web-services - 多个 Web 服务的集中身份验证和授权

Question

有几种不同的 Web 服务——使用的各种技术，如 Java、.NET、Python、Perl，以及 future 可能更多——属于不同的组织，对这些 Web 服务的访问必须受到限制。

这个想法是有一个中央身份验证和授权服务器，只负责授予对每个 WS 的访问权限。

我正在寻找一种单点登录系统，在该系统中，用户通过身份验证服务器进行一次身份验证，并被授予在有限时间跨度内访问 Web 服务的权限。

安全要求很高，因此用户名/密码集是不够的。

在快速搜索中，我找到了许多不同的解决方案和方法，但我不知道最适合这种情况的解决方案 - 一种独立于技术、安全可靠的解决方案。

Answer 1

我们对该主题进行了大量研究，但也找不到合适的解决方案。 (一个几乎不错的解决方案，但对于 web 服务来说不是那么多的 http://www.atlassian.com/software/crowd/ )

所以我们也为我们的 WS 应用程序(还有第三方应用程序)开发了一个 sso 和中央用户管理系统，但它不出售。

如果您测试解决方案，您应该检查系统的性能，特别是在负载下。一开始，我们的系统慢了 30 倍。通常，您会发现 xml 解析速度变慢，并且您必须执行的请求数量增加(通常在将来您有一个请求时，您将至少有 4 个)。 (我们使用 jmeter 来测试它。)并且您应该设置故障转移系统，因为您将使用 sso 创建单点故障。