Web服務(wù)實(shí)戰(zhàn)：統(tǒng)一身份認(rèn)證服務(wù)

無雙

當(dāng)“基于供應(yīng)鏈管理應(yīng)用”在家用電子產(chǎn)品零售商和制造商中部署之后，收到了非常好的效果。由于采用了Web服務(wù)技術(shù)作為應(yīng)用集成交互技術(shù)，各個(gè)企業(yè)實(shí)體都能自行選擇平臺(tái)，自行開發(fā)實(shí)施系統(tǒng)，并且只需要遵循事先商定的Web服務(wù)接口就可以彼此無縫連接。各個(gè)企業(yè)實(shí)體開始使用Web服務(wù)技術(shù)改造內(nèi)部的舊有信息系統(tǒng)以實(shí)現(xiàn)企業(yè)內(nèi)部、企業(yè)之間的廣泛應(yīng)用互聯(lián)。然而此時(shí)，企業(yè)又發(fā)現(xiàn)了一個(gè)使用上的障礙。

　　每個(gè)應(yīng)用系統(tǒng)都有其自身的用戶系統(tǒng)和認(rèn)證方式。程序員在為某個(gè)應(yīng)用系統(tǒng)編寫接入其它應(yīng)用系統(tǒng)的程序代碼時(shí)，常常為用戶認(rèn)證大傷腦筋。問題主要表現(xiàn)在以下幾方面：

　　1．讓最終用戶頻繁登錄? 但這似乎是一個(gè)讓用戶很難接受的解決方案。

　　2．在代碼中內(nèi)置用戶名和密碼? 　　但代碼需要隨用戶和密碼的變化經(jīng)常維護(hù)，同時(shí)在很多場(chǎng)合下，用戶名和密碼對(duì)于程序員來說是不可見的。

　　如何解決這一問題呢？我們從目前和未來的應(yīng)用發(fā)展趨勢(shì)判斷認(rèn)為，應(yīng)當(dāng)開發(fā)一個(gè)統(tǒng)一身份認(rèn)證服務(wù)，以解決這一應(yīng)用集成中碰到的用戶認(rèn)證問題。這個(gè)服務(wù)需要達(dá)到以下功能和目標(biāo)：

　　1. 支持Web服務(wù)技術(shù)框架，使得在對(duì)各個(gè)應(yīng)用系統(tǒng)實(shí)施基于Web服務(wù)的應(yīng)用集成(EAI/B2Bi)的時(shí)候，能夠使用這個(gè)統(tǒng)一身份認(rèn)證服務(wù)，進(jìn)行身份認(rèn)證。

　　2. 方便使用，能夠盡可能地利用現(xiàn)有系統(tǒng)的身份認(rèn)證模塊及現(xiàn)有的用戶設(shè)置和權(quán)限設(shè)置，盡量保護(hù)現(xiàn)有的投資，減少新用戶設(shè)置和權(quán)限設(shè)置的費(fèi)用。同時(shí)避免對(duì)現(xiàn)有系統(tǒng)進(jìn)行大規(guī)模的修改。

　　3. 具有良好的擴(kuò)展性和可集成性，不僅能支持現(xiàn)有的應(yīng)用系統(tǒng)及用戶系統(tǒng)，當(dāng)有新的企業(yè)應(yīng)用被部署或開發(fā)的時(shí)候，這個(gè)統(tǒng)一身份認(rèn)證服務(wù)還可以作為其身份認(rèn)證模塊的形式工作。也就是說，新的企業(yè)應(yīng)用可以不自帶用戶系統(tǒng)，可以通過集成該服務(wù)的形式來實(shí)現(xiàn)等價(jià)的功能。

　　4. 應(yīng)當(dāng)具備靈活和方便的使用模式，使用者可以通過多種方式自由地使用該統(tǒng)一身份認(rèn)證服務(wù)。

無雙

解決方案

　　根據(jù)這個(gè)統(tǒng)一身份認(rèn)證服務(wù)的目標(biāo)和初步的功能定義，將這個(gè)服務(wù)設(shè)計(jì)為圖1所示。



該服務(wù)主要需要具備三項(xiàng)功能：

　　1. 用戶注冊(cè)，用戶在統(tǒng)一身份認(rèn)證服務(wù)中注冊(cè)賬號(hào)。以后這個(gè)賬號(hào)可以在所有使用統(tǒng)一身份認(rèn)證服務(wù)的應(yīng)用系統(tǒng)中使用。

