Java EE SSO最佳實踐

Question

我找到了一份很棒的白皮書（由Sun撰寫），有關將Kerberos，JAAS和GSS-API集成到一個重型SSO系統中。 不幸的是，該文章是針對Java 1.4編寫的，已有多年歷史了。

（1）我想知道：這種“成功的”（Kerberos-JAAS-GSS或簡稱KJG ）仍然是Java EE應用程序的主要SSO機制（自J6起，J7即將推出）嗎？ 如果不是，那是什么，您能簡要解釋一下它的體系結構嗎？

我的應用程序還需要一些安全的Web服務。 在閱讀本文之前，我正在考慮使用SSL來保護傳輸和XWSS或（更可能是）Apache的用於身份驗證/簽名/加密的WSS4J框架：

（2） KJG （或您為上面的問題1建議的任何解決方案）是否能夠提供安全的Web服務？ 例如，可以使用KJG代替WSS4J / SSL嗎？

第二個問題是我嘗試查看是否可以將許多SSO代碼重用於安全的Web服務實現。 預先感謝您的任何輸入或朝正確方向的推動。

Answer 1

您是否考慮過SAML 2.0？

它的規范包含一個Web SSO概要文件，並且在流行的J2EE身份產品（例如OpenAM（以前稱為OpenSSO））中受其支持。 我已經使用OpenASelect （使用OpenSAML ）來實現Web SSO。