -storepass ... -keystore 别名
-import 将已签名数字证书导入密钥库 keytool -import -alias 别名 -keystore 证书名-file 文件名(可以加.crt 后缀)

 

    注意：
    1，生成数字证书的时候必须使用主机名或者域名作为证书名称（CN），
         例如sso.example.com（CN=sso.example.com, OU=example, O=example, L=beijing, ST=beijing, C=china）
    2，检查JAVA_HOME环境变量（echo $JAVA_HOME），确认tomcat使用了那一个jre（有时候一台机器上会有

         多个jre），需要将生成的证书文件导入至web服务器使用的那个jre的信任证书列表中，可以使用keytool -list

         命令检查证书是否导入成功。

二：配置服务器端tomcat 6.0（server.xml）
    打开被注释掉的https配置区，添加keystoreFile，keystorePass，truststoreFile属性配置。

Xml代码

1. <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"  
2.         maxThreads="150" scheme="https" secure="true"  
3.         clientAuth="false" sslProtocol="TLS"  
4.                 keystoreFile="/usr/java/default/bin/server.keystore"  
5.                 keystorePass="changeit"  
6.                 truststoreFile="/usr/java/default/jre/lib/security/cacerts"  
7.     />  

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"

        maxThreads="150" scheme="https" secure="true"

        clientAuth="false" sslProtocol="TLS"

                keystoreFile="/usr/java/default/bin/server.keystore"

                keystorePass="changeit"

                truststoreFile="/usr/java/default/jre/lib/security/cacerts"

    />

 

    如果需要则为cas server配置虚拟主机

Xml代码

1. <Host name="sso.example.com"  appBase="webapps"  
2.         unpackWARs="true" autoDeploy="true"  
3.         xmlValidation="false" xmlNamespaceAware="false">  
4.     </Host>  

<Host name="sso.example.com"  appBase="webapps"

        unpackWARs="true" autoDeploy="true"

        xmlValidation="false" xmlNamespaceAware="false">

    </Host>

 

   将cas-server-3.3.1-release\cas-server-3.3.1\modules\cas-server-webapp-3.3.1.war解压并

   放至 webapps/cas3目录后，可通过https://sso.example.com:8443/cas3/login 访问cas server登录页面。


三：配置一个最简单的cas server端。
    1，新建数据表

Sql代码

1.    create table users   
2. (   
3.    id                   int not null auto_increment,   
4.    username             varchar(50) not null,   
5.    password             varchar(50) not null,   
6.    primary key (id)   
7. );  

       create table users

    (

       id                   int not null auto_increment,

       username             varchar(50) not null,

       password             varchar(50) not null,

       primary key (id)

    );

 

    user表中添加需要认证的用户数据。
    2，在 WebRoot/WEB-INF/spring-configuration/文件夹下新建一个spring的配置文件，配置dataSource对象
    3，修改WebRoot/WEB-INF/deployerConfigContext.xml配置文件，将：

Xml代码

1. <bean class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePasswordAuthenticationHandler" />  

<bean class="org.jasig.cas.authentication.handler.support.SimpleTestUsernamePasswordAuthenticationHandler" />

 

       替换为：

Xml代码

1. <bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">  
2.     <property name="sql" value="select password from users where username=?" />  
3.             <property name="dataSource" ref="dataSource" />  
4. </bean>  

    <bean class="org.jasig.cas.adaptors.jdbc.QueryDatabaseAuthenticationHandler">

        <property name="sql" value="select password from users where username=?" />

                <property name="dataSource" ref="dataSource" />

    </bean>

 

四：配置客户端服务器。
    客户端的服务器同样需要导入服务器端生成的数字证书，否则在cas server回调客户端页面的时候将会抛出以下异常：

Java代码

1. javax.servlet.ServletException: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target   
2.     edu.yale.its.tp.cas.client.filter.CASFilter.getAuthenticatedUser(CASFilter.java:254)   
3.     edu.yale.its.tp.cas.client.filter.CASFilter.doFilter(CASFilter.java:184)  

javax.servlet.ServletException: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

    edu.yale.its.tp.cas.client.filter.CASFilter.getAuthenticatedUser(CASFilter.java:254)

    edu.yale.its.tp.cas.client.filter.CASFilter.doFilter(CASFilter.java:184)

 

