Единая авторизация (SSO) средствами JASIG CAS. Часть 1

[aNDREIQA]

Спасибо. планируется ли будущем использование OTP, как CAS c этим справляется?
В боевой версии ключи буду хранится на машинах или будет выделен HSM? Как CAS дружит с HSM?

[SergeyPopov]

Если я правильно понял, под OTP понимается, One Time Pass. Вообще говоря CAS концептуально не очень подходит для этой цели. Можно конечно попробовать использовать ST в качестве OTP, но я не вижу в этом особого смысла.

[SergeyPopov]

Для того что бы CAS подружился с HSM нужно найти реализацию CAS клиента, которая умеет использовать ключи из HSM. Например стандартный java CAS client устанавливает соединение с помощью HttpsUrlConnection. Если использовать имплементацию HttpsUrlConnection, которая умеет доставать ключи из HSM, то все должно получиться).

[atolmachev]

1. Что насчет дополнительной аутентификации операции? Например, по OTP SMS?
2. Возможна ли двухфакторная аутентификация?

[grossws]

Из коробки CAS имеет несколько более-менее стандартных вариантов аутентификации (файл, JpaStore, LDAP, JAAS, RADIUS и т. д.). Эти вещи описаны тут.

Кроме того, добавление новых способов аутентификации не является чем-то особо сложным, достаточно реализовать следующий интерфейс:

код

public interface AuthenticationHandler {
    /**
     * Method to determine if the credentials supplied are valid.
     * 
     * @param credentials The credentials to validate.
     * @return true if valid, return false otherwise.
     * @throws AuthenticationException An AuthenticationException can contain
     * details about why a particular authentication request failed.
     */
    boolean authenticate(Credentials credentials)
        throws AuthenticationException;

    /**
     * Method to check if the handler knows how to handle the credentials
     * provided. It may be a simple check of the Credentials class or something
     * more complicated such as scanning the information contained in the
     * Credentials object.
     * 
     * @param credentials The credentials to check.
     * @return true if the handler supports the Credentials, false othewrise.
     */
    boolean supports(Credentials credentials);
}

[grossws]

И добавить этот хэндлер в спринговый конфиг.

Рано отправил, извиняюсь.