　　2. 賬號(hào)關(guān)聯(lián)。如果用戶之前已經(jīng)在相關(guān)的應(yīng)用系統(tǒng)中擁有賬號(hào)，同時(shí)也已經(jīng)設(shè)置了相應(yīng)的權(quán)限，那么用戶能夠?qū)⑦@些應(yīng)用系統(tǒng)的賬號(hào)與統(tǒng)一身份認(rèn)證服務(wù)的賬號(hào)進(jìn)行關(guān)聯(lián)，使得用戶登錄統(tǒng)一身份認(rèn)證服務(wù)之后，就能夠自動(dòng)使用相關(guān)的應(yīng)用系統(tǒng)用戶來訪問應(yīng)用系統(tǒng)。

　　3. 用戶認(rèn)證。為應(yīng)用系統(tǒng)提供用戶身份認(rèn)證，應(yīng)兼顧以下兩個(gè)應(yīng)用方式：

　　◆ 應(yīng)用系統(tǒng)使用統(tǒng)一身份認(rèn)證服務(wù)作為它的用戶系統(tǒng)，用戶與應(yīng)用系統(tǒng)進(jìn)行交互，并進(jìn)行登錄操作，應(yīng)用系統(tǒng)將用戶提供的用戶名、密碼等轉(zhuǎn)發(fā)給統(tǒng)一身份認(rèn)證服務(wù)以檢驗(yàn)其是否通過授權(quán)。

　　◆ 用戶首先登錄統(tǒng)一身份認(rèn)證服務(wù)，并獲取權(quán)限令牌，然后可以使用這個(gè)權(quán)限令牌訪問其它應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)接收該權(quán)限令牌時(shí)應(yīng)當(dāng)與統(tǒng)一身份認(rèn)證服務(wù)進(jìn)行交互，以檢驗(yàn)訪問的合法性。

　　按照以上的功能描述，可以確定統(tǒng)一身份認(rèn)證服務(wù)中需要考慮的實(shí)體包括：

　　1. 用戶(User)，即統(tǒng)一身份認(rèn)證服務(wù)的用戶。

　　2. 賬號(hào)(Account)，即應(yīng)用系統(tǒng)的賬號(hào)，與統(tǒng)一身份認(rèn)證服務(wù)的用戶相關(guān)聯(lián)。一個(gè)用戶可以關(guān)聯(lián)多個(gè)賬號(hào)。

　　3. 應(yīng)用系統(tǒng)(Application)，使用統(tǒng)一身份認(rèn)證服務(wù)的應(yīng)用系統(tǒng)。

　　4. 會(huì)話(Session)，當(dāng)用戶登錄統(tǒng)一身份認(rèn)證服務(wù)后，即創(chuàng)建了一個(gè)活躍的會(huì)話，并獲得會(huì)話的認(rèn)證令牌。在這個(gè)會(huì)話中，用戶可以使用會(huì)話的認(rèn)證令牌訪問各種應(yīng)用系統(tǒng)。

無雙

用戶注冊(cè)

　　用戶注冊(cè)(包括用戶更新注冊(cè)信息)的流程主要包含兩個(gè)流程：新用戶注冊(cè)和用戶更新注冊(cè)信息。

賬號(hào)關(guān)聯(lián)

　　賬號(hào)關(guān)聯(lián)操作可以使用圖2所示的形式來表示。圖2中僅包含一個(gè)登記新的賬號(hào)關(guān)聯(lián)的操作，相關(guān)的修改、刪除操作已被省略。



登記新的賬號(hào)關(guān)聯(lián)：

　　1. 用戶向統(tǒng)一身份認(rèn)證服務(wù)發(fā)出賬號(hào)關(guān)聯(lián)注冊(cè)請(qǐng)求，用戶提供了應(yīng)用系統(tǒng)的標(biāo)識(shí)A，同時(shí)提供了可以在該應(yīng)用系統(tǒng)中使用的用戶信息(如用戶名和密碼等)。