    提示找不到有效的证书路径。
    配置步骤：
    1，拷贝服务器端生成的server.crt文件至客户端jre/bin目录下
    2，执行：
        C:\Program Files\Java\jre1.6.0_06\bin>keytool -import -alias examplecas -file server.crt -keypass changeit -keystore ..\lib\security\cacerts
    3，查看是否添加成功
        C:\Program Files\Java\jre1.6.0_06\bin>keytool -list -keystore ..\lib\security\cacerts

五：修改客户端增加单点登录支持。
    1，修改web.xml文件：

Xml代码

1. <filter>  
2.     <filter-name>CAS Filter</filter-name>  
3.             <filter-class>edu.yale.its.tp.cas.client.filter.CASFilter</filter-class>  
4.             <init-param>  
5.                     <param-name>edu.yale.its.tp.cas.client.filter.loginUrl</param-name>  
6.                     <param-value>https://sso.example.com:8443/cas3/login</param-value>  
7.             </init-param>  
8.             <init-param>  
9.                     <param-name>edu.yale.its.tp.cas.client.filter.validateUrl</param-name>  
10.                     <param-value>https://sso.example.com:8443/cas3/serviceValidate</param-value>  
11.             </init-param>  
12.             <init-param>  
13.                     <param-name>edu.yale.its.tp.cas.client.filter.serverName</param-name>  
14.                     <param-value>sso.example.com</param-value>  
15.             </init-param>  
16.     </filter>  
17.   
18.     <filter-mapping>  
19.             <filter-name>CAS Filter</filter-name>  
20.             <url-pattern>/portal/portal.jsp</url-pattern>  
21.     </filter-mapping>   

    <filter>

        <filter-name>CAS Filter</filter-name>

                <filter-class>edu.yale.its.tp.cas.client.filter.CASFilter</filter-class>

                <init-param>

                        <param-name>edu.yale.its.tp.cas.client.filter.loginUrl</param-name>

                        <param-value>https://sso.example.com:8443/cas3/login</param-value>

                </init-param>

                <init-param>

                        <param-name>edu.yale.its.tp.cas.client.filter.validateUrl</param-name>

                        <param-value>https://sso.example.com:8443/cas3/serviceValidate</param-value>

                </init-param>

                <init-param>

                        <param-name>edu.yale.its.tp.cas.client.filter.serverName</param-name>

                        <param-value>sso.example.com</param-value>

                </init-param>

        </filter>

 

        <filter-mapping>

                <filter-name>CAS Filter</filter-name>

                <url-pattern>/portal/portal.jsp</url-pattern>

        </filter-mapping>

 

  
    2，增加子系统的登录接口，支持集成页面（portal.jsp）的访问请求。
       例如，老系统的登录页面和主页面分别是login.jsp,main.jsp（login.jsp负责验证用户是否合法，合法则将用户
       数据存入该系统的session对象当中，main.jsp负责分配用户在该系统内的访问权限及页面的初始化），为了不影
       响老系统的正常访问，尽可能保证独立性可以实现两个仅供portal.jsp调用的类似页面（cas-login.jsp,cas-main.jsp）.
       cas-login.jsp中可以获得cas server传递给我们的用户名称。

Java代码

1. String username = (String)session.getAttribute(CASFilter.CAS_FILTER_USER);  

       String username = (String)session.getAttribute(CASFilter.CAS_FILTER_USER);

 

       根据获得的用户名称再去本地数据库查找用户信息，完成验证及角色权限初始化的工作。

六：总结一下：
    1，单点登录仅仅帮助我们在各个子系统中间安全的共享了一下用户名，省去了用户重复登陆的麻烦，统一了用户

         帐户的管理，至于用户在每个系统中的权限分配，还是继续交给子系统完成吧。可以开发一个cas server端的

         集成界面（portal），方便用户在各个子系统中间的快速切换。
    2，为了完善cas server的用户管理功能，需要在cas 的server,client端各自开放几个调用接口，保证子系统与

         cas server端的账户信息同步。
    3，改造老系统时尽量为portal的集成开发新的访问入口（而不是去修改以前的代码使之兼容），这样既可以从集

        成portal访问，又可以从原有的访问地址访问。

    4，配置server端及client的服务器时候一定要找对tomcat究竟在使用那一个jre，windows上查看

         %JAVA_HOME%变量，linux上echo $JAVA_HOME.
    5，server端及client端的服务器均需要导入数字证书，否则cas server端回调客户端页面时将会抛出：
         PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
       异常。