微软解决方案培训sharepoint session5 sso

Session5

SharePointSSOandUserManagement议题SingleSignOn基本概念配置/管理SharePointSingleSignOnSharePointSSO开发MIIS概览SingleSign-On基本概念一次登陆，访问所有系统系统帮助用户“自动”登陆到各个系统SingleSign-On的优点免除了用户频繁登录和管理多套密码提高密码管理的安全性提高系统的整合度为应用整合，统一用户管理作好基础准备SharePointSingleSign-OnServices提供Credential的映射数据库Per-usercredentialsGroupcredentials对映射数据库进行加密和管理提供编程接口，简化了开发配置SharePointSSO(1)启动SharePointSSOService创建SSOService帐号此帐号必须是localadministrators,domainSTS_WPG和SPS_WPG组的成员此帐号须对SharePoint配置数据库具有db_owner和public权限此帐号须是SSO数据库所在SQLServer的ServerAdministratorsrole用此帐号启动SharePointSSOService必须在每台前端Web服务器上进行配置配置SharePointSSO(2)用此帐号配置SharePointSSO配置SSO服务器设置配置SharePointSSO(3)配置SharePointSSO配置SSO服务器设置配置SharePointSSO(4)创建/备份/恢复加密键创建企业应用程序定义IndividualCredentialGroupCredential管理企业应用程序定义删除/更新企业应用程序定义中的Credential信息SharePointSSO部署安全性较低安全性配置

所有内容都部署在一台服务器上。此配置安全性较低，因为前端Web服务器、存储在MicrosoftSQLServer中的SingleSign-on数据库和加密键都在同一台计算机上。（建议不使用此配置）较高安全性配置

其中包含一台前端Web服务器的双计算机配置。另一台为作业服务器，其中含有存储在SQLServer中的SingleSign-on数据库和加密键

更高安全性的建议配置

三台或三台以上计算机的配置。其中前端Web服务器、包含加密键的作业服务器和包含存储在SQLServer中的SingleSign-on数据库的服务器分别在不同的计算机上SharePointSSO高级管理SSO诊断日志备份/恢复加密键Credential缓存HKLM\Software\Mcirosoft\ssosrv\Cache加密键审计HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ssosrv\ConfigSharePointSSO开发Microsoft.SharePoint.Portal.SingleSignonCLASSDESCRIPTIONApplicationRetrieves,adds,anddeletesapplicationdefinitionsCredentialsRetrieves,adds,anddeletesapplicationcredentialsSSOReturnCodesEnumeratestheresultsofaSingleSignonExceptionSingleSignonExceptionThrownwhenanSSOerroroccursCodeSnippet:单点登录try{Credentials.GetCredentials(1,"MyIndividualApplicationID",refrgGetCredentialData);stringusername=rgGetCredentialData[0];stringuserpwd=rgGetCredentialData[1];//登录应用系统}catch(SingleSignonExceptionssoe){if(SSOReturnCodes.SSO_E_CREDS_NOT_FOUND==ssoe.LastErrorCode){StringstrSSOLogonFormUrl=SingleSignonLocator.GetCredentialEntryUrl("MyIndividualApplicationID");writer.Write(“<ahref=”+strSSOLogonFormUrl+“>尚未设置您的登陆信息，请点击此处设置，下次将自动登录</a>");writer.WriteLine();}}CodeSinppet:设置Credentialstring[]rgSetCredentialData=newstring[5];rgSetCredentialData[0]="Dataforfield1";rgSetCredentialData[1]="Dataforfield2";rgSetCredentialData[2]="Dataforfield3";rgSetCredentialData[3]="Dataforfield4";rgSetCredentialData[4]="Dataforfield5";Credentials.SetCredentials(1,"MyIndividualApplicationID",rgSetCredentialData);MIIS:基于Microsoft平台的用户帐号统一管理方案系统间的帐号同步需要帐号同步的原因各系统（尤其是UNIX操作系统，商用数据库）都有自己的帐号管理系统，不一定能够使用AD的帐号进行认证多种系统独立管理帐号使得管理员开设帐号和删除帐号的工作非常复杂用户个人的密码修改和管理复杂帐号同步的方案，使用MicrosoftIdentityIntegrationServer2003MIIS2003系统结构MIIS作为Windows的服务员运行ManagementAgents(MA)与各系统进行连接Metadirectory数据存储在SQLServer2000数据库中管理客户端定义MA使用的参数，帐号转换规则等MAControlleriPlanetMAADMAOracleMA…MAMIISServiceAD/E2KiPlanetOracleMIISAdminClientSQL2000MIIS的典型使用场景DS-enabledappHR/ERPappCentralizedidentitymanagementDatabaseMIIS2003MetadirectoryAppDSAppDSADAMInfrastructureDirectoryActiveDirectoryDS-enabledappAppDSADAMDS-enabledappaccesssyncExchange

5.5Data-

basesADXMLiPlaneteDirectoryLotusNT

DomainsTextFilesOtherDirectories

andIdentityDataMIIS的概念数据源存储系统帐号的目录或者数据库管理代理(MA)可以把数据源连接到中心的源数据库，对数据源进行读写操作连接器空间(CS)对出\