　　2. 服務(wù)首先向該應(yīng)用系統(tǒng)A征詢，用戶信息是否合法。如果合法則響應(yīng)服務(wù)。

　　3. 如果收到合法響應(yīng)，那么服務(wù)就將這個(gè)賬號(hào)關(guān)聯(lián)注冊(cè)信息保存到用戶注冊(cè)庫(kù)中，在該用戶登錄統(tǒng)一身份認(rèn)證服務(wù)之后，就能夠使用相應(yīng)的應(yīng)用系統(tǒng)A。

　　4. 當(dāng)注冊(cè)庫(kù)完成保存操作后，統(tǒng)一身份認(rèn)證服務(wù)響應(yīng)用戶，最后注冊(cè)完成。

無雙

身份認(rèn)證組件模式

　　統(tǒng)一身份認(rèn)證服務(wù)的一個(gè)基本應(yīng)用模式是以應(yīng)用系統(tǒng)的身份認(rèn)證組件的形式工作。在這個(gè)應(yīng)用模式下，處在主導(dǎo)地位的是應(yīng)用系統(tǒng)。在該情況下，應(yīng)用系統(tǒng)自身沒有用戶系統(tǒng)，因此模式下涉及的賬號(hào)一定是統(tǒng)一身份認(rèn)證服務(wù)的用戶賬號(hào)。

　　流程描述如下 (如圖3，僅描述正常流程) ：



1. 用戶使用在統(tǒng)一認(rèn)證服務(wù)注冊(cè)的用戶名和密碼(也可能是其它授權(quán)信息，比如數(shù)字簽名等)登陸應(yīng)用系統(tǒng)A。

　　2. 應(yīng)用系統(tǒng)A將用戶名和密碼連同自己的標(biāo)識(shí)(應(yīng)用系統(tǒng)A的標(biāo)識(shí))一起轉(zhuǎn)發(fā)給統(tǒng)一認(rèn)證服務(wù)，要求統(tǒng)一認(rèn)證服務(wù)完成登錄操作。

　　3. 統(tǒng)一認(rèn)證服務(wù)核查自己的應(yīng)用系統(tǒng)注冊(cè)庫(kù)(使用UDDI Registry)，看看應(yīng)用系統(tǒng)A是否已經(jīng)是統(tǒng)一認(rèn)證服務(wù)的用戶系統(tǒng)。同時(shí)在用戶注冊(cè)庫(kù)中核查由應(yīng)用系統(tǒng)A轉(zhuǎn)發(fā)過來的用戶名和密碼。

　　4. 待核查完畢后，統(tǒng)一認(rèn)證服務(wù)響應(yīng)應(yīng)用系統(tǒng)A，登錄完成。

　　5. 應(yīng)用系統(tǒng)A創(chuàng)建一個(gè)系統(tǒng)會(huì)話(Session，系統(tǒng)A自己的機(jī)制)，并將應(yīng)用系統(tǒng)A自己的權(quán)限令牌返回給用戶。以后用戶端可以通過這個(gè)權(quán)限令牌持續(xù)訪問應(yīng)用系統(tǒng)A，直至登出系統(tǒng)或是會(huì)話超時(shí)。

無雙

Web服務(wù)實(shí)戰(zhàn)：統(tǒng)一身份認(rèn)證服務(wù)
柴曉路（轉(zhuǎn)載自賽迪網(wǎng)）　　2003年04月28日

我有話說…

　　當(dāng)“基于供應(yīng)鏈管理應(yīng)用”在家用電子產(chǎn)品零售商和制造商中部署之后，收到了非常好的效果。由于采用了Web服務(wù)技術(shù)作為應(yīng)用集成交互技術(shù)，各個(gè)企業(yè)實(shí)體都能自行選擇平臺(tái)，自行開發(fā)實(shí)施系統(tǒng)，并且只需要遵循事先商定的Web服務(wù)接口就可以彼此無縫連接。各個(gè)企業(yè)實(shí)體開始使用Web服務(wù)技術(shù)改造內(nèi)部的舊有信息系統(tǒng)以實(shí)現(xiàn)企業(yè)內(nèi)部、企業(yè)之間的廣泛應(yīng)用互聯(lián)。然而此時(shí)，企業(yè)又發(fā)現(xiàn)了一個(gè)使用上的障礙。

