使用傳統應用程序進行單一登錄的策略

Question

我在想，人們使用哪種策略來減少舊版應用程序的登錄情況，以及他們如何有效地發現它們？

我們有一個ASP.Net基於Intranet和自己的很多遺留應用程序的，但不是全部。我們也有BizTalk，也在考慮使用它的SSO引擎。

Answer 1

努力/返工和單點登錄的便捷性之間的良好的折中辦法是繼續保持在傳統應用程序的用戶，權限，角色等的列表。根據用戶帳戶（通常是他們的Windows或網絡帳戶）進行必要的更改，以自動將用戶登錄到您的應用程序中。

我目前正在運行的一對夫婦使用的標誌這種方法的應用，這讓他們看起來即使他們沒有更多的整合。

我們發現的另一個優點是它阻止人們將密碼共享到傳統應用程序。他們發放管理員密碼的可能性小得多，這也使其他人可以訪問他們的電子郵件或工資單細節！

Answer 2

每個應用程序有多個標識存儲？ 可能不是解決方案的單一標誌，但是您是否嘗試尋找更有針對性的解決方案，如MS Identity Lifecycle Manager？它將簡化應用程序之間的身份同步，並且它也是可插入的，這意味着您可以連接自己的代碼以執行不同系統之間的同步。因此，如果您在ILM門戶中更改身份信息（即登錄信息），則可以將這些信息傳播到不同的系統。配置和取消配置身份也是同樣的事情。單一入境點。
我假設你也可以使用biztalk來做類似的事情。

至於在那裏你只需登錄一次，你不必再次登錄到不同的應用程序上的解決方案真正單點登錄。我還沒有找到。

我認爲，如果你的遺留應用程序有一個可插拔的身份提供者模塊，它是可行的，這意味着你可以自定義登錄系統掛鉤到什麼真理，也許你的單一身份來源。

Answer 3

我們用遺留帳戶做了兩件事。 （傳統的基於Web的應用程序）

我們首先映射遺留帳戶的系統登錄帳戶（在Windows Active Directory中運行）。

然後將應用程序登錄屏幕應用於傳統應用程序的頂部（基於Web），這將請求AD登錄，然後該登錄將映射映射到舊版應用程序登錄帳戶並將適當的權限分配給用戶，使用遺留系統安全模型。用戶收到會話的令牌，爲他們保持開放的狀態。

這給了我們無需翻新傳統應用程序的好處（例如，應用程序x只有ID號碼，並且用戶使用Windows登錄（字母數字），並且還可以實現僞造單點登錄客戶端的角度

另一個有意義的選擇是在新的登錄屏幕上，它會檢查多個安全庫，所以即使用戶沒有決定使用他們的Windows登錄，他們仍然可以登錄顯然這有一些副作用，但也可以幫助緩解最終用戶有時在系統之間感覺到的轉換痛苦。

也有像Citrix XenApp Single Signon這樣的程序，採取完全不同的方法解決問題。

Answer 4

除了Jimmy關於使用ILM的觀點外，該特定系統還允許與AD PCNS（密碼更改通知服務）服務集成，該服務可與ILM一起使用（ILM「看到」密碼更改事件並可發佈它到其他消費應用程序/服務）至少要確保隨着用戶密碼在一個系統中的變化，它會反映到其他系統中。