便捷的认证流程

　　为了实现用户的漫游认证以及单点登录，需要建立一个密钥分发服务器。当用户在一个学校通过认证后，密钥分发服务器就会为此用户分发一个基于时间戳和用户密码的访问密钥（cookie），如果用户再访问其他高校的资源，其他高校就会将用户提供的密钥向密钥分发服务器进行验证，看其是否在生命期内，如果有效且在生命期内，就允许此用户访问资源。一旦用户关闭浏览器或注销，用户的cookie就会立即过期。

　　Client首先从Portal Server入口访问资源，输入ID@domain的用户名与密码后，系统会将用户名与密码发送到Identity Server Proxy进行认证，Identity Server Proxy收到相关的认证请求后，根据用户的domain将用户的认证信息发送到相应的domain域中的认证服务器（可以是LDAP Server、Radius Server或其他的服务器）进行认证。一旦认证通过，系统会自动向密钥分发服务器申请一个用户访问密钥。访问任何其他系统时，其他系统都会向密钥分发服务器验证用户访问密钥的合法性，如果合法，则不需要再次输入用户名与密码，从而实现单点登录访问，如图2所示。

图2 认证流程

　　目前，创新支持平台的架构已经搭建完毕，各个子系统正在建设。这个架构就是基于校际教师教育资源共享的统一身份认证平台，用户在访问教师教育网络资源时，资源提供者从安全等角度出发，需要对访问者的身份进行确认，根据身份认证情况，允许符合策略的用户使用资源而拒绝不能通过认证的用户。平台的特点是将认证模块放在用户端，也就是用户所在的高校或归属地，而不是资源提供者，资源提供者只需进行少量的验证工作，这样极大地减轻了资源提供者的负担，同时简化了访问程序，提高了访问资源的效率。

（作者单位为华东师范大学信息化办公室）

（文章来源：《中国教育网络》杂志2010年12月刊）