　　每個(gè)應(yīng)用系統(tǒng)都有其自身的用戶系統(tǒng)和認(rèn)證方式。程序員在為某個(gè)應(yīng)用系統(tǒng)編寫接入其它應(yīng)用系統(tǒng)的程序代碼時(shí)，常常為用戶認(rèn)證大傷腦筋。問題主要表現(xiàn)在以下幾方面：

　　1．讓最終用戶頻繁登錄? 但這似乎是一個(gè)讓用戶很難接受的解決方案。

　　2．在代碼中內(nèi)置用戶名和密碼? 　　但代碼需要隨用戶和密碼的變化經(jīng)常維護(hù)，同時(shí)在很多場(chǎng)合下，用戶名和密碼對(duì)于程序員來說是不可見的。

　　如何解決這一問題呢？我們從目前和未來的應(yīng)用發(fā)展趨勢(shì)判斷認(rèn)為，應(yīng)當(dāng)開發(fā)一個(gè)統(tǒng)一身份認(rèn)證服務(wù)，以解決這一應(yīng)用集成中碰到的用戶認(rèn)證問題。這個(gè)服務(wù)需要達(dá)到以下功能和目標(biāo)：

　　1. 支持Web服務(wù)技術(shù)框架，使得在對(duì)各個(gè)應(yīng)用系統(tǒng)實(shí)施基于Web服務(wù)的應(yīng)用集成(EAI/B2Bi)的時(shí)候，能夠使用這個(gè)統(tǒng)一身份認(rèn)證服務(wù)，進(jìn)行身份認(rèn)證。

　　2. 方便使用，能夠盡可能地利用現(xiàn)有系統(tǒng)的身份認(rèn)證模塊及現(xiàn)有的用戶設(shè)置和權(quán)限設(shè)置，盡量保護(hù)現(xiàn)有的投資，減少新用戶設(shè)置和權(quán)限設(shè)置的費(fèi)用。同時(shí)避免對(duì)現(xiàn)有系統(tǒng)進(jìn)行大規(guī)模的修改。

　　3. 具有良好的擴(kuò)展性和可集成性，不僅能支持現(xiàn)有的應(yīng)用系統(tǒng)及用戶系統(tǒng)，當(dāng)有新的企業(yè)應(yīng)用被部署或開發(fā)的時(shí)候，這個(gè)統(tǒng)一身份認(rèn)證服務(wù)還可以作為其身份認(rèn)證模塊的形式工作。也就是說，新的企業(yè)應(yīng)用可以不自帶用戶系統(tǒng)，可以通過集成該服務(wù)的形式來實(shí)現(xiàn)等價(jià)的功能。

　　4. 應(yīng)當(dāng)具備靈活和方便的使用模式，使用者可以通過多種方式自由地使用該統(tǒng)一身份認(rèn)證服務(wù)。

解決方案

　　根據(jù)這個(gè)統(tǒng)一身份認(rèn)證服務(wù)的目標(biāo)和初步的功能定義，將這個(gè)服務(wù)設(shè)計(jì)為圖1所示。




　　該服務(wù)主要需要具備三項(xiàng)功能：

　　1. 用戶注冊(cè)，用戶在統(tǒng)一身份認(rèn)證服務(wù)中注冊(cè)賬號(hào)。以后這個(gè)賬號(hào)可以在所有使用統(tǒng)一身份認(rèn)證服務(wù)的應(yīng)用系統(tǒng)中使用。

　　2. 賬號(hào)關(guān)聯(lián)。如果用戶之前已經(jīng)在相關(guān)的應(yīng)用系統(tǒng)中擁有賬號(hào)，同時(shí)也已經(jīng)設(shè)置了相應(yīng)的權(quán)限，那么用戶能夠?qū)⑦@些應(yīng)用系統(tǒng)的賬號(hào)與統(tǒng)一身份認(rèn)證服務(wù)的賬號(hào)進(jìn)行關(guān)聯(lián)，使得用戶登錄統(tǒng)一身份認(rèn)證服務(wù)之后，就能夠自動(dòng)使用相關(guān)的應(yīng)用系統(tǒng)用戶來訪問應(yīng)用系統(tǒng)。

