セントラル認証サーバーのアーキテクチャと認証の流れ

Question

最近、私はCASサーバーで作業していましたが、概念的な問題がありました...チケットの検証が成功するとすぐにわかりましたので、そのチケットは消去されます...しかし、なぜですか？そして、ユーザー役割はどこで正確にチェックされていますか？

Thanx

Answer 1

デフォルトでは、ServiceTicket（ST）は短時間だけ使用できます（そのバインドはMultiTimeUseOrTimeoutExpirationPolicyにバインドされています）。これはマイクが誤解していないことを確認するために彼の答えを言ったようなものです。このTicketGrantingTicket（TGT）がアクティブのままで、デフォルトで唯一の量によって制限TimeoutExpirationPolicyずにバインドされているしかし、あなたは本当に私がticketExpirationPolicy.xmlファイル

を変更することにより、another postにすでに書いたように必要がある場合は、事前に設定を変更することができます要求のTGTから、CASは必要な数のSTを作成できます。

Answer 2

CASサービスチケットは、リプレイ攻撃のリスクを排除するために1回限り使用されます。推奨された設定を使用する場合、クライアントはHTTPS経由でCASサーバーと通信する必要があります。そのため、CASサーバーからサービスチケットを取得すると、機密情報として扱われます。しかし、暗号化されていないチャネル（すなわち、HTTP）上の所望のサービスにクライアントによってチケットが潜在的に提示される可能性がある。したがって、最初の使用後に秘密であると想定するのはもはや安全です。さらに、クライアントを認証するために必要なものはすべて1つで、それ以降の追加使用を許可することはあまり意味がありません。それはただのトラブルを求めているだけです。

ユーザーロールは、アプリケーションによって異なります。 CASの目的は、あなたが誰（認証）を扱っているかを伝えることです。特定のユーザがアプリケーション（許可）で行うことが許可されるのは、異なる問題であり、CASが解決しようとするものではありません。