single-sign-on - SiteMinder 单点登录，无需在 Web 应用程序服务器上安装代理

Question

我们的 IT 人员拒绝在应用程序的 IIS 6.0 Web 服务器上安装 SiteMinder 代理，理由是它是第三方软件，存在安全问题，而且资源利用率高可能会影响应用程序性能。

他们建议我们建立一个独立的、隔离的 Web 服务器，仅包含一个基本的 IIS、SiteMinder 代理和一个“shim”来验证登录尝试。

此填充程序将是标记为受代理保护的单个 ASPX 页面。它将使用 SiteMinder 代理来验证用户 ID，在应用程序的数据库中查找用户 ID，并将用户 ID 和密码返回到用户的浏览器。然后，JavaScript 函数会将用户 ID 和密码 POST 到应用程序的现有登录页面，就像他们自己输入一样。

他们的担忧有道理吗？为什么或为什么不？

您听说过有人实现了类似的架构吗？

他们提出的解决方案是好、坏还是难看？

Answer 1

它看起来不起作用，因为代理不仅管理初始登录，还管理对应用程序的后续调用，即经过身份验证的 session 。代理检查 cookie、验证它等。您的场景没有描述这是如何发生的。

在我们的环境中，所有互联网流量在到达 IIS 之前都会经过 Apache 反向代理。 IIS 位于防火墙后面。 Apache 反向代理具有 SM 代理，它所做的就是将流量重定向到 IIS。我认为使用 IIS 作为反向代理进行类似的设置是可行的。

顺便说一句，告诉您的 IT 人员，他提出的小本经营和泡泡糖登录解决方案比在 IIS 上安装 SiteMinder 带来的安全问题要大得多。