1.6. 单点登录

Kerberos

Kerberos 是客户端-服务器应用的网络身份验证协议。它使用密钥对称加密，以允许在非安全网络中进行安全身份验证。

SPNEGO

简单且受保护的 GSS_API 协商机制(SPNEGO)提供了一种机制，可用于扩展基于 Kerberos 的 SSO 环境，供 Web 应用使用。

Microsoft 的 Active Directory

Active Directory(AD)是由 Microsoft 开发的目录服务，用于验证 Microsoft Windows 域中的用户和计算机。它作为 Windows Server 的一部分提供。运行 Windows Server 控制域的计算机称为域控制器。红帽企业 Linux 可与 Active Directory 域集成，支持红帽身份管理、红帽 JBoss 企业应用平台和其他红帽产品。

安全令牌服务

安全令牌服务(STS)是一种身份验证服务，向客户端发布安全令牌，以便在验证和授权安全应用、Web 服务或 Jakarta 企业 Bean 的用户时使用。试图对使用 STS（称为服务提供商）保护的应用进行身份验证的客户端将被重定向到集中式 STS 验证器并发布令牌。如果成功，该客户端将重新尝试访问服务提供商，并提供其令牌和原始请求。该服务提供商将通过 STS 验证客户端的令牌，并相应地进行操作。客户端可以针对其他 Web 服务或连接到 STS 的 Jakarta Enterprise Beans 重复使用此令牌。集中式 STS 的概念称为 WS-Trust，它可发布、取消、续订和验证安全令牌，并且指定安全令牌请求和响应消息的格式。

基于浏览器的 SSO

在基于浏览器的 SSO 中，一个或多个 Web 应用（称为服务提供商）在 hub 和 spoke 架构中连接到集中式身份提供程序。IDP 通过向服务提供商或 spoke 在 SAML 令牌中发布声明声明，充当身份和角色信息的中央来源或 hub。用户尝试访问服务提供商或用户尝试直接与身份提供程序进行身份验证时，可能会发出请求。它们分别称为 SP 启动和 IDP 启动的流，并且都将发布相同的申索声明。

SAML

安全断言标记语言(SAML)是一种数据格式，允许双方（通常是身份提供商和服务提供商）交换身份验证和授权信息。SAML 令牌是由 STS 或 IDP 发布的令牌类型；可用于启用 SSO。SAML、SAML 服务提供商保护的资源将用户重定向到 SAML 身份提供程序（一种 STS 或 IDP 类型），以在验证和授权该用户之前获取有效的 SAML 令牌。

基于桌面的 SSO

基于桌面的 SSO 使服务提供商和桌面域（如 Active Directory 或 Kerberos）能够共享一个主体。在实践中，这允许用户使用其域凭据登录其计算机，然后让服务提供商在身份验证期间重用该主体，而无需重新进行身份验证，从而提供 SSO。