Jednokrotne logowanie w wielu domenach [zamknięte]

Nasza firma ma skonfigurowanych wiele domen z jedną witryną hostowaną w każdej z nich. W tej chwili każda domena ma własne uwierzytelnianie, które odbywa się za pomocą plików cookie.

Gdy ktoś zalogowany w jednej domenie potrzebuje dostępu do czegokolwiek z drugiej, użytkownik musi zalogować się ponownie przy użyciu innych poświadczeń z innej witryny, znajdującej się w drugiej domenie.

Zastanawiałem się nad przejściem do pojedynczego logowania (SSO), aby wyeliminować ten problem. Byłbym wdzięczny za wszelkie pomysły, jak można to osiągnąć, ponieważ nie mam w tym zakresie żadnego doświadczenia.

Dzięki.

Edycja: Strony internetowe są połączeniem witryn internetowych (zewnętrznych) i intranetowych (używanych wewnętrznie w firmie).

Rozwiązanie SSO, które tutaj zaimplementowałem, działa w następujący sposób:

1. Istnieje domena główna login.moja_domena.com ze skryptem master_login.php, który zarządza logowaniami.
2. Każda domena klienta ma skrypt client_login.php
3. Wszystkie domeny mają wspólną bazę danych sesji użytkownika.
4. Gdy domena klienta wymaga zalogowania użytkownika, przekierowuje do domeny głównej (login.mydomain.com/master_login.php). Jeśli użytkownik nie zalogował się do administratora, żąda uwierzytelnienia od użytkownika (tj. Wyświetla stronę logowania). Po uwierzytelnieniu użytkownika tworzy sesję w bazie danych. Jeśli użytkownik jest już uwierzytelniony, wyszukuje jego identyfikator sesji w bazie danych.
5. Domena główna powraca do domeny klienta (client.mydomain.com/client_login.php) przekazując identyfikator sesji.
6. Domena klienta tworzy plik cookie przechowujący identyfikator sesji z serwera głównego. Klient może znaleźć zalogowanego użytkownika, wysyłając zapytanie do udostępnionej bazy danych za pomocą identyfikatora sesji.

Uwagi:

• Identyfikator sesji to unikalny globalny identyfikator wygenerowany za pomocą algorytmu z RFC 4122
• Master_login.php przekieruje tylko do domen znajdujących się na swojej białej liście
• Master i klienci mogą znajdować się w różnych domenach najwyższego poziomu. Na przykład. klient1.abc.com, klient2.xyz.com, login.moja_domena.com

Nie wymyślaj ponownie koła. Dostępnych jest wiele pakietów SSO międzydomenowych typu open source, takich jak JOSSO, OpenSSO, CAS, Shibboleth i inne. Jeśli korzystasz z technologii Microsoft (IIS, AD), możesz zamiast tego użyć Microsoft Federation (ADFS).

Jak różne są nazwy hostów?

Te hosty mogą udostępniać pliki cookie:

• mail.xyz.com
• www.xyz.com
• logon.xyz.com

Ale te nie mogą:

• abc.com
• xyz.com
• www.tre.com

W pierwszym przypadku możesz skorzystać z rozwiązania opartego na plikach cookie. Pomyśl o GUID i tabeli sesji bazy danych.

Jeśli korzystasz z usługi Active Directory, każda aplikacja może używać usługi AD do uwierzytelniania, logowanie może przebiegać bezproblemowo.

W przeciwnym razie, jeśli aplikacje mogą rozmawiać ze sobą za kulisami, możesz użyć sessionids i mieć jedną aplikację obsługującą generowanie identyfikatorów obsługującą wszystkie inne aplikacje.