　　3. 用戶認(rèn)證。為應(yīng)用系統(tǒng)提供用戶身份認(rèn)證，應(yīng)兼顧以下兩個(gè)應(yīng)用方式：

　　◆ 應(yīng)用系統(tǒng)使用統(tǒng)一身份認(rèn)證服務(wù)作為它的用戶系統(tǒng)，用戶與應(yīng)用系統(tǒng)進(jìn)行交互，并進(jìn)行登錄操作，應(yīng)用系統(tǒng)將用戶提供的用戶名、密碼等轉(zhuǎn)發(fā)給統(tǒng)一身份認(rèn)證服務(wù)以檢驗(yàn)其是否通過授權(quán)。

　　◆ 用戶首先登錄統(tǒng)一身份認(rèn)證服務(wù)，并獲取權(quán)限令牌，然后可以使用這個(gè)權(quán)限令牌訪問其它應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)接收該權(quán)限令牌時(shí)應(yīng)當(dāng)與統(tǒng)一身份認(rèn)證服務(wù)進(jìn)行交互，以檢驗(yàn)訪問的合法性。

　　按照以上的功能描述，可以確定統(tǒng)一身份認(rèn)證服務(wù)中需要考慮的實(shí)體包括：

　　1. 用戶(User)，即統(tǒng)一身份認(rèn)證服務(wù)的用戶。

　　2. 賬號(hào)(Account)，即應(yīng)用系統(tǒng)的賬號(hào)，與統(tǒng)一身份認(rèn)證服務(wù)的用戶相關(guān)聯(lián)。一個(gè)用戶可以關(guān)聯(lián)多個(gè)賬號(hào)。

　　3. 應(yīng)用系統(tǒng)(Application)，使用統(tǒng)一身份認(rèn)證服務(wù)的應(yīng)用系統(tǒng)。

　　4. 會(huì)話(Session)，當(dāng)用戶登錄統(tǒng)一身份認(rèn)證服務(wù)后，即創(chuàng)建了一個(gè)活躍的會(huì)話，并獲得會(huì)話的認(rèn)證令牌。在這個(gè)會(huì)話中，用戶可以使用會(huì)話的認(rèn)證令牌訪問各種應(yīng)用系統(tǒng)。

用戶注冊(cè)

　　用戶注冊(cè)(包括用戶更新注冊(cè)信息)的流程主要包含兩個(gè)流程：新用戶注冊(cè)和用戶更新注冊(cè)信息。

賬號(hào)關(guān)聯(lián)

　　賬號(hào)關(guān)聯(lián)操作可以使用圖2所示的形式來表示。圖2中僅包含一個(gè)登記新的賬號(hào)關(guān)聯(lián)的操作，相關(guān)的修改、刪除操作已被省略。




　　登記新的賬號(hào)關(guān)聯(lián)：

　　1. 用戶向統(tǒng)一身份認(rèn)證服務(wù)發(fā)出賬號(hào)關(guān)聯(lián)注冊(cè)請(qǐng)求，用戶提供了應(yīng)用系統(tǒng)的標(biāo)識(shí)A，同時(shí)提供了可以在該應(yīng)用系統(tǒng)中使用的用戶信息(如用戶名和密碼等)。

　　2. 服務(wù)首先向該應(yīng)用系統(tǒng)A征詢，用戶信息是否合法。如果合法則響應(yīng)服務(wù)。

　　3. 如果收到合法響應(yīng)，那么服務(wù)就將這個(gè)賬號(hào)關(guān)聯(lián)注冊(cè)信息保存到用戶注冊(cè)庫(kù)中，在該用戶登錄統(tǒng)一身份認(rèn)證服務(wù)之后，就能夠使用相應(yīng)的應(yīng)用系統(tǒng)A。

　　4. 當(dāng)注冊(cè)庫(kù)完成保存操作后，統(tǒng)一身份認(rèn)證服務(wù)響應(yīng)用戶，最后注冊(cè)完成。


身份認(rèn)證組件模式

　　統(tǒng)一身份認(rèn)證服務(wù)的一個(gè)基本應(yīng)用模式是以應(yīng)用系統(tǒng)的身份認(rèn)證組件的形式工作。在這個(gè)應(yīng)用模式下，處在主導(dǎo)地位的是應(yīng)用系統(tǒng)。在該情況下，應(yīng)用系統(tǒng)自身沒有用戶系統(tǒng)，因此模式下涉及的賬號(hào)一定是統(tǒng)一身份認(rèn)證服務(wù)的用戶賬號(hào)。

