Единый вход для нескольких доменов [закрыто]

В нашей компании настроено несколько доменов, на каждом из которых размещен один веб-сайт. В настоящее время каждый домен имеет собственную аутентификацию, которая выполняется с помощью файлов cookie.

Когда кто-то вошел в один домен, ему необходимо получить доступ к чему-либо из другого, пользователю необходимо снова войти в систему, используя другие учетные данные на другом веб-сайте, расположенном в другом домене.

Я думал о переходе к системе единого входа (SSO), чтобы эту проблему можно было устранить. Я был бы признателен за любые идеи о том, как этого можно достичь, поскольку у меня нет опыта в этом отношении.

Спасибо.

Изменить: веб-сайты представляют собой смесь сайтов в Интернете (внешний) и интранет (используются внутри компании).

Реализованное здесь решение SSO работает следующим образом:

1. Существует главный домен login.mydomain.com со скриптом master_login.php, который управляет логинами.
2. В каждом клиентском домене есть скрипт client_login.php
3. Все домены имеют общую базу данных сеансов пользователей.
4. Когда клиентский домен требует, чтобы пользователь вошел в систему, он перенаправляет на главный домен (login.mydomain.com/master_login.php). Если пользователь не вошел в систему на главном сервере, он запрашивает аутентификацию у пользователя (т. Е. Отображает страницу входа в систему). После аутентификации пользователя он создает сеанс в базе данных. Если пользователь уже аутентифицирован, он ищет идентификатор сеанса в базе данных.
5. Главный домен возвращается в клиентский домен (client.mydomain.com/client_login.php), передавая идентификатор сеанса.
6. Клиентский домен создает файл cookie, в котором хранится идентификатор сеанса от мастера. Клиент может узнать зарегистрированного пользователя, запросив общую базу данных с использованием идентификатора сеанса.

Ноты:

• Идентификатор сеанса - это уникальный глобальный идентификатор, созданный с помощью алгоритма из RFC 4122.
• Master_login.php будет перенаправлять только на домены из своего белого списка
• Мастер и клиенты могут находиться в разных доменах верхнего уровня. Например. client1.abc.com, client2.xyz.com, login.mydomain.com

Не изобретайте колесо заново. Существует ряд пакетов междоменного единого входа с открытым исходным кодом, таких как JOSSO, OpenSSO, CAS, Shibboleth и другие. Если вы используете технологию Microsoft повсюду (IIS, AD), вы можете вместо этого использовать федерацию Microsoft (ADFS).

Насколько разные имена хостов?

Эти хосты могут использовать файлы cookie:

• mail.xyz.com
• www.xyz.com
• logon.xyz.com

Но они не могут:

• abc.com
• xyz.com
• www.tre.com

В первом случае вы можете использовать решение на основе файлов cookie. Подумайте GUID и таблицу сеанса базы данных.

Если вы используете Active Directory, каждое приложение может использовать AD для аутентификации, тогда вход в систему может быть беспрепятственным.

В противном случае, если приложения могут общаться друг с другом за кулисами, вы можете использовать идентификаторы сеанса и иметь одно приложение, обрабатывающее идентификаторы, обслуживающие все другие ваши приложения.