集中式認證服務

集中式認證服務（英語：Central Authentication Service，縮寫CAS）是一種針對全球資訊網的單點登錄協定。它的目的是允許一個用戶訪問多個應用程式，而只需提供一次憑證（如用戶名和密碼）。它還允許web應用程式在沒有獲得用戶的安全憑據（如密碼）的情況下對用戶進行身份驗證。“CAS”也指實現了該協定的軟體包。

基本介紹

• 中文名：集中式認證服務
• 外文名：Central Authentication Service
• 縮寫：CAS
• 定義：針對全球資訊網的單點登錄協定
• 目的：允許一個用戶訪問多個應用程式
• 領域：網路安全

簡介

CAS 協定涉及到至少三個方面：客戶端Web瀏覽器、Web套用請求的身份驗證和CAS伺服器。它還可能涉及一個後台服務（例如資料庫伺服器），它並沒有自己的HTTP接口，但與一個Web應用程式進行通信。

當客戶端訪問訪問應用程式，請求身份驗證時，應用程式重定向到CAS。CAS驗證客戶端是否被授權，通常通過在資料庫對用戶名和密碼進行檢查（例如Kerberos、LDAP或Active Directory）。

如果身份驗證成功，CAS令客戶端返回到應用程式，並傳遞身份驗證票（Security ticket）。然後，應用程式通過安全連線連線CAS，並提供自己的服務標識和驗證票。之後CAS給出了關於特定用戶是否已成功通過身份驗證的應用程式授信信息。

CAS 允許通過代理伺服器進行多層身份驗證。後端服務（如資料庫或郵件伺服器）可以組成CAS，通過從Web應用程式接收到的信息驗證用戶是否被授權。因此，網頁郵件客戶端和郵件伺服器都可以實現CAS。

歷史

CAS是由耶魯大學的Shawn Bayern創始的，後來由耶魯大學的Drew Mazurek維護。CAS1.0實現了單點登錄。 CAS2.0引入了多級代理認證（Multi-tier proxy authentication）。CAS其他幾個版本已經有了新的功能。

2004年12月，CAS成為Jasig的一個項目，2008年該組織負責CAS的維護和發展。CAS原名“耶魯大學CAS”，現在則被稱為“Jasig CAS”。

2006年12月，安德魯·W·梅隆基金會授予耶魯大學第一屆梅隆技術協作獎，頒發50000美元的獎金對耶魯大學開發CAS進行獎勵。頒獎之時，CAS在“數以百計的大學校園”中使用。

Apereo CAS實施

現在是CAS協定參考實現的Apereo CAS伺服器支持以下功能：

• CAS v1，v2和v3協定
  
• SAMLv1和v2協定
  
• OAuth協定
  
• OpenID和OpenID連線協定
  
• WS-Federation被動請求方協定
  
• 通過JAAS，LDAP，RDBMS，X.509，Radius，SPNEGO，JWT，Remote，Trusted，BASIC，Apache Shiro，MongoDB，Pac4J等進行身份驗證。
  
• 授權給WS-FED，Facebook，Twitter，SAML IdP，OpenID，OpenID Connect，CAS等。
  
• 通過ABAC授權，時間/日期，REST，Internet2的石斑魚等等。
  
• HA通過Hazelcast，Ehcache，JPA，Memcached，Apache Ignite，MongoDB，Redis，Couchbase等進行集群部署。
  
• 應用程式註冊由JSON，LDAP，YAML，JPA，Couchbase，MongoDB等支持。
  
• 通過Duo Security，YubiKey，RSA，Google Authenticator等進行多因素身份驗證。
  
• 管理用戶界面來管理日誌記錄，監控，統計，配置，客戶端註冊等。
  
• 全球和每個應用程式的用戶界面主題和品牌。
  
• 密碼管理和密碼策略實施。