基于sap netweaver ep的單點登錄(sso)

1、三一重工門戶商業(yè)智能項目培訓文檔jil@基于基于SAPWeaverEP的單點登陸的單點登陸（SSO）1介紹介紹幾乎所有的門戶系統(tǒng)在實施的過程中都會出現門戶系統(tǒng)和后臺Web應用集成的場景。有一些應用系統(tǒng)可能就是SAP系統(tǒng)（這些提供Web訪問的工具包括：ITS、BSP或者WebDynpro），同時有些系統(tǒng)也可能是nonSAP系統(tǒng)。該文檔針對兩種基于SAPWeaverEP的實現單點登錄的方法：SAPLogonTicket（SAP登錄票）和Us

2、erMapping（用戶映射）。[注：本文檔不描述針對數字證書的方式和非瀏覽器環(huán)境的后臺系統(tǒng)]2什么是什么是SingleSignOnSingleSignOn簡稱SSO，通常被描述為允許終端用戶只進行一次驗證就可以登錄多個應用。SAPWeaverEP允許多種方式來實現于Web應用的單點登錄，該文檔假設用戶的業(yè)務場景是采用門戶系統(tǒng)來代替后臺Web應用來實現用戶的認證。3Ptal到Web的單點登陸策略的單點登陸策略3.1SAPLogonTic

3、ket這種策略是采用存放在用戶瀏覽器端的cookie來實現認證信息的存放。一旦在瀏覽器中存放了cookie以后，cookie會隨著用戶訪問Ptal中的各個業(yè)務系統(tǒng)轉發(fā)到各個后臺系統(tǒng)中，但這里有個前提，就是Ptal和各個后臺系統(tǒng)是分布在同一個域里面的。當后臺Web應用獲取到cookie信息以后，它必須知道如何來處理認證信息。如果后臺是SAP系統(tǒng)，那么兩者的集成是有先天的優(yōu)勢的，SAP系統(tǒng)之間已經內建了相互的認證機制，可以很方便的解析這些加

4、密的認證信息，如果是nonSAP系統(tǒng)，SAP也提供了多種可以處理加密認證信息的工具和管理SAPLogonTicketcookie的框架。優(yōu)點：優(yōu)點：降低企業(yè)降低企業(yè)IT系統(tǒng)的維護成本系統(tǒng)的維護成本：使用SAPLogonTicket后，后臺系統(tǒng)完全“信任”SAPPtal的認證信息，ptal不在cookie中傳遞用戶的密碼給后端Web應用。所以后端系統(tǒng)就不需要手工管理用戶密碼，也不需要在各個業(yè)務系統(tǒng)之間同步密碼，大大降低了IT系統(tǒng)的維護成本

5、。三一重工門戶商業(yè)智能項目培訓文檔jil@在這種情況下，用后臺系統(tǒng)中的幾個一般性的用戶來代表幾種不同訪問權限，而不需要為每個Ptal用戶建立單獨的用戶將更有吸引力。舉個例子，假設后臺系統(tǒng)有兩種顯示數據的級別——經理和員工。用一般性用戶映射時，只需要建立兩個后臺系統(tǒng)的用戶——用戶“經理”和用戶“員工”。每個ptal用戶映射到這兩個用戶之一。這種方法簡化了后臺系統(tǒng)的用戶管理（只需管理兩個用戶）。缺點和局限性缺點和局限性映射的維護量大映射的維

6、護量大：需要在ptal系統(tǒng)中維護后臺系統(tǒng)的用戶名密碼。這個維護的工作量可能比較大，比如假如后臺系統(tǒng)的密碼需要每個月換一次，則ptal里也需要做相應的修改。此外，如果允許用戶維護自己的用戶映射屬性，就需要成立一個支持團隊來處理用戶鎖定、忘記密碼等情況。安全：安全：ptal中存儲密碼始終是一個安全隱患。在兩個地方（ptal和后臺系統(tǒng)中）維護密碼也是不安全的。另外，用戶映射方式在網路上傳輸用戶名和密碼到后臺系統(tǒng)，在網絡上也可能監(jiān)聽到密碼。用戶

7、映射需要的擴展或工作方式用戶映射需要的擴展或工作方式安全通信安全通信：當使用用戶映射方式時必須強制使用SSL和后臺系統(tǒng)進行通信，否則密碼會被完全暴露給網上進行監(jiān)聽的不懷好意的人。基于組或角色的映射基于組或角色的映射：映射ptal中的組或角色到后臺系統(tǒng)會減少管理員的工作量。盡管如此，需要指出的是用戶映射不容易管理，同時只要一個用戶能管理自己用戶映射到單個系統(tǒng)，他就能對ptal中所有被映射的系統(tǒng)進行管理。改進的個性化改進的個性化：SAPPt

8、al為每個可以進行用戶映射的用戶提供了標準的個性化窗口。但是，個性化工具有一個明顯的缺點：需要用戶知道ptal中的系統(tǒng)別名和后臺系統(tǒng)的關系。在廣泛使用用戶映射，并且以上描述情況很可能會發(fā)生的情況下，建議創(chuàng)建一個可以被用來為特別系統(tǒng)處理用戶映射的定制iView。這個iView可以嵌進相關的wkset，因此最終用戶會更加清楚他正在管理的是什么用戶映射。從技術的角度，上面所描述的iView只需要簡單地使用UME（用戶管理引擎）的API。API