[[alternative]]A study on an extensible web-based redirect model single-sign-on service architecture

碩士[[abstract]]政府機關、大型企業及教育機構等中大型組織普遍都已將相關服務及作業推展至網際網路，在推動組織內所屬單位之既有網站導入單一登入機制時，時常因為各網站使用不同的技術及機制，修改原有技術及機制對系統衝擊太大，導致難以順利整合部份既有網站。現有單一登入之相關研究及實務大多是採單一介接方式之設計，在實務應用上有許多限制，必須透過建立多套單一登入系統以增加整合的範圍。本研究在原有以ASP.NET建立之「重導式單一登入」系統的基礎上，提出一個以識別提供者(IdP)端通信協定套件為基礎，設計與實作一個可延伸之網頁重導式單一登入服務架構，解決單一介接方式之限制，提供既有網站更多的介接方式，而且能依據既有網站之需要提供客製化的介接方式，讓既有網站有更多選擇與彈性，降低既有網站在單一登入介接時程式修改之幅度及難度，進而增加既有網站單一登入介接成功之機會。[[abstract]]Most Organizations, such as government agencies, large enterprises and educational institutions, have extended their services and operations to the internet. When they try to bring in Single-Sign-On architecture for legacy web sites of affiliated units, they tend to face complicated issues in modifying systems that were built by various types of technologies and mechanisms. Most of existing Single-Sign-On mechanisms support only one interface protocol. That has produced restrictions on their practice and applications. Systems must establish multiple sets of Single-Sign-On mechanisms to increase the scope of consolidation. This research, based on an already established Single-Sign-On mechanism constructed in the ASP.NET architecture, designs and implements a scalable web-based redirect-model Single-Sign-On architecture based on a multiple Identify Provider (IdP) protocol suite. The architecture makes it feasible to create a flexible environment that could reduce the magnitude of difficulties and increase the chances for legacy web sites to adopt Single-Sign-On mechanism.[[tableofcontents]]目錄 圖目錄 IV 表目錄 VI 第一章 緒論 1 1.1 研究背景與動機 1 1.2 研究目的 2 1.3 研究限制 2 1.4 論文架構 3 1.5 詞彙對照 5 第二章 文獻探討 6 2.1 網站單一登入 6 2.2 常見分類方式 8 2.3 代理式單一登入 9 2.4 重導式單一登入 14 2.4.1 集中式驗證 17 2.4.2 非集中式驗證 18 第三章 單一登入系統應用之分析 22 3.1 單一登入應用在不同的環境 22 3.1.1 大型網站單一登入之運用 22 3.1.2 中大型組織單一登入之應用 23 3.1.3 大型網站與中大型組織單一登入應用比較 24 3.2 單一登入架構分析 26 3.2.1 代理式單一登入的優、缺點 26 3.2.2 重導式單一登入之優、缺點 28 3.2.3 代理式單一登入與重導式單一登入架構比較 31 3.3 綜合分析 32 第四章 EWRSSO系統分析與設計 37 4.1 原系統介紹 37 4.2 系統目標 42 4.3 單一登入系統設計 43 4.3.1 架構設計 43 4.3.2 系統設計 45 第五章 EWRSSO系統實作 48 5.1 工作項目 48 5.1.1 重導處理 48 5.1.2 通訊協定套件 52 5.1.3 SP DB 55 5.1.4 SP管理相關網頁 57 5.2 安全層面的考量 60 5.2.1 IdP之安全性 61 5.2.2 介接之安全性 64 5.3 軟、硬體環境介紹 65 第六章 EWRSSO系統驗證 67 6.1 情境設計 67 6.2 準備工作 70 6.3 功能驗證 73 6.4 效能影響 74 6.5 效益分析 78 6.6 小結 80 第七章 結論與未來展望 86 7.1 結論 86 7.2 未來研究方向 86 參考文獻 88 圖目錄 圖1:代理式單一登入架構圖 10 圖2:代理式單一登入循序圖 11 圖3:重導式單一登入架構圖 14 圖4:重導式單一登入循序圖 15 圖5:重導式單一登入集中式驗證運作程序 17 圖6:重導式單一登入非集中式驗證運作程序 19 圖7:重導式單一登入認證步驟 30 圖8:一般重導式單一登入架構 31 圖9:混合式單一登入架構示意圖 34 圖10:原系統之重導式單一登入運作程序 39 圖11:原系統IdP內部架構 39 圖12:原系統IdP之登入頁 40 圖13:EWRSSO系統架構 44 圖14:EWRSSO之IdP內部架構 45 圖15:通訊協定套件上傳與SP註冊流程圖 47 圖16:重導處理功能程式架構 49 圖17:EWRSSO IdP重導處理模組循序圖 52 圖18:通訊協定套件實作程式範例(C#) 53 圖19:通訊協定套件產生之HTML範例 53 圖20:實體關聯圖 57 圖21:通訊協定套件上傳使用者介面 58 圖22:SP註冊畫面 59 圖23:SP註冊-資料修改畫面 60 圖24:EWRSSO之軟、硬體及網路架構 65 圖25:通訊協定套件上傳畫面 71 圖26:SP註冊完成畫面 72 圖27:EWRSSO間接整合「代理式單一登入」之循序圖 84 圖28:EWRSSO可整合之單一登入應用架構 85 表目錄 表1:代理式單一登入架構特性之比較 13 表2:重導式單一登入架構特性之比較 21 表3:大型網站與中大型組織單一登入需求之差異 25 表4:代理式單一登入與重導式單一登入之比較 32 表5:EWRSSO實作之通訊協定套件清單 55 表6:DllCollection資料表綱要 56 表7:ProtocolCollection資料表綱要 56 表8:SPList資料表綱要 56 表9:情境及通訊協定套件對照表 68 表10:EWRSSO驗證結果總表 73 表11:原系統重導頁測試結果 76 表12:EWRSSO IdP重導處理測試結果 76 表13:花費時間最大值、最小值與平均值比較 77 表14:原系統與EWRSSO功能比較 78 表15:已驗證情境介接方式支援列表 79 表16:EWRSSO與其他重導式單一登入之比較 81 表17:EWRSSO可支援架構之組合 82 表18:對重導式驗證架構支援程度之比較 83 表19:EWRSSO對代理式驗證架構支援程度之比較 84[[note]]學號: 701630260, 學年度: 10