　　流程描述如下 (如圖3，僅描述正常流程) ：




　　1. 用戶使用在統(tǒng)一認(rèn)證服務(wù)注冊(cè)的用戶名和密碼(也可能是其它授權(quán)信息，比如數(shù)字簽名等)登陸應(yīng)用系統(tǒng)A。

　　2. 應(yīng)用系統(tǒng)A將用戶名和密碼連同自己的標(biāo)識(shí)(應(yīng)用系統(tǒng)A的標(biāo)識(shí))一起轉(zhuǎn)發(fā)給統(tǒng)一認(rèn)證服務(wù)，要求統(tǒng)一認(rèn)證服務(wù)完成登錄操作。

　　3. 統(tǒng)一認(rèn)證服務(wù)核查自己的應(yīng)用系統(tǒng)注冊(cè)庫(kù)(使用UDDI Registry)，看看應(yīng)用系統(tǒng)A是否已經(jīng)是統(tǒng)一認(rèn)證服務(wù)的用戶系統(tǒng)。同時(shí)在用戶注冊(cè)庫(kù)中核查由應(yīng)用系統(tǒng)A轉(zhuǎn)發(fā)過來的用戶名和密碼。

　　4. 待核查完畢后，統(tǒng)一認(rèn)證服務(wù)響應(yīng)應(yīng)用系統(tǒng)A，登錄完成。

　　5. 應(yīng)用系統(tǒng)A創(chuàng)建一個(gè)系統(tǒng)會(huì)話(Session，系統(tǒng)A自己的機(jī)制)，并將應(yīng)用系統(tǒng)A自己的權(quán)限令牌返回給用戶。以后用戶端可以通過這個(gè)權(quán)限令牌持續(xù)訪問應(yīng)用系統(tǒng)A，直至登出系統(tǒng)或是會(huì)話超時(shí)。

統(tǒng)一認(rèn)證模式

　　統(tǒng)一認(rèn)證模式是以統(tǒng)一身份認(rèn)證服務(wù)為核心的服務(wù)使用模式。用戶登錄統(tǒng)一身份認(rèn)證服務(wù)后，即可使用所有支持統(tǒng)一身份認(rèn)證服務(wù)的應(yīng)用系統(tǒng)。

　　流程描述如下 (如圖4，僅描述正常流程)：



　　1. 用戶使用在統(tǒng)一認(rèn)證服務(wù)注冊(cè)的用戶名和密碼(也可能是其他的授權(quán)信息，比如數(shù)字簽名等)登陸統(tǒng)一認(rèn)證服務(wù)；

　　2. 統(tǒng)一認(rèn)證服務(wù)創(chuàng)建了一個(gè)會(huì)話，同時(shí)將與該會(huì)話關(guān)聯(lián)的訪問認(rèn)證令牌返回給用戶；

　　3. 用戶使用這個(gè)訪問認(rèn)證令牌訪問某個(gè)支持統(tǒng)一身份認(rèn)證服務(wù)的應(yīng)用系統(tǒng)；

　　4. 該應(yīng)用系統(tǒng)將訪問認(rèn)證令牌傳入統(tǒng)一身份認(rèn)證服務(wù)，認(rèn)證訪問認(rèn)證令牌的有效性；

　　5. 統(tǒng)一身份認(rèn)證服務(wù)確認(rèn)認(rèn)證令牌的有效性；

　　6. 應(yīng)用系統(tǒng)接收訪問，并返回訪問結(jié)果，如果需要提高訪問效率的話，應(yīng)用系統(tǒng)可選擇返回其自身的認(rèn)證令牌已使得用戶之后可以使用這個(gè)私有令牌持續(xù)訪問。

　　此外，關(guān)于訪問認(rèn)證令牌的失效，有兩個(gè)策略：一個(gè)是由用戶主動(dòng)發(fā)起聲明，聲明其擁有的訪問認(rèn)證令牌不再有效，這類似注銷的操作；另一個(gè)是用戶一段時(shí)間內(nèi)沒有使用這個(gè)認(rèn)證令牌，認(rèn)證令牌自動(dòng)失效，這類似超時(shí)的處理。

無雙

信任代理模式

　　在Internet應(yīng)用環(huán)境下，安全性和信任的重要性是顯而易見的，對(duì)于商用系統(tǒng)而言，避免非法訪問和入侵是他所需要考慮的幾個(gè)重要問題之一，沒有比商用數(shù)據(jù)丟失或是商用系統(tǒng)被違規(guī)使用更糟糕的了。

　　在信任代理模式下，一個(gè)組織可以為他所有需要提供安全信任保障的應(yīng)用系統(tǒng)設(shè)置一個(gè)統(tǒng)一身份認(rèn)證服務(wù)，對(duì)這些應(yīng)用系統(tǒng)的訪問全部由統(tǒng)一身份認(rèn)證服務(wù)代理。

　　流程描述如下(如圖5，僅描述正常流程)：



　1. 用戶使用在統(tǒng)一認(rèn)證服務(wù)注冊(cè)的用戶名和密碼(也可能是其他的授權(quán)信息，比如數(shù)字簽名等)登陸統(tǒng)一認(rèn)證服務(wù)；

　　2. 統(tǒng)一認(rèn)證服務(wù)創(chuàng)建了一個(gè)會(huì)話，同時(shí)將與該會(huì)話關(guān)聯(lián)的訪問認(rèn)證令牌返回給用戶；

　　3. 用戶使用這個(gè)訪問認(rèn)證令牌訪問某個(gè)支持統(tǒng)一身份認(rèn)證服務(wù)的應(yīng)用系統(tǒng)，不過用戶并不將請(qǐng)求消息直接交給應(yīng)用系統(tǒng)，而是傳給統(tǒng)一身份認(rèn)證服務(wù)，在消息中標(biāo)識(shí)了最終的應(yīng)用系統(tǒng)的ID。

　　4. 統(tǒng)一認(rèn)證服務(wù)訪問應(yīng)用系統(tǒng)注冊(cè)庫(kù)(UDDI Registry)，獲取了應(yīng)用系統(tǒng)的訪問入口(統(tǒng)一認(rèn)證服務(wù)可以將這個(gè)訪問入口緩存在本地，以減少以后與應(yīng)用系統(tǒng)注冊(cè)庫(kù)的交互次數(shù))，并確認(rèn)這個(gè)應(yīng)用系統(tǒng)的確是支持統(tǒng)一身份認(rèn)證服務(wù)的。

　　5. 統(tǒng)一認(rèn)證服務(wù)將請(qǐng)求消息轉(zhuǎn)發(fā)給指定的應(yīng)用系統(tǒng)，如果該應(yīng)用系統(tǒng)使用自己的用戶系統(tǒng)的話，那么該消息應(yīng)當(dāng)包含了預(yù)先定義好的相關(guān)聯(lián)的用戶名和密碼等。

　　6. 應(yīng)用系統(tǒng)將請(qǐng)求結(jié)果返回給統(tǒng)一認(rèn)證服務(wù)，最后統(tǒng)一認(rèn)證服務(wù)將響應(yīng)消息返回給用戶，完成調(diào)用。

　　在該模式下，所有應(yīng)用系統(tǒng)僅接收來自統(tǒng)一認(rèn)證服務(wù)的訪問請(qǐng)求。這樣，解決方案提供商可以將主要的安全方面的投入部署在統(tǒng)一認(rèn)證服務(wù)那端。


　　使用Web服務(wù)架構(gòu)

　　由于統(tǒng)一身份認(rèn)證服務(wù)可能被應(yīng)用的領(lǐng)域包括：

　　◆ 企業(yè)內(nèi)部的各種應(yīng)用

　　◆ 跨國(guó)企業(yè)的各個(gè)部門或地區(qū)分公司的各種應(yīng)用

　　◆ 行業(yè)內(nèi)各個(gè)企業(yè)的不同應(yīng)用

　　◆ Internet上豐富的應(yīng)用環(huán)境

　　無論是何種應(yīng)用環(huán)境，都將面對(duì)不同的平臺(tái)、不同的系統(tǒng)和不同的編程環(huán)境，要能最大可能地支持所有的平臺(tái)、系統(tǒng)和編程環(huán)境，同時(shí)又要確保服務(wù)的實(shí)現(xiàn)代價(jià)保持相對(duì)固定。那么目前看來，選擇基于規(guī)范的Web服務(wù)解決方案將是最佳的選擇。